Smishing: come funziona il phishing via SMS

Un SMS arriva, dice che un pacco è in giacenza e che serve pagare 1,80 euro di spese di sblocco. Il link porta a una pagina identica a quella del corriere. Nessuno pensa a una truffa da 1,80 euro: si paga, e nel farlo si consegnano i dati della carta.

Questo è lo smishing, la variante del phishing che viaggia via SMS. Il nome nasce dalla fusione di SMS e phishing, e la sostanza è la stessa: convincere una persona a consegnare volontariamente credenziali, dati di pagamento o accesso al proprio dispositivo.

Cambia però il canale, e il canale conta più di quanto sembri. Un SMS si legge in tre secondi, spesso camminando, quasi sempre senza la possibilità di controllare dove porta davvero un link. È questa la ragione per cui lo smishing funziona meglio della sua controparte via posta elettronica.

Indice dei contenuti

1. Che cos’è lo smishing
2. Perché lo smishing funziona
3. Gli esempi più diffusi in Italia
4. Che cosa è cambiato con le regole AGCOM
5. Smishing e telefoni aziendali: il problema del BYOD
6. Come difendersi dallo smishing
7. Conclusioni

Che cos’è lo smishing

Lo smishing è una sottocategoria di phishing che sfrutta i messaggi di testo al posto della posta elettronica. L’obiettivo non cambia: ottenere informazioni che la vittima non consegnerebbe mai se sapesse a chi le sta dando.

Il messaggio contiene quasi sempre un link. Da lì in poi le strade sono due.

• Un sito clonato. Il link porta a una pagina costruita per somigliare a quella legittima: home banking, area clienti di un corriere, portale di un’istituzione. Tutto ciò che viene digitato lì finisce a chi ha inviato l’SMS.
• Un’applicazione malevola. Il link propone il download di un’app che si presenta come strumento ufficiale — tracciamento spedizioni, sicurezza del conto, verifica identità — e che una volta installata intercetta credenziali, notifiche e in alcuni casi i codici di autenticazione a due fattori.

Vale la pena chiarire un punto tecnico che viene spesso raccontato male: lo smishing non sfrutta vulnerabilità del sistema operativo del telefono né della SIM. Sfrutta la persona che tiene il telefono in mano. Un dispositivo perfettamente aggiornato è vulnerabile allo smishing esattamente come uno vecchio di quattro anni, perché il punto di ingresso è la decisione dell’utente, non una falla del software.

Questo non significa che gli aggiornamenti siano inutili: se il messaggio porta all’installazione di codice malevolo, un sistema con le ultime patch di sicurezza limita i danni. Ma la difesa vera si gioca prima, sul riconoscimento del messaggio.

Perché lo smishing funziona

Chi costruisce una campagna di smishing lavora su tre leve di ingegneria sociale. Sono le stesse del phishing, ma sull’SMS rendono di più.

• Fiducia. Il messaggio arriva da un nome noto — la banca, le Poste, un corriere — e l’SMS è storicamente un canale più intimo della posta elettronica. La casella email è un luogo che abbiamo imparato a considerare ostile; la messaggistica no.
• Contesto. Un avviso di consegna funziona perché quasi tutti hanno un pacco in arrivo. Non serve conoscere la vittima: basta scegliere uno scenario statisticamente plausibile.
• Emozione. Un conto bloccato, una multa in scadenza, un rimborso da riscuotere entro ventiquattro ore. L’urgenza serve a spegnere il pensiero critico, e sullo schermo di un telefono ci vuole molto poco.

Le vittime non sono scelte a caso. I criteri più comuni sono l’appartenenza a un’organizzazione, l’essere cliente di un certo servizio, o semplicemente la geolocalizzazione: dipendenti di una specifica azienda, abbonati di un operatore, studenti di un ateneo, residenti di una provincia.

Per nascondere l’origine, gli attaccanti ricorrono allo spoofing, cioè alla falsificazione del mittente visualizzato sul telefono. Nel caso degli SMS questo avviene in due modi: alterando il numero, oppure abusando degli alias alfanumerici, quelle stringhe di testo che compaiono al posto del numero e che fanno apparire il messaggio come proveniente da un marchio. È il meccanismo che rende un SMS fraudolento indistinguibile da uno autentico, e che ha reso necessario un intervento normativo.

Gli esempi più diffusi in Italia

Le campagne che circolano nel nostro paese si concentrano su pochi schemi ricorrenti.

• Giacenza o mancata consegna di un pacco. Lo schema più diffuso in assoluto. Richiede una cifra minima per lo sblocco della spedizione, ed è calibrato proprio per non far scattare l’allarme.
• Blocco del conto o accesso anomalo. Il messaggio annuncia un tentativo di accesso sospetto e invita a confermare l’identità. Spesso il link è accompagnato da una telefonata successiva, in cui un finto operatore accompagna la vittima passo per passo.
• Rimborsi e comunicazioni da enti pubblici. Agenzia delle Entrate, INPS, avvisi di rimborso fiscale. Funzionano perché l’interlocutore è credibile e perché quasi nessuno sa con quale canale un ente pubblico comunichi davvero.
• Frode del CEO. Un messaggio che sembra arrivare da un dirigente chiede a un dipendente un pagamento urgente, l’acquisto di buoni regalo o l’invio di un documento riservato. Qui l’autorità apparente del mittente sostituisce qualsiasi verifica.
• Falsa assistenza clienti. L’attaccante si presenta come supporto di un servizio molto usato e offre aiuto per un problema che la vittima non sapeva di avere.
• Premi e offerte. Un buono, un dispositivo in regalo, una crociera. Per riscuotere serve inserire i dati di accesso o pagare una piccola quota di attivazione.

Che cosa è cambiato con le regole AGCOM

Sul lato SMS, l’intervento chiave è la delibera 12/23/CIR di AGCOM, che regola l’uso degli alias alfanumerici nella messaggistica aziendale. Gli alias hanno un impiego legittimo — è così che una banca invia il codice di autenticazione a due fattori — ma erano diventati lo strumento principale dello smishing.

Il regolamento introduce due obblighi. Ogni alias deve essere registrato in un apposito registro tenuto dall’Autorità prima di poter essere utilizzato. E i fornitori di transito devono bloccare la messaggistica proveniente da soggetti non autorizzati, comunicando mensilmente ad AGCOM l’elenco dei messaggi bloccati.

Sul fronte delle chiamate, il filtro anti-spoofing previsto dalla delibera 106/25/CONS è entrato in funzione in due fasi: dal 19 agosto 2025 per le chiamate dall’estero con numerazione fissa italiana falsificata, dal 19 novembre 2025 anche per quelle con numerazione mobile. I numeri diffusi dall’Autorità danno la misura del fenomeno: nei primi undici giorni di applicazione della seconda fase sono state bloccate circa 49,3 milioni di chiamate illecite, oltre 4 milioni al giorno, pari a circa il 56% del traffico da rete mobile con numero italiano proveniente dall’estero.

C’è però un dato che conta più degli altri, e riguarda direttamente il modo in cui ci difendiamo. AGCOM ha osservato che al calo dei tentativi da numerazioni italiane contraffatte è corrisposto uno spostamento delle attività illecite verso numerazioni con prefisso estero. Il filtro non ha eliminato il problema: lo ha spinto altrove.

La conseguenza pratica è che le vecchie regole del pollice non funzionano più. Un numero italiano non è una garanzia, e un prefisso estero non è la firma di una truffa: chi attacca si adatta al filtro nel tempo che serve a cambiare fornitore.

Smishing e telefoni aziendali: il problema del BYOD

Fin qui abbiamo parlato del singolo destinatario. Ma il punto che rende lo smishing un problema aziendale, e non solo personale, è che il telefono su cui arriva quel messaggio è quasi sempre lo stesso da cui si legge la posta di lavoro.

È il modello che va sotto il nome di BYOD, Bring Your Own Device: dispositivi personali usati per attività professionali. Un’app malevola installata dopo un SMS non si limita a compromettere la galleria fotografica. Ha accesso alla casella aziendale, alle notifiche che contengono i codici di autenticazione, alle credenziali salvate, in molti casi alle applicazioni interne.

Questo cambia il perimetro del problema in tre modi.

• Il dispositivo compromesso spesso non è gestito dall’IT, quindi non è monitorato, non è inventariato e non compare in nessun controllo.
• La compromissione non genera allarmi sui sistemi aziendali: dal punto di vista dell’infrastruttura, l’accesso arriva da un dispositivo e da un utente legittimi.
• Il vettore aggira completamente le difese perimetrali. Filtri antispam, gateway di posta e regole sul firewall aziendale non vedono un SMS.

Da qui deriva anche l’unica difesa che funziona su scala aziendale, e non è tecnologica. Se il punto di ingresso è la decisione di una persona, l’unico controllo efficace è la capacità di quella persona di riconoscere il messaggio. È il motivo per cui la formazione dei dipendenti smette di essere un adempimento e diventa un controllo di sicurezza a tutti gli effetti — e perché va estesa a SMS e telefonate, non fermata alla posta elettronica.

Come difendersi dallo smishing

Impedire l’arrivo dei messaggi è praticamente impossibile: la messaggistica SMS è un canale aperto, chiunque può scrivere a qualsiasi numero. Quello su cui si può lavorare è il momento tra la lettura e il clic.

• Verificare per un altro canale, non per lo stesso. Se un messaggio dice di essere la banca, si chiama il numero stampato sulla carta o si apre l’app ufficiale. Mai il numero né il link contenuti nell’SMS. Vale anche quando il mittente compare come nome e non come numero: l’alias è esattamente ciò che si falsifica.
• Diffidare della fretta. Praticamente nessuna comunicazione legittima richiede un’azione entro poche ore, sotto minaccia di una conseguenza. L’urgenza non è un dettaglio dello schema: è lo schema.
• Non rispondere. Un SMS di smishing è inerte se non si clicca e non si risponde. Anche il classico “STOP” per disiscriversi conferma che il numero è attivo e presidiato da una persona reale, e vale come segnale per le campagne successive.
• Nessun ente chiede credenziali. Una banca ha già i dati del proprio cliente e non ha alcun motivo per chiederli via messaggio. Lo stesso vale per password, PIN e codici di verifica: un operatore legittimo non li domanda in nessuna circostanza.
• Attivare i filtri disponibili. I sistemi operativi mobili hanno funzioni di filtro dei mittenti sconosciuti. Non risolvono il problema, perché generare nuovi numeri costa poco, ma riducono il volume.
• Segnalare. Il numero si può segnalare come spam al proprio operatore, e l’episodio si può denunciare alla Polizia Postale. Sul piano giuridico la truffa via messaggio o telefono è potenzialmente inquadrabile nell’articolo 640 del Codice Penale.
• In azienda, prevedere una via di segnalazione. Il dipendente che ha cliccato deve avere un modo rapido e non punitivo per dirlo. Il danno più grave nasce quasi sempre dalle ore di silenzio tra il clic e la segnalazione, non dal clic.

Conclusioni

Lo smishing è cresciuto perché ha trovato il canale giusto: uno schermo piccolo, letto di fretta, su un dispositivo che consideriamo privato e quindi sicuro. Le contromisure normative degli ultimi anni hanno alzato il costo dell’attacco, ma i dati mostrano anche con quanta rapidità le campagne si riorganizzano quando una strada si chiude.

Per un’azienda, questo significa che lo smishing non è un problema di dotazione tecnologica. Non esiste un prodotto che intercetti un SMS sul telefono personale di un dipendente. Esiste solo la differenza tra una persona che riconosce il messaggio e una che non lo riconosce, e quella differenza si costruisce.

Se vuoi capire quanto è esposta la tua organizzazione, il punto di partenza è una verifica seria di come reagiscono le persone e i sistemi a un tentativo reale — non un questionario.