Nuova truffa smishing con finto alert su BPER e Tirana, come difendersi

Per chi ha uno smartphone o un personal computer e li utilizza per l’home banking o per conservare le proprie criptovalute in un wallet, è molto importante cercare di difendersi dai costanti attacchi di pirateria informatica.

Uno di questi attacchi è proprio in queste ore portato avanti sotto forma di smishing, tramite un finto alert che riporta il seguente messaggio: “ATTENZIONE! La sua App BPER risulta attiva ad un nuovo dispositivo in Tirana, se non è lei lo blocchi seguendo il portale: https:  bit.do/my-BperID”. Ancora una volta, però, si tratta esclusivamente di un messaggio fraudolento, teso a spingere il proprietario dello smartphone a fare clic sul link indicato e rilasciare i propri dati personali. Una procedura la quale, però, è destinata a chiudersi inevitabilmente con la sottrazione di fondi dal conto del malcapitato.

Nuova truffa smishing, come difendersi

A spiegare cosa occorre fare per non essere danneggiati dall’SMS in proposito è Ivano Giacomelli, Segretario Nazionale di Codici, il quale spiega che non bisogna cliccare sul link, aggiungendo: “I siti riportati in questi messaggi portano su siti falsi, con gli hacker pronti a registrare i dati personali inseriti dall’utente per prelevare soldi alle vittime. Mai fornire dati personali se non tramite i canali tradizionali comunicati dalla banca. In caso di avvisi come quello che sta circolando, prima di agire è bene contattare il proprio istituto e sincerarsi di cosa sta accadendo, chiedendo come intervenire. E poi attenzione al testo, se contiene refusi, se è generico e non personalizzato, sono tutti elementi che devono portare a prestare la massima attenzione perché potrebbe essere un tentativo di truffa”.

In effetti gli attaccanti confidano proprio sulla mancata adozione di misure di ordinaria sicurezza da parte degli utenti per portare a termine i propri colpi. L’abitudine a cliccare sui link indicati nei messaggi di posta elettronica è ad esempio sfruttata dagli hacker per installare malware sui computer o sui dispositivi di telefonia mobile. Le case di sicurezza informatica sono solite ricordare che non si dovrebbe mai cliccare su questi link, a meno che la provenienza della missiva di posta elettronica non sia verificata, ma in troppi perseverano in un comportamento tale da aprire un vero e proprio portone a chi ha intenzioni non proprio benevole.

Cos’è lo smishing?

Per smishing si intende la forma di phishing in cui gli attaccanti utilizzano messaggi di testo in grado di convincere gli interessati a fare click sul collegamento indicato. In tal modo l’hacker potrà entrare in possesso di informazioni personali o scaricare software dannosi sul dispositivo dell’utente.
In particolare, i dati che sono ambiti da chi attacca sono i seguenti:

• le credenziali di accesso ad un account online;
• i dati personali;
• i dati finanziari.

Particolarmente insidiosa è proprio l’eventualità che siano sottratti i dati personali, i quali possono essere usati per un furto d’identità, e quelli finanziari, utilizzabili per le truffe. Non a caso sul Dark Web, la parte più nascosta di Internet su cui sono portati avanti i traffici di stupefacenti, armi ed esseri umani, anche i dati vengono venduti dagli hacker.
I malware che possono essere inviati tramite smashing, possono a loro volta far lavorare un computer per il mining di criptovalute, rallentandone il funzionamento e facendo schizzare verso l’alto i consumi energetici, senza che l’attaccato lo sappia. Oppure possono bloccare i dispositivi informatici per la richiesta di un riscatto (ransomware). Queste modalità di attacco sono portate avanti soprattutto nei confronti delle aziende e della pubblica amministrazione, come è accaduto in particolare durante la fase più acuta della pandemia Covid, quando un gran numero di istituzioni sanitarie si sono trovate a dover combattere con gli agguati predisposti dagli hacker, a partire dallo Spallanzani di Roma.