SMishing attack: Significato, utilizzo e fasi del SMihishing informatico

SMihishing

Lo SMihishing, ossia SMS phishing, è la nuova frontiera del phishing informatico: attraverso l’uso di sms o di applicazioni cosiddette “malevole” sugli smartphone, i pirati informatici si impossessano dei dati degli utenti. All’ignaro utente viene inviato un messaggio sul cellulare, presumibilmente da una fonte affidabile, con l’invito a cliccare su un link e la promessa di un premio o comunque con una proposta particolarmente vantaggiosa e, una volta cliccato, si apre un sito creato ad hoc nel quale l’utente deve inserire le proprie credenziali, che diventeranno, poi, di dominio anche dell’attaccante.

Gli attacchi tramite la tecnica di SMihishing sono iniziati quando gli aggressori hanno cominciato ad utilizzare servizi automatizzati che consentono l’invio di molti messaggi sms in una sola volta. Infatti, gli attaccanti inviano messaggi, facendo figurare che il mittente sia un soggetto affidabile, come ad esempio la banca di cui la vittima è correntista, che di solito seguono uno stesso modello, cioè avvisano le vittime di un determinato urgente bisogno da soddisfare e della necessità di mettersi in contatto con il soggetto di riferimento. Quando la vittima chiamerà il numero indicato nel messaggio, una voce registrata gli chiederà i dettagli di numero di carta di credito e il codice PIN, o altri dati e informazioni sensibili: l’attaccante ha, quindi, ottenuto ciò per cui ha posto in essere l’attacco.

Anche la stessa tecnica del SMihishing, con il tempo, si è evoluta e sempre più spesso il contenuto degli sms truffaldini ricevuti dai malcapitati utenti chiedono non più di chiamare un numero telefonico, bensì di aggiornare i propri account o promettono ricariche premio gratuite, invitandoli a visitare pagine web di siti commerciali e di istituti di credito, chiedendo dunque l’inserimento delle credenziali tramite internet.

Gli attacchi di questo tipo sono particolarmente pericolosi in quanto fanno leva sull’affidamento che un utente ripone negli sms ricevuti da un mittente che, all’apparenza, è conosciuto e aventi un contenuto che sembra, sempre all’apparenza, avere carattere di urgenza, senza immaginare che essi possano invece avere carattere truffaldino. Però, non sempre tali attacchi sono posti in essere con un meccanismo sofisticato: infatti, spesso, il numero da comporre non riesce a gestire più di una chiamata alla volta, oppure la qualità della chiamata non è delle migliori e la connessione non funziona come dovrebbe.
Ad ogni modo, per difendersi da tale tipo di attacchi, sarebbe necessario, una volta ricevuto il messaggio, chiamare la propria banca o il soggetto che figura come mittente per accertarsi dell’effettiva autenticità dell’sms.