Smishing (SMS Phishing): Definizione, esempi e modi per prevenirlo

La definizione di smishing è chiara se si considera la combinazione di due parole che la maggior parte delle persone conosce già: SMS e phishing. Purtroppo, la nefasta pratica dello smishing sta ingannando con successo innumerevoli utenti, spingendoli a condividere dettagli sensibili con i cyberattaccanti attraverso gli SMS.

In parole povere, un attacco di smishing si concentra sul suo smartphone o tablet nello stesso modo in cui il phishing si rivolge alla sua e-mail. Ma come avvengono questi attacchi, cosa li differenzia dai tradizionali attacchi di phishing e come può evitare di cadere nella trappola dello smishing?

Qui, trattiamo tutti i fatti cruciali che deve sapere sul phishing via SMS e come può riconoscere un SMS dannoso prima di fornire informazioni sensibili.

Che cos'è lo smishing? 

Lo smishing funziona generalmente in due modi.

• Invio di un SMS al destinatario e richiesta di informazioni sensibili.
• Invio di un messaggio SMS a un destinatario che contiene un link dannoso.

Oggi la messaggistica SMS è tra le forme di comunicazione più popolari al mondo. L'enorme numero di messaggi inviati fa sì che i cyberattaccanti lo abbiano identificato come un obiettivo per gli attacchi malevoli alle aziende e ai privati. Ciò significa che lo smishing è una strada molto redditizia da esplorare per i cyberattaccanti.

Molte persone sono già a conoscenza del phishing via e-mail, ma con miliardi di smartphone e tablet in uso, pochi sono consapevoli della stessa minaccia rappresentata dallo smishing. Spesso questo è dovuto al fatto che il phishing via SMS è relativamente nuovo e, dal momento che abbiamo imparato a fidarci del mezzo, di solito minimizziamo i sospetti che potremmo avere sui danni che un messaggio di testo può creare.

A questo si aggiunge il fatto che i messaggi di smishing dovrebbero imitare il registro informale che utilizziamo all'interno del mezzo di comunicazione, con l'obiettivo di farla sentire abbastanza a suo agio da cliccare su un link o condividere informazioni.

In cosa si differenzia lo smishing dagli attacchi di phishing? 

La differenza principale tra una truffa di smishing e un attacco di phishing è che vengono attuati su piattaforme diverse. Le truffe di phishing vengono sempre inviate tramite e-mail, che di solito sono più sofisticate, in quanto possono includere informazioni più fuorvianti e persino link malevoli nelle immagini o nel testo.

Gli attacchi di smishing, tuttavia, non sono meno pericolosi, in quanto sfruttano la nostra fiducia e familiarità con la piattaforma e il suo formato di risposta istantanea per indurci a condividere informazioni sensibili senza pensarci troppo.

Come funziona un attacco di smishing 

Mascherato da fonte fidata, magari un contatto, un sito web che usa regolarmente o persino un'autorità controllata dallo Stato, potrebbe essere costretto a condividere volontariamente informazioni sensibili quando risponde a un SMS maligno che riceve. Spesso, ci sarà un limite di tempo che la esorta a rispondere immediatamente, e si potranno ricevere messaggi di testo successivi che le diranno che il tempo sta per scadere per risolvere il problema.

Questo tipo di pressione spesso porta gli utenti a soddisfare richieste minori, anche quando solo un frammento di informazione condivisa può essere sufficiente ai cyberattaccanti per accedere a dispositivi, reti e dati più critici. Il cyberattaccante può anche tentare di promuovere una maggiore fiducia, in modo che lei condivida più informazioni con il passare del tempo.

In alternativa, potrebbe essere indotto a scaricare un malware sul suo dispositivo che raccoglie dati senza che lei se ne accorga. Infine, potrebbe anche essere indotto a cliccare su un link che potrebbe richiedere informazioni riservate, che poi vengono ricevute dai criminali informatici.

Alla fine, tutte queste richieste appariranno nella sua casella di posta elettronica SMS come qualsiasi altro messaggio, rendendo difficile prepararsi a un attacco di smishing, a meno che non sia già a conoscenza della minaccia.

Cosa ci guadagna uno smisherman da un attacco di smishing?

Come tutti gli attori maligni nel settore della cybersecurity, gli smishers cercano vulnerabilità da sfruttare e ottengono dati personali, sia attraverso semplici ma fraudolente richieste di informazioni, sia utilizzando il malware installato sul suo dispositivo.

Questi dati possono essere utilizzati per rubare la sua identità, ottenere l'accesso alle password, compilare profili delle abitudini degli utenti e tracciarne il comportamento. Il punto fondamentale, tuttavia, è che i cyberattaccanti di solito mirano a rubare denaro, sia violando i conti bancari o delle carte di credito, sia chiedendo il riscatto di dati critici.