smishing

La società di sicurezza informatica Bitdefender ha pubblicato un’analisi
di una truffa informatica bancaria che spiega bene una delle perplessità
ricorrenti di chi, per sua fortuna, non ha mai subìto un reato di questo
genere: come fa la gente a cascarci? In particolare, come è possibile che i
truffatori riescano a convincere le vittime a installare
volontariamente i programmi che poi saccheggeranno i loro conti
correnti?

L’analisi parte da un attacco specifico in corso in Europa, che si basa
sull’installazione di un’app truffaldina, un trojan bancario denominato FluBot, sui telefonini delle vittime. Se la vittima
non installa l’app, la truffa non può scattare.

I criminali che gestiscono FluBot usano una tecnica particolare, chiamata
smishing: iniziano mandando un SMS che annuncia che è disponibile un
messaggio vocale riguardante l’invio di un pacco. L’SMS offre un link
cliccabile per ascoltare il messaggio. 

Ma se la vittima clicca sul link, le viene proposto di installare un’apposita
app di gestione dei messaggi vocali, e quest’app non proviene dallo
store ufficiale Android, ossia Google Play. Questo dovrebbe mettere in
allarme la vittima, ma spesso prevalgono la curiosità di scoprire cosa c’è nel
presunto messaggio vocale e l’ignoranza del rischio.

Sui telefonini Android, oltretutto, è sufficiente accettare l’installazione da
fonti sconosciute per dare il via libera all’app. La fonte è in realtà la
banda di truffatori, e l’app ha un’icona che sembra indicare che serva per
ascoltare messaggi vocali, ma non è così: serve per rubare informazioni
bancarie.

I truffatori scelgono di mascherare l’app truffaldina spacciandola per un’app
per messaggi vocali per un motivo ben preciso: l’app chiederà alla vittima il
permesso di accedere alla rubrica telefonica e ad altre informazioni
sensibili, e la vittima probabilmente ci crederà perché pensa che sia un’app
di messaggistica e quindi è logico che debba accedere alla rubrica.

Se la vittima concede i permessi, l’app maligna raccoglierà l’elenco dei contatti e manderà SMS a tutti i contatti della vittima, cercando nuovi
bersagli da attaccare, intanto che acquisisce le informazioni sulle carte di
credito, le credenziali di accesso e altri dati ancora e usa i privilegi di
accessibilità per rendere difficile disinstallarla.

In altre parole, i criminali creano una situazione di curiosità nell’utente e
fanno leva su quella, e sulla scarsa conoscenza della sicurezza informatica,
per convincere la vittima a installare il trojan.

Bitdefender nota che l’attacco colpisce sia gli utenti Android, sia gli utenti
Apple; ma nel caso degli iPhone non c’è un meccanismo per proporre all’utente
l’installazione dell’app truffaldina, per cui scatta il Piano B dei criminali:
se il telefonino attaccato è un iPhone, gli SMS lo porteranno a una serie di
siti che tenteranno di rubare credenziali e cercheranno di attivare
abbonamenti-truffa.

La soluzione più semplice a questo tipo di attacco è non cliccare mai sui link
negli SMS e non installare mai app di provenienza incerta; e se si usa un
telefonino Android, dotarlo di un antivirus.