AGCOM, stretta sul phishing: regole per arginare gli SMS truffa

16 Maggio 2023 46

AGCOM delibera una stretta sugli alias personalizzati per arginare il fenomeno del phishing, quello per cui un malintenzionato si finge un'azienda grande e affidabile (banche, Poste, aziende o istituzioni) per estorcere con l'inganno informazioni al malcapitato, ad esempio i dati di accesso ai servizi o gli estremi di pagamento.

L'alias è la possibilità di far apparire un determinato nome come mittente di un SMS anche se chi lo riceve non ha il numero in rubrica. Così accade ad esempio di ricevere un SMS apparentemente spedito da Poste Info, PayPal o chi altro con un invito all'azione, generalmente un link a una pagina fittizia in cui chi sta dietro al meccanismo tenta di ingannare il malcapitato per truffarlo.

LINEE GUIDA E STRUMENTI PER TUTTI

L'Autorità per le Garanzie nelle Comunicazioni con la delibera numero 12/23/CIR regolamenta l'utilizzo "dei caratteri alfanumerici che identificano il soggetto mittente nei servizi di messaggistica aziendale (SMS ALIAS)", stabilendo in altre parole le linee guida per l'utilizzo dell'alias:

  • è vietato l'utilizzo di alias non inseriti in un apposito registro gestito dall'Autorità
  • sui fornitori dei servizi di alias ricadrà l'obbligo di verificare l'identità del richiedente
  • non sarà consentita la registrazione di:
    • alias simili a enti, istituzioni o brand noti
    • alias numerici
    • alias che si differenzino esclusivamente per alcuni caratteri maiuscoli o minuscoli
    • alias non registrabili definiti dall'Autorità, tra i quali anche alcuni nomi generici
  • agli operatori il compito di filtrare e bloccare gli SMS inviati da alias
    • provenienti dall'estero
    • non registrati

misure per impedire che un potenziale SMS truffa, un tentativo di phishing, arrivi a destinazione.

Gli utenti avranno la possibilità di:

  • contattare il proprio operatore (con modalità ancora da definire) per chiedere informazioni sull'intestatario di un alias
  • consultare un portale che permetterà di verificare attraverso il registro AGCOM chi c'è effettivamente dietro un alias inserendo l'alias stesso, quello del messaggio ricevuto.

È tutto al futuro, i tempi per la concretizzazione del tutto sono ancora da definire. Comunque al più tardi a maggio 2024 il nuovo meccanismo contro gli SMS truffa e il phishing sarà operativo.


46

Commenti

Regolamento Commentando dichiaro di aver letto il regolamento e di essere a conoscenza delle informazioni e norme che regolano le discussioni sul sito. Clicca per info.
Caricamento in corso. Per commentare attendere...
Fabio

Con vpn?
Lasciagliele prendere.

T. P.

Meglio di niente

ADM90

24 ore da quando aveva tutto…

Mauro Corti (Sbabba)

Vuoi farci credere che in 24 ore dall'attivazione di un conto corrente lei aveva già ricevuto una carta di debito/credito/prepagata? La carta la inviano sempre per posta e il codice in una seconda busta ed é impossibile che le avesse in 24 ore.

pinoc

Forse forse stanno facendo qualcosa di decente. Ora che obblighino gli operatori a bloccare le chiamate da cellulari virtuali.

Tizio Caio

E bravo pirla, intanto prendono altre informazioni da te aprendo i link

Fabio

Io i dati bancari li metto sempre (falsi) e la password sono sempre insulti a questi delinquenti

ADM90

Il prelievo è stato fatto in Inghilterra. Non ricordo però se era un acquisto in negozio o prelievo.
Non posso fare nomi della banca per motivi di privacy. Comunque è una grossa banca. So che questa amica poi ha lasciato stare perché tra spese di avvocati e robe varie non gli meritava…

Ma sono stupidi? Secondo loro la tua amica sporge denuncia dopo essere stata complice di un tentativo di frode alla banca con tutti i rischi del caso ovvero telecamere di sorveglianza che potrebbero beccare chi ha prelevato quel giorno a quell'ora? Ma che banca è? Così ci sto alla larga

Ryosaku

Oh bene! Ed ora estendete queste regole anche ai callcenter che chiamano via voip mettendo come alias numeri farlocchi, solo per far rispondere perchè sembra un cellulare, e arginiamo del tutto il problema.
Al momento sto bloccando tutte le chiamate di numero non in rubrica, ne stavo ricevendo troppe -…..-

ADM90

Si. Ha fatto denuncia sia alla banca sia da polizia postale. La banca ha passato il caso al dipartimento anti frode e ha stabilito quello che ho scritto prima.
La cosa strana è che il fatto è avvenuto entro 24 ore dall’attivazione del conto.

Scusa ma non ha sporto denuncia? Mi sembra strano che una banca ti neghi il rimborso anche sporgendo denuncia. Tra l'altro trattandosi di prelievo, la banca non poteva risalire all'individuo tramite la videosorveglianza? Comunque vicenda surreale.

_Marok_

Quindi potrebbe aver usato un dispositivo compromesso...

Scemo 4.0

Vedo che ti hanno truffato, io ho vinto un iPhone 14 pro max e in più mi hanno offerto altri €100.

ADM90

No. Aperto tramite app della banca su un iPhone. Ormai le banche ti fanno accedere da app per attivare il loro conto.

ADM90

Vero. Accedere sempre e solo da app.

ADM90

E la banca non gli ha nemmeno rimborsato i soldi. Prima gli ha rimborsato, poi ha passato il caso al reparto frodi e hanno deciso che non ha subito una truffa dato che è stato segnalato con qualche giorno di ritardo e non risultavano anomalie.
Lei aveva attivato la carta sull’app ma non aveva impostato le notifiche. Il prelievo è stato effettuato il sabato sera e lei si è accorta il lunedì pomeriggio (secondo la banca tempo di dare la carta a qualche amico, fare il prelievo e tornare in Italia).
Il sabato sera era a cena con amici e non aveva nessuna prova della cena.

_Marok_

Oppure molto più semplicemente ha usato un dispositivo compromesso per aprie il conto.

Tomas

“ mi è arrivata l’ email in cui ho appena vinto un iPhone 14 pro Max alla modica cifra di 100€”

Quelli sono dati globali, non limitati all'Italia. E ti assicuro che il tuo è il solito luogo comune perché se andassimo a fare un sondaggio di chi è stato frodato, sicuramente spunterebbero fuori anche persone con una cultura informatica importante. Un giorno ci potrai cascare anche tu. Magari non oggi o domani ma quando i cybercriminali si evolveranno e tu invecchierai, ne sentiremo delle belle.

Theta

Sì, perché in Italia se si casca in truffe così stupide e banali è per analfabetismo informatico

yepp

Secondo te la tua esperienza o quella dei tuoi genitori fa testo in un contesto dove nel 2021 si sono verificate oltre 260 milioni di truffe online a livello globale per un ammontare di oltre 40 miliardi di Euro? Direi proprio di no.

massimo mondelli

Clicca qui sul link per info da parte di
AGCOMM...

Theta

Bah, i miei genitori, totalmente analfabeti a livello informatico, sanno bene che devono fare se devono mettere i loro dati su internet

Non lo devi spiegare a me, devi spiegarlo a milioni di persone nel mondo che ogni giorno ricevono queste mail. Ti ho già spiegato come si inganna facilmente la mente.

non tutti usano l'applicazione e soprattutto non tutti conoscono le accortezze da prendere. Finché non ci cadi ti fiderai di tutto

Theta

Eh, lo fai dall’applicazione se hai sto dubbio. Non clicchi link a casaccio

Ti possono indurre a farlo dicendoti che c'è stato un tentativo di accesso ai tuoi dati.

assurdo

ADM90

A una mia amica è capitata una cosa molto grave. Aperto il conto online su una banca presente anche sul territorio. Dopo 24 ore dall’apertura si trova un prelievo di 600 euro effettuato in Inghilterra (con il conto nuovo mai usato per effettuare acquisti o prelievi). O sono due le cose: la mia amica è una maga che si materializza oppure qualcuno che lavora in banca ha venduto i dati a qualcuno…

Theta

Ma che dici, ma a me mai nella vita è capitato che mi chiedessero di cambiare la password di qualcosa per sms, né tanto meno il pin per l’accesso online al sito della banca

Guarda che quasi tutti ti inseriscono il link negli sms, compresa poste italiane. Non serve chiederti le credenziali, basta indurti a cambiare password che d'altronde esistono molti servizi che hanno le password a scadenza mensile, trimestrale, annuale.

ADM90

Vero. La cosa migliore a mio avviso è passare tutto tramite app.

cipo

..la cosa inquietante è che il falso BRT mi contatta quando aspetto davvero un pacco.. talvolta anche da altro vettore ma comunque sembra quasi lo sappiano...

Theta

Può esserci scritto anche il sito in maniera corretta, il problema è di fondo. Il tuo istituto bancario non ti chiederà mai di accedere a siti esterni, né di cliccare link
Al massimo ti chiede di accedere al tuo portale, ma quello lo fai per conto tuo, dalla tua app

Non necessariamente.
Un https://www.poste.it/ potrebbe benissimo diventare un https://www.postte.it/ il problema rimane ingannare il cervello. Hai presente quei giochini dove leggi una roba e poi dopo ti fanno notare che hai letto una parola anziché un'altra? Benvenuto nel fantastico mondo della mente umana.

Theta

Esatto, come ho appena spiegato a Jon

Theta

La differenza sta proprio nel fatto nel tuo sms c’era il numero da chiamare
Nelle mail phishing invece noti proprio il sito farlocco proprio dall’indirizzo che contiene parole a caso

pollopopo

Qualche settimana fa ricevetti un sms da Unicredit di cui non ricordo il corpo del messaggio ma sembrava un chiaro tentativo di pishing, tanto che ho chiamato direttamente Unicredit ed il messaggio era legittimo, anche perché riportava il numero verde di Unicredit. Non è questione di essere fessi, è questione che il truffatore è travestito talmente bene che se non hai la giusta quantità di disturbo paranoide di personalità, finisci per caderci. Potrebbero benissimo infarinartela in un altro modo. "per motivi di sicurezza cambia la tua password sul sito di poste italiane" e ti mettono un link. Il cervello pensa che quel link possa essere quello del sito di poste italiane, ci clicchi e ti trovi in un sito perfettamente identico. Tu magari non ci cliccheresti ma molti per questione di praticità sì.

Dario Prince

Il vero pishing ti fa comparire una pagina uguale e precisa alla vera solo che una volta compilata e vai avanti non succede nulla. Vale per le poste i corrieri facebook ecc. L unica cosa è capirlo dalla mail che presenta sempre più di un carattere speciale nel mittente o tra il contenuto

Secondo me il c.p. è troppo morbido con i truffatori che non sono diversi dai ladri.

The Undertaker

AGCOM al lavoro!!!!!!
https://uploads.disquscdn.c...

Theta

Per essere “pishato” però devi mettere i dati bancari sul sito, in questo caso di BRT, e in quel ti fregano
Ma se metti i dati bancari in un sito a caso, dopo che lo sanno anche i sassi che i dati bancari non sono richiesti in nessun caso, allora sei fesso

Dario Prince

In teoria sarebbe un bel passo in avanti se nn ci saranno altre falle. Se per gli SMS si può fare qualcosa per le email è un po' diverso e l utente medio invece di essere "pishato" per SMS lo sarà per mail. Tutti i giorni a me BRT mi contatta perché nn è riuscito a consegnarmi un pacco. Immagina quanto è facile per l utente medio che magari fa un uso patologico di shopping online come il mio vicino dove un giorno si e uno no arriva il corriere quanto è facile essere "pishati" per mail

24H con Oppo Find N2 Flip, la sfida a Samsung è servita | VIDEO

Abbiamo provato i nuovi Galaxy Z Fold4 e Z Flip4, ecco le novità! | VIDEO

Copertura 5G, a che punto siamo davvero? La nostra esperienza in città

Spotify, Apple Music e gli altri: chi vincerà sul ring dello streaming musicale?