SMS truffa delle Poste Italiane, come funziona?

Il phishing non passa mai di moda, e il finto messaggio da parte di Poste Italiane è ormai un classico.

Sono moltissimi gli utenti che ogni giorno utilizzano almeno uno dei servizi dell’azienda: questo amplifica la possibilità che un messaggio fraudolento metta in allarme qualcuno e lo spinga a cadere nella trappola. Inoltre, alle Poste si rivolgono anche molte persone poco avvezze alle nuove tecnologie, e questo le rende prede più facili per i criminali informatici.

Questa truffa è un classico esempio di smishing, ovvero il phishing veicolato tramite SMS. Ma in cosa consiste, come si riconosce e, soprattutto, come si evita di finirne vittima? Ecco tutte le spiegazioni necessarie.

1. Come funziona la truffa delle Poste Italiane
2. Esempio di phishing Poste Italiane
3. Analisi del messaggio fraudolento
4. Attenzione ai dettagli
5. Hai ricevuto il messaggio, che fare?
6. Hai cliccato sul link, e ora?
7. Come tenersi al sicuro dalle truffe delle Poste

Come funziona la truffa targata Poste Italiane

Normalmente la truffa inizia con un SMS. Lo trovate sul telefono e, incuriositi, lo leggete: proviene apparentemente da Poste Italiane e vi avvisa di un problema relativo a un conto corrente, un libretto di risparmio, una polizza o un altro servizio dell’azienda.

L’SMS vi invita a fare clic su un link che vi reindirizza a un sito web apparentemente attendibile, dove vi viene chiesto di accedere inserendo nome utente e password. Così facendo, fornite le vostre credenziali a uno sconosciuto che le userà quanto prima per violare il vostro account ed entrare in possesso dei vostri dati sensibili.

Esempio di phishing di Poste Italiane

Iniziamo con qualche esempio. Potreste ricevere sul telefono un messaggio simile a questi:

• “Qualcuno ha tentato l’accesso al tuo conto Poste Italiane, se non riconosci l’operazione clicca qui.”
• “Gentile Utente, Poste Italiane estinguerà il tuo libretto di risparmio. Per evitare il blocco collegati alla tua area riservata tramite il seguente link.”
• “I dati anagrafici del tuo conto BancoPosta presentano degli errori. Accedi cliccando qui per correggerli e ripristinare il conto.”

Ciascuno di questi messaggi è un tentativo di phishing: il tentativo di un malintenzionato di impossessarsi delle vostre credenziali di accesso al conto BancoPosta per svuotarlo.

Analisi del messaggio fraudolento

Analizziamo cosa hanno in comune questi messaggi. Per ingannarvi, il criminale informatico usa tre leve.

Innanzitutto un linguaggio simile a quello dei messaggi reali di Poste Italiane, così che per l’utente disattento sia facile fare confusione. In secondo luogo un forte senso di urgenza: ogni messaggio è relativo a un problema da risolvere subito, perché una persona agitata e di fretta è meno attenta ai dettagli e più facile da raggirare. Infine la brevità: tutti i messaggi sono concisi e contengono l’invito a cliccare su un link, lo strumento attraverso cui il malintenzionato mette in atto il suo piano.

Attenzione ai dettagli

Come accorgersi che il messaggio non è autentico? Bisogna prestare attenzione ai dettagli e non farsi prendere dalla smania di risolvere l’ipotetico problema.

Quando è davvero Poste Italiane a scrivervi, non appare un numero di telefono ma la dicitura PosteInfo o simile: se il messaggio arriva da un normale numero, mettetevi in guardia. Inoltre tutti gli SMS fraudolenti contengono un link.

I messaggi ufficiali di Poste Italiane non richiedono mai di comunicare le credenziali di accesso (nome utente, password, PosteID), i dati delle carte, codici segreti o OTP, né di disporre transazioni per presunti problemi di sicurezza.

Fate attenzione anche ai riferimenti: nei finti messaggi il contenuto è sempre molto vago, perché un hacker che lancia una campagna di phishing invia lo stesso messaggio generico a un gran numero di persone, sperando che qualcuno cada nel tranello. Se il messaggio si riferisce a un conto, ma voi avete solo un libretto di risparmio o una carta, sicuramente non è autentico.

Hai ricevuto il messaggio, che fare?

Se ricevete un messaggio sospetto, accertatevi prima che si tratti davvero di una truffa. In caso di dubbi, contattate il numero verde ufficiale di Poste Italiane prima di compiere qualsiasi azione: l’operatore potrà chiarirvi la situazione e indicarvi come comportarvi.

Se siete sicuri che si tratti di una truffa, cancellate il messaggio senza fare clic su alcun link.

Hai cliccato sul link, e ora?

Se siete già caduti nella truffa, dovete agire rapidamente: più velocemente bloccate l’attaccante, minori saranno i danni. Per prima cosa contattate il gestore del servizio tramite il numero verde apposito e seguite le istruzioni. Quasi certamente sarà necessario segnalare il problema alla Polizia Postale, che potrà intervenire.

Come tenersi al sicuro dalle truffe delle Poste Italiane

La pratica del phishing tramite SMS apparentemente provenienti da Poste Italiane è molto diffusa. Per difendersi è opportuno adottare tutte le normali strategie di difesa dal phishing, con qualche accortezza utile nel caso specifico:

1. fate attenzione al numero di provenienza: se appare un numero di telefono, insospettitevi;
2. chiedetevi se avete già ricevuto messaggi simili e in quale contesto;
3. controllate che il messaggio corrisponda a un servizio che usate davvero: se parla di un conto ma voi avete solo una carta, è una frode;
4. non fate clic sui link a meno di averne verificato la fonte tramite un altro canale (numero verde, sito ufficiale);
5. non fornite mai informazioni personali come numero di conto, password o OTP: un operatore reale non ha bisogno delle vostre credenziali per assistervi;
6. se vi viene chiesto di accedere all’area riservata, raggiungete il sito di Poste Italiane partendo dal motore di ricerca, non dai link contenuti negli SMS.

Bastano una buona dose di attenzione e un po’ di diffidenza per impedire ai malintenzionati di arrecarci danni economici. Proprio per questo è fondamentale restare aggiornati sui tentativi di phishing e mantenersi sempre allerta.