Smishing: come riconoscere ed evitare i messaggi SMS truffa

Lo smishing, contrazione di "SMS" e "phishing", è una frode compiuta tramite falsi messaggi di testo. Il messaggio di solito sembra provenire da un corriere, una banca, un ente pubblico o un servizio di pagamento e ti spinge a toccare un link o a fornire informazioni in fretta. In questo articolo spieghiamo come riconoscere i messaggi di smishing e come proteggerti.

Come funziona lo smishing?

L'obiettivo del truffatore è farti agire senza pensare. Il messaggio scatena panico, curiosità o l'entusiasmo di un premio e ti porta verso una pagina falsa. Lì ti viene chiesta una password, i dati della carta o un codice di verifica. Tutto ciò che inserisci finisce nelle mani del truffatore.

I messaggi vengono inviati per lo più in massa, quindi il mittente non ha bisogno di sapere chi sei. Se il tuo numero compare in una fuga di dati o in un elenco, un messaggio può raggiungerti comunque. Alcuni messaggi sono più personali e possono contenere il tuo nome o dettagli che assomigliano a un vero ordine. Per questo "c'è scritto il mio nome" non è un segno di affidabilità.

Scenari comuni di smishing

Gli argomenti cambiano nel tempo, ma lo schema resta lo stesso. Fai attenzione a questi:

• Avviso di consegna: "Il tuo pacco non è stato consegnato, aggiorna il tuo indirizzo."
• Avviso bancario: "Ci sono attività sospette sul tuo conto, verifica ora."
• Debito di pagamento o fiscale: "Hai un saldo non pagato e verrà applicata una sanzione."
• Premi e omaggi: "Hai vinto un regalo, tocca per richiederlo."
• Avviso di chiusura account: "Il tuo account verrà sospeso, accedi subito."
• Un messaggio "numero sbagliato" da uno sconosciuto: l'obiettivo è avviare una chat e costruire fiducia.

Ciò che hanno in comune: urgenza, minacce o una ricompensa importante, e la spinta a cliccare il link contenuto nel messaggio.

Consigli per riconoscere un messaggio di smishing

Un solo segnale potrebbe non bastare; più segnali vedi, più alto è il rischio:

1. Un messaggio inatteso: diffida se ti contatta un pacco che non hai ordinato o una banca che non usi.
2. Linguaggio urgente o minaccioso: frasi di pressione come "entro 24 ore", "immediatamente" o "il tuo account verrà chiuso".
3. Un link strano: link accorciati o nomi di dominio che assomigliano a un indirizzo ufficiale con lettere leggermente diverse.
4. Una richiesta di informazioni: le organizzazioni serie non chiedono password, numeri di carta o codici di verifica via SMS.
5. Errori di lingua e di ortografia: non sempre, ma le frasi sconnesse sono un indizio.
6. Un mittente sospetto: un numero casuale o un nome del mittente che imita un ente ufficiale. Anche i nomi dei mittenti possono essere falsificati, quindi da soli non sono una prova di affidabilità.

Se non sei sicuro, non rispondere e non toccare il link. Verifica la situazione tramite l'app ufficiale dell'organizzazione o un indirizzo che digiti tu stesso.

Cosa fare se hai toccato il link o fornito dei dati?

Chiunque può sbagliare; ciò che conta è agire in fretta:

1. Non inserire altre informazioni e chiudi la pagina.
2. Se hai fornito una password, cambiala subito attraverso un canale sicuro. Se l'avevi riutilizzata altrove, cambiala anche lì.
3. Se hai condiviso i dati della carta, chiama la banca e fai bloccare la carta.
4. Se hai condiviso un codice di verifica, disconnetti le sessioni dell'account e controlla le impostazioni della verifica in due passaggi.
5. Se hai installato un'app sul telefono, rimuovila e analizza il dispositivo con uno strumento affidabile.
6. Segnala il messaggio alla tua banca, all'operatore o all'ente interessato, poi eliminalo.

Abitudini quotidiane che proteggono dallo smishing

• Apri l'app invece di toccare i link negli SMS. Controlla gli avvisi di corriere o banca nell'app ufficiale.
• Usa un gestore di password. Non compilerà automaticamente la password salvata su una pagina falsa, e questo di per sé è un segnale di allarme.
• Usa una passkey o un'app di autenticazione sugli account critici. Anche se la password viene rubata, l'account non si apre. Per un confronto tra i metodi, leggi il nostro articolo sulla verifica in due passaggi.
• Filtra i numeri sconosciuti e lo spam. Attiva nel telefono la funzione "filtra mittenti sconosciuti" e la segnalazione dello spam.
• Parlane con le persone intorno a te. I familiari più anziani sono spesso bersagli frequenti; esaminare insieme dei messaggi di esempio aiuta molto.
• Verifica il messaggio. Contatta l'organizzazione tramite un numero ufficiale che già conosci; non chiamare il numero indicato nel messaggio.

Non condividere il tuo numero ovunque

Una delle ragioni per cui i messaggi di smishing ti raggiungono è che il tuo numero compare in molti elenchi e database. Inserire il tuo numero reale in ogni modulo di registrazione rende più facile ricevere spam e messaggi di phishing. Ne abbiamo parlato più a fondo in perché non dovresti condividere il tuo numero di telefono ovunque.

Per prove rapide, un secondo account o registrazioni di test, puoi usare un numero virtuale monouso al posto del tuo, così il numero principale non finisce in una lista di marketing. Puoi consultare i servizi e i paesi disponibili nella pagina dei prezzi. Tieni presente che un numero virtuale non è permanente e alcune piattaforme potrebbero limitarne l'uso, quindi rispetta i termini del servizio che utilizzi. Non è una risposta completa allo smishing da sola: la vera protezione sono comportamenti attenti e metodi di verifica forti.

Proteggere la tua famiglia e la tua cerchia

Lo smishing funziona meglio nei momenti di distrazione: in una giornata piena, mentre controlli il telefono di fretta, oppure con chi non ha familiarità con la tecnologia. Per questo la protezione non riguarda solo te, ma anche la tua cerchia.

• Stabilisci con la famiglia una regola semplice, come "fammi vedere prima di toccare un link in un messaggio".
• Mostra ai parenti più anziani esempi di messaggi falsi e spiega che una banca non chiede codici, password o dati della carta via SMS.
• Attiva il filtro dei mittenti sconosciuti e le restrizioni all'installazione di app sui telefoni dei bambini.
• Quando ricevi un messaggio sospetto, condividi uno screenshot con le persone a te vicine, così lo stesso messaggio non cattura qualcun altro.

Quando non sei sicuro di un messaggio, aspettare cinque minuti non costa nulla; un avviso autentico di solito compare anche nell'app ufficiale.

Domande frequenti

Qual è la differenza tra smishing e phishing?

Il phishing è il termine generale e può avvenire via email, telefono, social media e altro. Lo smishing è la forma che avviene tramite SMS (messaggi di testo).

Ho solo toccato il link senza inserire nulla. Sono in pericolo?

Nella maggior parte dei casi, il semplice tocco fa poco danno, ma esistono rischi rari come vulnerabilità del dispositivo o del browser. Chiudi subito la pagina, elimina eventuali download e mantieni il dispositivo aggiornato.

Il messaggio sembra arrivare dal numero di un'organizzazione reale. Potrebbe essere comunque falso?

Sì. I nomi dei mittenti possono essere imitati e a volte un messaggio falso finisce perfino nella conversazione di un messaggio autentico. Guarda il contenuto e ciò che viene chiesto, e fidati dell'app ufficiale più che del link.

Dove posso segnalare i messaggi di smishing?

Puoi segnalarli al numero o all'app antispam del tuo operatore, all'organizzazione interessata e alla tua banca. Anche l'opzione "segnala come spam" del telefono aiuta. Per maggiori informazioni, consulta la nostra pagina delle domande frequenti.