06.05.2025 - Con il voice phishing i criminali cercano di sottrarre alle vittime dati sensibili e denaro, presentandosi al telefono come rappresentanti di istituzioni riconosciute come banche, PayPal, Twint o borse di criptovalute. L’Ufficio federale della cibersicurezza (UFCS) continua a ricevere numerose segnalazioni in merito.
Settimana 18: Attenzione ai messaggi vocali di phishing a nome di banche, borse di criptovalute, PayPal e Twint
Il voice phishing, noto anche come vishing, è una forma di ingegneria sociale. I malintenzionati cercano di convincere con un pretesto per telefono le vittime a rivelare informazioni riservate con un pretesto o a compiere azioni per loro dannose.
Qual è la strategia dei truffatori?
Le strategie dei criminali sono molteplici, ma quasi tutte mirano a indurre pressione e timore. Tra gli argomenti addotti figurano:
- C’è un problema di sicurezza con il conto.
- Occorre verificare una transazione sospetta.
- È stato effettuato un addebito sospetto sul conto.
- Un presunto acquirente ha trasferito troppo denaro.
- Si è verificato un problema con la verifica del conto.
- È necessario impostare una nuova procedura di sicurezza.
La dinamica è simile anche per le borse di criptovalute: si fa riferimento a presunte anomalie negli cripto-asset che richiedono una verifica del conto, o ad aggiornamenti di sicurezza.
Per accedere a dati personali, informazioni di accesso, dati di carte di credito o conti bancari, chiavi private come le frasi seed utilizzate nei portafogli di criptovalute o persino direttamente a fondi o cripto-asset, i malintenzionati tentano, ad esempio, di indurre la vittima a installare software di manutenzione remota o a confermare transazioni.
Come si riconosce il voice phishing?
- Chiamata inaspettata: solitamente la chiamata in entrata non è pianificata.
- Urgenza e pressione: chi chiama vi mette sotto pressione affinché agiate immediatamente e non vi lascia il tempo di riflettere o controllare.
- Richiesta di dati sensibili: istituzioni affidabili come le banche, PayPal o Twint non vi chiederebbero mai password, numeri di carta di credito con codice segreto o PIN per telefono.
- I chiamanti richiedono l’accesso remoto: in molti casi chi chiama chiede alla vittima di scaricare un software di accesso remoto e di poter così accedere al computer o al telefono cellulare dei malcapitati.
- Numero di telefono insoliti: diffidate dei numeri di telefono sconosciuti o nascosti.
Voice phishing anche tramite e-mail e SMS
Anche se sembra illogico, sono sempre più numerosi i tentativi di voice phishing in cui con un SMS o un’email viene fatto credere al destinatario che ha effettuato un pagamento o che è stato effettuato un addebito a suo nome. Tra i casi tipici rientrano anche notifiche su presunti addebiti a nome di Twint. Qualora non si voglia autorizzare la transazione o l’addebito, è possibile procedere al loro annullamento: naturalmente occorre agire in fretta. Per farlo viene fornito un numero di telefono di un presunto supporto. Dietro al numero si nascondono però i truffatori, che una volta contattati seguono il classico copione dei voice phishing descritto precedentemente. Così facendo i malintenzionati cercano di mettere le loro vittime in uno stato agitazione inducendole ad agire nella foga del momento.
Raccomandazioni
- Interrompete immediatamente la conversazione se qualcosa sembra strano, se vengono esercitate pressioni o richiesti dati sensibili. Non lasciatevi coinvolgere in lunghe discussioni.
- Non fornite mai dati sensibili: in nessun caso dovete fornire password, PIN, dati completi della carta di credito, codici di verifica (CVV/CVC) o codici di conferma (SMS TAN, autorizzazioni app) per telefono. La vostra banca, Paypal, Twint o altre istituzioni finanziarie affidabili non vi contatteranno mai senza preavviso per telefono, e-mail o SMS chiedendovi di rivelare tali informazioni riservate.
- Astenetevi anche dal rivelare altri dati: spesso i chiamanti iniziano la conversazione chiedendo quale sia la vostra banca e quale sia il saldo del vostro conto. Questi dati vengono poi utilizzati in una seconda chiamata per fingere affidabilità.
- Non cedete ad alcuna richiesta di installare software: non scaricate programmi o applicazioni e non concedete l’accesso remoto al vostro computer o smartphone solo perché ve lo chiede una persona al telefono, anche se afferma di essere un collaboratore dell’assistenza clienti.
- Non cliccate su alcun link e non aprite alcun allegato: non seguite alcun link o aprite alcun file allegato che vi sia stato inviato in relazione a una chiamata sospetta (o in e-mail/SMS sospetti).
- Fate prova di scetticismo: non fidatevi delle chiamate che vi mettono sotto pressione, vi minacciano di conseguenze (ad esempio il blocco del conto) o fanno offerte irrealistiche.
- Se non siete sicuri che una richiesta sia autentica, interrompete la telefonata. Contattate quindi la vostra banca, Paypal o Twint tramite il numero di telefono ufficiale a voi noto (dal sito ufficiale o dai vostri documenti). Accedete al vostro conto direttamente tramite il sito web o l’app ufficiale per controllare eventuali messaggi o transazioni. Non utilizzate mai le informazioni di contatto o i link che provengono da un chiamante sospetto.
- Ove possibile, attivate l’autenticazione a due fattori (2FA) per i vostri conti online.
Numeri e statistiche attuali
Segnalazioni della scorsa settimana per categoria:
Ultima modifica 06.05.2025
