Phishing nelle notifiche di consegna e pagamento

Perché un SMS di consegna è un travestimento così efficace

Un messaggio su un pacco funziona come truffa proprio perché è plausibile. Chi fa acquisti online ha quasi sempre una consegna in corso in un dato momento, quindi un SMS che segnala un problema con un pacco si inserisce perfettamente in un'aspettativa già presente, a differenza, per esempio, di un messaggio su un premio mai richiesto. Questa truffa ha perfino un nome tecnico nella letteratura sulla prevenzione delle frodi: smishing, cioè phishing condotto via SMS invece che via email, ed è trattata come una categoria di truffa specifica e monitorata dalle autorità di tutela dei consumatori sia negli Stati Uniti sia nel Regno Unito.

Come funziona davvero il falso messaggio di consegna

Le autorità statunitensi descrivono lo schema con chiarezza: arriva un SMS che dichiara di provenire da un corriere o da un servizio postale, spesso citando un'azienda reale come un grande corriere o le poste nazionali, con un presunto codice di tracciamento e un link per "aggiornare le preferenze di consegna" o risolvere un problema con l'indirizzo. Cliccando sul link si arriva a una pagina pensata per somigliare al sito reale del corriere, dove alla vittima viene chiesto di inserire dati personali o finanziari, oppure a volte di pagare una piccola "tassa di riconsegna" che finisce direttamente nelle tasche del truffatore. Viene segnalato un dettaglio utile: i servizi postali e i corrieri di norma non inviano aggiornamenti via SMS non richiesti, a meno che il destinatario non si sia iscritto appositamente agli avvisi di tracciamento, quindi un SMS di consegna inatteso è già leggermente sospetto ancora prima di leggerne il contenuto.

Nel Regno Unito il sistema di segnalazione tratta il fenomeno come un problema noto e diffuso

L'approccio britannico riflette quanto questo fenomeno sia diventato comune. Nel Regno Unito esiste un canale di segnalazione dedicato, gestito dalle autorità competenti: le email sospette possono essere inoltrate a un indirizzo dedicato al phishing, mentre gli SMS sospetti possono essere inoltrati gratuitamente a un numero breve apposito, che segnala il messaggio all'operatore mobile del destinatario. Un centro nazionale per le segnalazioni di frodi e crimini informatici monitora separatamente il phishing sulle consegne come uno schema stagionale ricorrente, in particolare nei periodi di acquisti online più intensi, e raccomanda di non fornire mai dati bancari o password in risposta a un messaggio sulla consegna, per quanto ufficiale possa sembrare. Le regole e i canali di segnalazione nel tuo paese possono essere diversi da quelli descritti qui per il Regno Unito, ma il principio di fondo, non fidarsi mai di un link ricevuto via SMS o email, resta valido ovunque.

Le notifiche di pagamento usano lo stesso trucco, con un obiettivo diverso

Un parente stretto del falso SMS di consegna è la falsa notifica di pagamento o di account: un messaggio che dichiara che un pagamento con carta non è andato a buon fine, che un abbonamento sta per rinnovarsi a un prezzo più alto, o che un account è stato bloccato, sempre con un link per "risolvere" il problema. Il meccanismo è lo stesso usato nelle truffe sulle consegne, urgenza più un link verso una pagina falsa convincente, solo che qui l'obiettivo è ottenere direttamente le credenziali di accesso o i numeri di carta, invece di passare per una finta tassa di riconsegna. Vale la stessa cautela: un vero problema di pagamento segnalato da un negozio o da una banca reale di solito non richiede di essere risolto cliccando un link in un SMS o in un'email inattesi.

Le abitudini che rendono questa truffa molto meno efficace

• Non cliccare mai su un link contenuto in un SMS o in un'email inattesi su una consegna o un pagamento; se pensi che possa essere autentico, apri direttamente l'app del corriere o dell'azienda, oppure digita il suo indirizzo noto nel browser.
• Controlla se ti sei davvero iscritto agli avvisi di tracciamento di quel corriere specifico; un SMS di consegna non richiesto è già di per sé un motivo di sospetto, secondo le indicazioni delle autorità competenti.
• Non inserire mai un numero di carta o una password su una pagina raggiunta cliccando un link ricevuto via SMS, per quanto ufficiale possa apparire.
• Segnala SMS ed email sospetti attraverso i canali ufficiali del tuo paese, se disponibili: molti paesi offrono un numero breve dedicato per inoltrare SMS sospetti e un indirizzo o portale specifico per le segnalazioni di phishing; queste segnalazioni aiutano i sistemi a riconoscere schemi ricorrenti.

Niente di tutto questo ha a che fare con un vero codice sconto o coupon di un negozio: quelli si inseriscono direttamente sul sito del negozio, al momento del pagamento, mai tramite un link ricevuto dopo, con la scusa di un problema di consegna o di pagamento. Elenchiamo codici verificati per molti negozi in diversi paesi su daily-coupons.info, e non chiediamo mai dati della carta o password dell'account per usare un codice elencato, come spiegato nella nostra pagina delle domande frequenti.

Questo articolo fornisce informazioni generali di sicurezza, non una consulenza legale. Se pensi di essere stato preso di mira o hai già fornito dati a un messaggio di phishing, contatta subito la tua banca e il servizio di segnalazione competente nel tuo paese.