La società di sicurezza informatica Bitdefender ha pubblicato un’analisi di una truffa informatica bancaria che spiega bene una delle perplessità ricorrenti di chi, per sua fortuna, non ha mai subìto un reato di questo genere: come fa la gente a cascarci? In particolare, come è possibile che i truffatori riescano a convincere le vittime a installare volontariamente i programmi che poi saccheggeranno i loro conti correnti?

L’analisi parte da un attacco specifico in corso in Europa, che si basa sull’installazione di un’app truffaldina, un trojan bancario denominato FluBot, sui telefonini delle vittime. Se la vittima non installa l’app, la truffa non può scattare.

I criminali che gestiscono FluBot usano una tecnica particolare, chiamata smishing: iniziano mandando un SMS che annuncia che è disponibile un messaggio vocale riguardante l’invio di un pacco. L’SMS offre un link cliccabile per ascoltare il messaggio. 

Ma se la vittima clicca sul link, le viene proposto di installare un’apposita app di gestione dei messaggi vocali, e quest’app non proviene dallo store ufficiale Android, ossia Google Play. Questo dovrebbe mettere in allarme la vittima, ma spesso prevalgono la curiosità di scoprire cosa c’è nel presunto messaggio vocale e l’ignoranza del rischio.

Sui telefonini Android, oltretutto, è sufficiente accettare l’installazione da fonti sconosciute per dare il via libera all’app. La fonte è in realtà la banda di truffatori, e l’app ha un’icona che sembra indicare che serva per ascoltare messaggi vocali, ma non è così: serve per rubare informazioni bancarie.

I truffatori scelgono di mascherare l’app truffaldina spacciandola per un’app per messaggi vocali per un motivo ben preciso: l’app chiederà alla vittima il permesso di accedere alla rubrica telefonica e ad altre informazioni sensibili, e la vittima probabilmente ci crederà perché pensa che sia un’app di messaggistica e quindi è logico che debba accedere alla rubrica.

Se la vittima concede i permessi, l’app maligna raccoglierà l’elenco dei contatti e manderà SMS a tutti i contatti della vittima, cercando nuovi bersagli da attaccare, intanto che acquisisce le informazioni sulle carte di credito, le credenziali di accesso e altri dati ancora e usa i privilegi di accessibilità per rendere difficile disinstallarla.

In altre parole, i criminali creano una situazione di curiosità nell’utente e fanno leva su quella, e sulla scarsa conoscenza della sicurezza informatica, per convincere la vittima a installare il trojan.

Bitdefender nota che l’attacco colpisce sia gli utenti Android, sia gli utenti Apple; ma nel caso degli iPhone non c’è un meccanismo per proporre all’utente l’installazione dell’app truffaldina, per cui scatta il Piano B dei criminali: se il telefonino attaccato è un iPhone, gli SMS lo porteranno a una serie di siti che tenteranno di rubare credenziali e cercheranno di attivare abbonamenti-truffa.

La soluzione più semplice a questo tipo di attacco è non cliccare mai sui link negli SMS e non installare mai app di provenienza incerta; e se si usa un telefonino Android, dotarlo di un antivirus.

Nell’esempio qui accanto, il messaggio fa leva sulle angosce sanitarie per spingere la vittima a cliccare sul link, dove l’aspetta probabilmente una finta pagina delle autorità che le chiederà informazioni personali utili per estorsioni, ricatti o furti di denaro.

Un altro esempio è un messaggio che sembra provenire dalla vostra banca, o da un servizio di pagamento online, e vi invita a scaricare la nuova versione dell’app di sicurezza, che in realtà è un’app creata dai truffatori e nella quale la vittima immetterà le proprie credenziali, dandole così ai criminali.

Mycard.ch ha pubblicato un avviso sul problema dello smishing che spiega bene che “I messaggi di questo genere devono essere ignorati e cancellati senza che vi sia alcuna interazione con il mittente. Nessuna banca invia ai propri clienti un SMS di questo tipo senza che vi sia una specifica richiesta a monte. Allo stesso modo non userebbe mai un SMS per spedirvi un link relativo all’e-banking.”

Il sito pubblica anche cinque regole di protezione:

1. Non cliccate mai su un link che avete ricevuto tramite un messaggio di testo inviato da un numero sconosciuto o da un’azienda con cui non avete nulla a che fare. 

2. Verificate sempre il numero del mittente con occhio critico. Se effettuate una breve ricerca online sul numero sospetto, spesso potete scoprire che si tratta di un numero sconosciuto utilizzato con intenti fraudolenti. 

3. Domandatevi sempre se un SMS sia la forma di comunicazione appropriata in quella situazione specifica. Non capiterà mai che, in caso di problemi, un istituto finanziario o un rivenditore online, ad esempio, vi chiedano tramite SMS di fornire i vostri dati. 

4. Diffidate in partenza messaggi da cui si evince una particolare urgenza (subito o urgentemente) e in cui vi viene chiesto di inserire i vostri dati personali. 

5. Se ricevete un SMS non in risposta a una vostra richiesta da un’azienda che apparentemente conoscete, contattatela tramite un altro canale e informatevi sull’autenticità della richiesta. 

Da parte mia aggiungo di non fidarsi del numero del mittente, che è estremamente facile da falsificare.