Smishing

Il termine «smishing» è composto dalle parole «SMS» e «phishing» e in italiano può essere tradotto con «pesca di dati tramite SMS o servizi di messaggistica». Informalmente si parla spesso anche di «truffa tramite SMS».

Tuttavia, lo smishing in senso stretto si riferisce solo ai tentativi di inganno volti al furto di dati. Le truffe tramite SMS che mirano a ottenere direttamente un vantaggio finanziario non rientrano in questa categoria.

A seconda dell’obiettivo, gli attacchi di smishing si dividono nelle categorie riportate di seguito.

Phishing delle credenziali: tramite un link i truffatori attirano la potenziale vittima su un sito web contraffatto che assomiglia al portale di login della sua banca o di un fornitore di servizi. Le password e i nomi utenti immessi su tale sito web vengono raccolti e usati per appropriarsi del conto della vittima.

Phishing delle carte: con il pretesto di piccole commissioni, ad esempio per dazi doganali o per l’invio di un pacco, la vittima viene invitata a inserire i dati della propria carta di credito, incluso il codice di verifica, su un sito manipolato. In seguito i truffatori utilizzano questi dati per effettuare acquisti non autorizzati oppure li vendono nel Dark Web.

Installazione di malware: la vittima è invitata a installare manualmente, tramite un link ricevuto via SMS, un’app apparentemente utile oppure un aggiornamento di sistema. Si tratta però di un trojan, un malware in grado di leggere le password, registrare lo schermo o intercettare e cancellare di nascosto gli SMS di conferma della banca.

Stipula di un abbonamento «trappola»: la vittima accede a un sito web richiamato tramite un link contenuto in un SMS. Se clicca su un apposito pulsante oppure inserisce le informazioni riguardanti la propria carta di credito, stipula senza accorgersene un servizio a pagamento. Le relative commissioni, di importo ridotto, vengono addebitate periodicamente nella fattura mensile del cellulare o nella carta di credito della vittima.

Gli abbonamenti «trappola» tramite SMS, che mirano all’addebito fraudolento nella fattura del cellulare e non al furto di dati, non rientrano in senso stretto nello smishing.

Vishing combinato: con un pretesto la vittima viene invitata tramite SMS a richiamare un numero. Quando richiama, si collega a un numero a valore aggiunto straniero a pagamento oppure ai truffatori che intendono impossessarsi per telefono di dati sensibili (voice phishing o vishing).

Poiché vengono impiegati sia gli SMS che le telefonate, il vishing combinato è una forma mista di smishing e voice phishing. Questo tipo di attacco di phishing è chiamato anche «attacco multicanale».

Secondo l’Ufficio federale della cibersicurezza (UFCS), nel 2024 il numero di segnalazioni di phishing è quasi raddoppiato. Il rapporto anti-phishing 2024 spiega che questo aumento è dovuto principalmente alle campagne di phishing tramite SMS e servizi di messaggistica. L’UFCS non riporta però separatamente l’andamento dei casi di smishing in termini quantitativi.

Stando all’UFCS, nel 2025 il numero assoluto di casi di phishing segnalati è rimasto relativamente costante. Sono tuttavia cresciuti i tentativi di truffa tramite SMS o servizi di messaggistica (smishing) in relazione a Twint e a piattaforme di piccoli annunci come Ricardo, Tutti e Facebook Marketplace. I terminali mobili continuano a essere al centro dell’attenzione dei truffatori, poiché consentono di aggirare le barriere tecniche di sicurezza dei provider e-mail e gli utenti tendono a essere meno diffidenti.

Inoltre, l’UFCS riscontra una tendenza verso astuti attacchi a più livelli che spesso vengono perpetrati tramite vari canali. 

Ecco alcuni casi esemplificativi di smishing realmente accaduti.

Phishing delle credenziali: furto di dati di accesso

Phishing delle credenziali di TWINT (aprile 2025): poco dopo aver pubblicato annunci su una piattaforma online, i venditori sono stati contattati tramite WhatsApp o SMS da presunti acquirenti che hanno inviato loro un link, invitandoli a «confermare la ricezione del pagamento». La pagina di phishing collegata, che aveva l’aspetto del sito della Posta svizzera, si è impossessata dei dati di accesso a TWINT. Maggiori informazioni in merito alla truffa su Twint

Phishing delle carte: furto di dati relativi alle carte di credito

SMS contraffatti riguardanti multe di parcheggio (settembre 2025): i truffatori hanno utilizzato i cosiddetti «SMS blaster» per inviare messaggi a cellulari nelle loro vicinanze. Con il pretesto di una multa di parcheggio apparentemente ancora non pagata, le vittime sono state attirate su una pagina di pagamento contraffatta tramite cui sono stati rubati i dati delle loro carte di credito.

Installazione di malware sul cellulare (malware/trojan)

Anatsa (2024–2026): Anatsa viene installata tramite un link contenuto in un SMS e si presenta come un’app innocua, ad esempio al pari di un programma per aprire documenti PDF. In realtà però si procura ampi diritti di accesso al sistema e non appena la vittima apre un’app bancaria, il trojan sovrappone una maschera per impossessarsi dei dati di accesso ed eseguire autonomamente bonifici in background.

Stipula di un abbonamento «trappola»

Trucco del dazio doganale: in alcuni casi, inserendo le informazioni relative alle proprie carte di credito, le vittime di truffe del dazio doganale e della multa di parcheggio hanno stipulato a loro insaputa abbonamenti per servizi online che sono stati poi addebitati a intervalli regolari sulla carta di credito.

Vishing combinato

Nel vishing combinato si utilizzano SMS o messaggi dei servizi di messaggistica per indurre la vittima a contattare un numero e poi, durante la chiamata, si tenta di rubare dati sensibili, ad esempio facendosi rivelare i codici dell’e-banking. Ecco un esempio di SMS per il vishing combinato:

«Avviso di sicurezza: è stato appena autorizzato un pagamento sospetto di 1250 franchi. Se non ha effettuato questa transazione, chiami subito il nostro reparto sicurezza al numero +41 XX XXX XX XX».

Spoofing dell’ID mittente o spoofing SMS: per aumentare la credibilità del tentativo di truffa, gli impostori manipolano le informazioni relative al mittente dell’SMS (nome o numero di telefono). Il messaggio contraffatto può pertanto apparire nella cronologia degli SMS scambiati con aziende affidabili.

Servizi di abbreviazione URL o «URL shortener»: i truffatori utilizzano servizi come Bitly o TinyURL per occultare l’indirizzo vero e proprio di un link. Il link abbreviato nell’SMS appare, ad esempio, come «https://bitly.ws/3a2Xv» e porta alla seguente pagina di phishing: «https://chpost-service-portal.top/login/index.php». L’indirizzo corretto della Posta è invece «https://www.post.ch/it».

Domini similari: spesso i truffatori utilizzano i cosiddetti «domini similari» che assomigliano molto ai veri indirizzi (esempio: «swiss-post-portal.ch» invece di «post.ch»).

Moduli precompilati: se la potenziale vittima clicca sul link contenuto in un SMS di smishing, può accadere che acceda a una pagina di phishing con un modulo in cui è già stato inserito il suo nome o numero di telefono. Queste informazioni provengono da precedenti fughe di dati.

SMS blaster o «False Base Stations»: dall’estate 2025 si sono moltiplicati i segnali che indicano l’impiego in Svizzera dei cosiddetti «SMS blaster» da parte dei truffatori. Questi dispositivi simulano un’antenna di rete mobile reale e possono quindi collegarsi agli smartphone nelle vicinanze e inviare SMS manipolati direttamente ai telefoni. Ciò permette di eludere completamente i filtri di sicurezza dei veri gestori delle reti.

Social engineering: nel caso del social engineering i truffatori manipolano le vittime sul piano psicologico, facendo leva su paura, rispetto dell’autorità, compassione o la prospettiva di un vantaggio, per indurle a rivelare dati confidenziali o a compiere altre azioni dannose per sé stesse.

Pretexting: qualsiasi sia il trucco di phishing utilizzato, i truffatori hanno bisogno di un pretesto (in inglese pretext) per accedere ai dati della vittima. Nel caso dello smishing, i pretesti impiegati più di frequente sono presunti problemi con la consegna di un pacco, minacce di blocco del conto bancario, ipotetici rimborsi fiscali, multe di parcheggio non pagate o altre fatture non saldate e punti fedeltà in scadenza.

Raccomandiamo di non inserire mai password o PIN su un sito web aperto tramite un link ricevuto in un SMS ma di accedere manualmente dall’app ufficiale del fornitore oppure di scrivere direttamente nel browser l’indirizzo noto, ad esempio «raiffeisen.ch».

Non inoltrare mai a terzi un codice di conferma ricevuto tramite SMS o servizi di messaggistica. Lo stesso vale anche se la richiesta proviene apparentemente da un contatto. Lo smartphone o i servizi di messaggistica del contatto potrebbero infatti essere stati hackerati.

Il simbolo del lucchetto indica solo che il collegamento è cifrato. Potrebbe però trattarsi di un collegamento cifrato a un sito web fraudolento. Di solito è possibile riconoscere i siti web contraffatti verificando la barra degli indirizzi del browser: invece di «.ch» spesso sono riportate estensioni sospette quali «.top», «.xyz», «.online», «.info» o «.site» nonché nomi alterati dei marchi come, ad esempio, «posta-servizio-svizzera.ch» invece di «post.ch».

In presenza di un sito web sospetto, occorre verificare se funzionano i collegamenti sulla pagina, ad esempio il link per la modifica della lingua oppure quello che porta all’impressum o alle CGA. Se si giunge nuovamente sulla stessa pagina oppure il link per la modifica della lingua non funziona, potrebbe trattarsi di un sito web contraffatto.

Le app vanno scaricate esclusivamente dallo store ufficiale Google Play o dall’App Store di Apple. Non installare mai un file a cui si è giunti tramite un link contenuto in un SMS.

Consigliamo di accertarsi che nelle impostazioni del proprio smartphone sia disattivata l’opzione «Installazione da fonti sconosciute» e di effettuare sempre gli aggiornamenti periodici della sicurezza nel proprio sistema operativo, poiché questi spesso eliminano eventuali vulnerabilità. Suggeriamo altresì di essere particolarmente diffidenti se un’app, dopo l’installazione, chiede autorizzazioni inusuali come l’accesso alle funzioni di accessibilità o agli SMS.

I segnali tipici che indicano che lo smartphone è stato infettato da un malware sono:

• un improvviso e forte aumento del consumo della batteria o un surriscaldamento insolito anche se il cellulare non viene utilizzato;
• l’invio autonomo di SMS ai propri contatti da parte dello smartphone;
• la disattivazione improvvisa delle app di sicurezza sul proprio dispositivo;
• il blocco improvviso dell’app degli SMS;
• la comparsa per pochi attimi di una finestra tremolante quando si apre l’app dell’e-banking o di un social media.

Se a seguito di una truffa di phishing vengono addebitati sulla propria carta di credito degli importi per un presunto dazio doganale o una multa per parcheggio, chiedere immediatamente il blocco per evitare altri addebiti. Ciò vale in particolare quando l’importo contabilizzato è ridotto.

Raccomandiamo di disattivare i servizi a valore aggiunto e quelli di fornitori terzi dal portale clienti del proprio operatore di rete mobile. Così facendo, si impediscono addebiti indesiderati in fattura. Occorre prestare particolare attenzione quando un sito web chiede di inserire il proprio numero telefonico, poiché spesso i truffatori sfruttano tale richiesta per ottenere il consenso a un abbonamento.

Se si cade in una trappola di questo genere, inviare un SMS con scritto «STOP ALL» al numero breve del rispettivo servizio (composto da tre o cinque cifre) indicato come mittente dell’SMS con cui è stato confermato l’addebito oppure nella panoramica dettagliata della fattura del proprio cellulare, alla voce «Servizi a valore aggiunto» o «Fornitori terzi». Inoltre, disattivare i servizi a valore aggiunto e i servizi di fornitori terzi anche dall’account cliente del proprio operatore di rete mobile.

Se si contestano le spese di un abbonamento «trappola» al proprio operatore, di norma si viene rinviati alla società terza che gestisce tale abbonamento. Qualora questa rifiuti il rimborso o non risponda per nulla, è possibile avviare una procedura di conciliazione presso ombudscom. La procedura è spesso gratuita per i consumatori o comporta costi minimi e, secondo ombudscom, in caso di abbonamenti «trappola» fraudolenti ha solitamente esito positivo.