Smishing e vishing: il phishing via SMS e telefonata
Il phishing non arriva solo per e-mail. Sempre più spesso i truffatori raggiungono le persone tramite messaggi di testo e telefonate: due canali di cui quasi tutti ci fidiamo d’istinto. Capire come funzionano questi attacchi è il primo passo per proteggersi.
Che cos’è lo smishing?
Lo «smishing» è phishing che arriva come SMS o messaggio di testo. Poiché i messaggi appaiono personali e urgenti, le persone tendono a reagire in fretta — esattamente ciò che vuole il truffatore.
Esempi frequenti:
- Un avviso di «consegna fallita» che chiede di pagare una piccola tassa o di confermare l’indirizzo.
- Un falso avviso bancario su un «pagamento sospetto», con un link per «mettere al sicuro il conto».
- Un messaggio che finge di venire da un collega o dalla vostra responsabile e chiede un favore veloce.
Il link porta di solito a un falso molto credibile che cattura credenziali, numero di carta o dati personali.
Che cos’è il vishing?
Il «vishing» è phishing vocale: una telefonata in diretta o un messaggio in segreteria. Chi chiama si spaccia spesso per la banca, un corriere, l’assistenza tecnica o persino un ufficio pubblico.
L’obiettivo è sempre lo stesso: creare pressione perché agiate prima di pensare.
Le tattiche tipiche: sostenere che il conto è stato violato, che dovete del denaro, o che dovete «verificare» la vostra identità leggendo un codice o una password. Alcuni truffatori usano ormai voci generate dall’IA per imitare una persona che conoscete.
Segnali d’allarme
Non servono competenze tecniche per riconoscere la maggior parte di questi attacchi. Rallentate e cercate i campanelli:
- Urgenza e minacce — «Agisca subito o il conto verrà chiuso».
- Link inattesi — soprattutto link accorciati o indirizzi leggermente scritti male.
- Richieste di codici o password — nessuna banca o azienda seria vi chiederà di condividerli.
- Pressione a mantenere il segreto — «Non lo dica a nessuno, è riservato».
- Pagamenti con modalità insolite — buoni regalo, bonifici istantanei o criptovalute.
La trappola del codice usa e getta
Attenzione particolare ai codici a sei cifre inviati per accedere o confermare un pagamento. Un truffatore che ha già la vostra password può chiamare e chiedervi di «rileggere il codice appena inviato». Consegnarlo gli apre direttamente il conto.
Che cosa fare invece
L’abitudine più sicura è semplice: fermarsi e verificare su un canale di cui vi fidate.
- Non cliccate link in messaggi inattesi. Digitate voi l’indirizzo dell’azienda o usate l’app ufficiale.
- Se ricevete una telefonata preoccupante, riagganciate e richiamate usando il numero stampato sulla carta o presente sul sito ufficiale — mai quello fornito da chi chiama.
- Non condividete mai password, PIN o codici usa e getta con chi vi contatta.
- Nel dubbio, chiedete a un collega o prendetevi un momento. Le organizzazioni serie aspettano volentieri.
Se pensate di esserci cascati
Gli errori capitano, e agire in fretta limita i danni:
- Contattate subito la banca se avete condiviso dati finanziari.
- Cambiate qualsiasi password possiate aver rivelato e attivate l’autenticazione a due fattori.
- Segnalate il messaggio o la telefonata al reparto IT o sicurezza e alle autorità competenti.
Segnalare non riguarda la colpa: protegge tutti gli altri che potrebbero ricevere la stessa truffa.
Come aiuta GottaPhish
Smishing e vishing sfruttano la fiducia che riponiamo in messaggi e telefonate, raggiungendo le persone su canali che le difese e-mail non vedono mai — ed è lì che intervengono GottaPhish e il nostro team di esperti. Le nostre simulazioni realistiche includono scenari via SMS e vocali, così i dipendenti imparano a riconoscere le tattiche di pressione in un contesto sicuro e senza colpevolizzazione, con formazione pratica e cruscotti chiari che seguono i progressi nel tempo. Il nostro team di supporto ed esperti lavora al vostro fianco per disegnare scenari credibili, impostare le campagne e interpretare i risultati, perché tutta la squadra resti attenta su ogni canale.