Sintesi

Questo CSIRT ha recentemente rilevato una campagna di smishing a tema Trenitalia, perpetrata via SMS, volta a carpire dati relativi alla carta di pagamento della potenziale vittima.

Descrizione e potenziali impatti

Questo CSIRT ha recentemente rilevato una campagna di smishing a tema Trenitalia, perpetrata via SMS, volta a carpire i dati relativi alla carta di pagamento della potenziale vittima.

Il messaggio SMS, informa la potenziale vittima della possibilità di ricevere un indennizzo relativamente ad un presunto viaggio effettuato in passato, esortando la stessa a visitare un link presente nel testo del messaggio (Figura 1).

Figura 1 – Esempi di SMS di smishingQualora dato seguito ad uno dei link proposti nei vari SMS, la vittima viene reindirizzata verso una pagina opportunamente predisposta (Figura 2) – riportante i loghi e riferimenti di Trenitalia – che conferma la possibilità di ricevere un presunto indennizzo, e invita la vittima ad inserire il proprio numero telefonico e cliccare sul pulsante “Verifica il tuo indennizzo”.

Ove inseriti i dati richiesti, all’utente viene presentata una nuova pagina nella quale viene visualizzato il presunto credito della vittima, riscuotibile premendo sul pulsante “Richiedi il tuo indennizzo“ (Figura 3).

Successivamente, la vittima, viene indirizzata ad una pagina web riportante la modalità di rimborso (Trasferimento su carta) e i dettagli sul calcolo dell’indennizzo (Figura 4).

Qualora eseguiti tutti i passaggi richiesti nella campagna, la vittima viene reindirizzata ad una ulteriore pagina, all’interno della quale si richiede l’inserimento di tutti i dati relativi alla propria carta di pagamento, al fine di applicare l’addebbito di un piccolo importo, definito “Quota di verifica”, che servirebbe a coprire dei fantomatici costi bancari e di gestione pratica, oltre che a confermare la validità della carta (Figura 5).

Infine, la vittima viene poi indirizzata verso un’ultima pagina nella quale si richiede l’inserimento del codice OTP ricevuto via SMS (Figura 6).

Figura 6 – pagina con codice OTPDopo aver inserito anche il codice OTP, appare un messaggio che notifica la vittima che la verifica è scaduta a causa di timeout (Figura 7).

Figura 7 – verifica scaduta per timeout

Azioni di mitigazione

Gli utenti e le organizzazioni possono far fronte a questa tipologia di attacchi verificando scrupolosamente le comunicazioni ricevute e attivando le seguenti misure aggiuntive:

• fornire periodiche sessioni di formazione finalizzate a riconoscere il phishing, lo smishing e il vishing, diffidando da comunicazioni inattese;

• evitare di inserire i propri dati sensibili su portali di cui non si conosce l’affidabilità;

• evitare di dar seguito a comunicazioni di questo tipo;

• segnalare comunicazioni similari alla Polizia Postale e a questo CSIRT.

Infine, si raccomanda di valutare l’implementazione sui propri apparati di sicurezza degli Indicatori di Compromissione (IoC) ^[1] forniti in allegato.

[1] Per definizione, non tutti gli indicatori di compromissione sono malevoli. Questo CSIRT non ha alcuna responsabilità per l’attuazione di eventuali azioni proattive (es. inserimento degli IoC in blocklist) relative agli indicatori forniti. Le informazioni contenute in questo documento rappresentano la migliore comprensione della minaccia al momento del rilascio.