Sintesi

Questo CSIRT ha recentemente rilavato il riacutizzarsi di una campagna di smishing a tema “Richiesta di Accesso” rivolta ai clienti dell’istituto bancario BNL / BNPP.

Descrizione e potenziali impatti

Questo CSIRT ha recentemente rilavato il riacutizzarsi di una campagna di smishing a tema “Richiesta di Accesso” rivolta ai clienti dell’istituto bancario BNL / BNPP. Il testo dell’SMS notifica all’utente una presunta “Richiesta di Accesso” ai propri servizi bancari, e invita la potenziale vittima a contattare un numero di telefono qualora tale richiesta non sia stata effettuata dall’interessato (Figura 1).

Qualora dato seguito alla comunicazione contattando telefonicamente il numero proposto, una voce guida – che ripropone le medesime istruzioni fornite da un call center apparentemente legittimo – guiderà la potenziale vittima verso le fasi successive della truffa (vishing) al fine di carpire informazioni sensibili.

Nel dettaglio, qualora venga selezionata una qualsiasi opzione proposta dal risponditore automatico, verrà richiesto di inserire il proprio codice cliente ed il codice PIN di accesso al conto. A seguito dell’inserimento dei dati sensibili, la voce guida informa che non vi sono operatori disponibili a fornire assistenza, chiudendo la chiamata.

Azioni di mitigazione

Gli utenti e le organizzazioni possono far fronte a questa tipologia di attacchi verificando scrupolosamente le comunicazioni ricevute e attivando le seguenti misure aggiuntive:

• fornire periodiche sessioni di formazione finalizzate a riconoscere il phishing, lo smishing e il vishing, diffidando da comunicazioni inattese;
• verificare scrupolosamente i mittenti delle comunicazioni ricevute e la relativa attendibilità: eventuali comunicazioni legittime dovrebbero invitare l’utenza a contattare autonomamente i canali ufficiali dell’istituto Bancario per eventuali approfondimenti;
• evitare di dar seguito a comunicazioni di questo tipo.