SMS dalla banca: come verificare l’avviso senza rischiare le credenziali

👁 111 letture

Quando sullo schermo dello smartphone compare una notifica che segnala un blocco imminente del conto corrente o un accesso anomalo, la prima reazione istintiva è spesso quella di toccare subito il collegamento proposto. È esattamente su questa urgenza che fanno leva le campagne di smishing documentate dalle autorità italiane. Esaminando le linee guida del Garante per la protezione dei dati personali e i monitoraggi operativi del CERT-AgID, emerge un quadro chiaro: il canale dell’SMS non deve mai essere trattato come una sede di autenticazione o di gestione diretta dei propri dati riservati.

La dinamica dello smishing e la manipolazione del mittente

Le comunicazioni fraudolente via SMS imitano spesso istituti di credito, fornitori di servizi o enti di recapito. Come evidenziato dal CERT-AgID analizzando campagne recenti, i messaggi simulano problemi operativi immediati, come intoppi nella consegna di una spedizione o anomalie di sicurezza, inducendo la persona a premere un link esterno. Quel collegamento conduce a schermate create per riprodurre fedelmente la grafica dei portali istituzionali, dove vengono progressivamente richiesti recapiti anagrafici, numeri di telefono e, infine, le coordinate complete della carta di pagamento.

A complicare il riconoscimento interviene spesso lo spoofing. Il Garante Privacy spiega come i truffatori riescano talvolta a mascherare l’utenza mittente facendo comparire il nome esatto dell’istituto bancario o inserendosi nella cronologia dei messaggi autentici già ricevuti. La presenza della dicitura ufficiale nella schermata del telefono non garantisce quindi l’effettiva provenienza del messaggio.

Procedura di confronto tra messaggio e canali ufficiali

Per prendere una decisione sicura di fronte a una notifica allarmante, applico una procedura di riscontro a tavolino basata sui principi di difesa indicati dalle istituzioni:

• Isolamento del testo: non tocco alcun collegamento ipertestuale, non scarico allegati e non utilizzo le numerazioni di telefono inserite all’interno dell’SMS.
• Verifica del testo e della richiesta: controllo se il messaggio usa toni intimidatori, grammaticalmente incerti o se chiede di intervenire con estrema rapidità. Il Garante ricorda che le banche non domandano mai codici di sicurezza, PIN, password o codici monouso (OTP) tramite SMS o messaggistica.
• Accesso fuori banda: apro manualmente l’applicazione bancaria già configurata sul dispositivo oppure digito l’indirizzo del portale istituzionale nel browser, verificando attentamente la correttezza del dominio web ufficiale, come raccomandato dal CERT-AgID.
• Controllo dell’area riservata: le reali comunicazioni operative, i blocchi della carta o le richieste di adeguamento informativo compaiono nelle notifiche interne dell’area cliente o nell’estratto conto, senza necessità di passare da moduli esterni via SMS.
• Contatto telefonico indipendente: se l’incertezza persiste, non richiamo il numero indicato nel testo ricevuto. Reperisco il recapito del centralino o dell’assistenza clienti dal retro della tessera fisica o dal portale ufficiale.

Limiti decisionali e misure in caso di esposizione

Se nel corso dell’interazione sono già stati inseriti dati bancari o codici di accesso su un modulo sospetto, il Garante Privacy raccomanda di contattare immediatamente l’istituto di credito o il gestore della carta tramite i canali di assistenza accreditati, richiedendo il blocco delle transazioni e delle credenziali esposte. In presenza di movimentazioni non autorizzate o sottrazione di denaro, l’accaduto va segnalato alle autorità di polizia, mentre le comunicazioni e i messaggi anomali possono essere trasmessi alla casella malware del CERT-AgID per il tracciamento tecnico.

Fonti

• Smishing - Garante Privacy
• Falso avviso di consegna: una nuova campagna di smishing colpisce gli utenti di Poste Italiane - CERT-AGID

Kinetyra