Attenzione: SMS blaster!

Un SMS blaster è un dispositivo elettronico illegale che simula una vera e propria antenna di rete mobile, in grado di inviare in breve tempo un gran numero di SMS di phishing agli smartphone nel raggio di diverse centinaia di metri. Se la potenziale vittima si trova nei suoi dintorni, il blaster si collega automaticamente al rispettivo cellulare senza che i truffatori debbano conoscerne il numero di telefono.

Quando si parla di SMS blaster si sentono spesso nominare anche i termini «IMSI catcher» o «False Base Stations» (finte antenne di rete mobile), che possono essere utilizzati come sinonimi di antenna di telefonia mobile contraffatta. Per capirci: non tutte le finte antenne sono automaticamente degli SMS blaster, ma tutti gli SMS blaster contengono un IMSI catcher o un’antenna contraffatta.

Un SMS blaster costringe gli smartphone a utilizzare temporaneamente l’obsoleta rete 2G. Viene quindi sfruttata una vulnerabilità nota, il cosiddetto «cifrario nullo», per recapitare messaggi senza alcuna verifica. Il trucco funziona nonostante la rete 2G non sia più attiva in Svizzera: i truffatori gestiscono per così dire la propria antenna ed eludono i filtri di protezione degli operatori di rete mobile.

Gli SMS blaster vengono impiegati quasi sempre come descritto di seguito: i truffatori trasportano l’SMS blaster nel bagagliaio di un’auto, sui mezzi pubblici (bus, metropolitana, treno), in bicicletta o a piedi passando per aree con molte persone come, ad esempio, il centro città o un quartiere popolato. In alternativa posizionano l’SMS blaster in luoghi altamente frequentati come vie dello shopping, centri commerciali, stazioni ferroviarie e aeroporti, oppure lo impiegano durante grandi manifestazioni quali, ad esempio, l’Eurovision Song Contest 2026 di Vienna.

L’SMS blaster invia in massa SMS contraffatti che sembrano provenire dalla posta, da una banca o da un’autorità. Tramite un link le vittime vengono indirizzate verso un sito web di phishing apparentemente autentico. Chi inserisce su questo sito web i dati delle proprie carte di credito o i dati di login dell’e-banking, li trasmette direttamente ai truffatori, che spesso li usano per effettuare pagamenti o versamenti già nel giro di pochi minuti.

Gli SMS di phishing possono avere lo stesso mittente dei messaggi autentici dell’organizzazione in questione (vedasi anche spoofing SMS). Sul cellulare della vittima potrebbero quindi addirittura apparire all’interno della cronologia SMS reale con tale organizzazione. In generale, raccomandiamo pertanto di agire con cautela se si riceve un SMS inaspettato contenente un link.

Andrebbe chiesto alle persone della propria cerchia se anche loro hanno ricevuto un SMS sospetto e verificato se, a grandi linee, l’ora di ricezione degli SMS coincide. In caso affermativo, si tratta con grande probabilità di un attacco tramite SMS blaster.

In caso negativo, è possibile riconoscere gli SMS di phishing dal loro contenuto:

• l’SMS sembra provenire da un’organizzazione affidabile;
• il messaggio mette fretta e richiede un’azione urgente;
• la vittima deve effettuare un pagamento o inserire dei dati tramite un link;
• vengono usati pretesti tipici quali multe, invii di pacchi, comunicazioni bancarie, blocchi dei conti.

Maggiori informazioni sul phishing tramite SMS

Occorre attivare sul proprio smartphone la protezione dallo spam per gli SMS e disattivare lo standard 2G.

Dispositivi Android: Dovrebbe essere possibile attivare la protezione dallo spam nelle impostazioni della propria app di messaggistica. A partire dalla versione Android 12, per ogni carta SIM si può inoltre disattivare lo standard 2G dal menù impostazioni, alla voce Rete e Internet > SIM: in tal modo lo smartphone non potrà proprio collegarsi con un SMS blaster. La dicitura esatta può variare a seconda del produttore. Per i modelli Samsung dovrebbe essere possibile selezionare una modalità senza 2G alla voce Connessioni > Reti mobili > Modalità rete.

iPhone: Negli iPhone la protezione dallo spam è disponibile al percorso Impostazioni > App > Messaggi > Filtra mittenti sconosciuti. Per questi dispositivi non è però possibile disattivare lo standard 2G senza che ciò comporti limitazioni nelle funzionalità. L’attivazione della cosiddetta «modalità di isolamento» comporterebbe troppe limitazioni nella vita di tutti i giorni e pertanto non è consigliabile per proteggersi dagli SMS blaster.

In generale raccomandiamo di non cliccare mai sui link riportati negli SMS che richiedono un pagamento o l’inserimento di dati personali, anche se il messaggio appare nella cronologia degli SMS con la propria banca, con la posta o con un’altra autorità. Prima di accettare una richiesta via SMS bisognerebbe fugare eventuali dubbi chiedendo informazioni tramite un canale ufficiale, ad esempio al numero del servizio clienti dell’organizzazione in questione.

Suggeriamo di essere diffidenti se si riceve una chiamata che sembra arrivare dalla propria banca o dalla polizia con cui vengono ad esempio segnalate irregolarità sul conto o un cyber attacco. Il numero visualizzato potrebbe essere contraffatto. In tal caso basta terminare la chiamata e telefonare al numero ufficiale dell’organizzazione in questione. Non rivelare mai dati sensibili al telefono. Maggiori informazioni sul phishing al telefono