26.08.2025 - La scorsa settimana, l’Ufficio federale della cibersicurezza (UFCS) ha registrato un netto aumento delle segnalazioni di phishing con presunte notifiche relative alla consegna di pacchi. In questa forma di phishing via SMS, i truffatori si fingono la Posta Svizzera o DPD per accedere ai dati sensibili dei cittadini. A essere colpiti sono soprattutto gli utenti di prodotti Apple. Nella retrospettiva di questa settimana scoprirete come potete riconoscere e proteggervi da tali notifiche.
L’UFCS sta ricevendo molte segnalazioni di SMS di phishing con presunte notifiche relative alla consegna di pacchi da parte della Posta Svizzera e di DPD. L’attuale ondata di attacchi utilizza in modo mirato i moderni protocolli di messaggistica come «iMessage» di Apple e «Rich Communication Services » (RCS) di Android. A differenza degli SMS tradizionali, questi messaggi sono crittografati end-to-end. Questa crittografia, che in realtà è una caratteristica di sicurezza per proteggere la privacy, è sfruttata in maniera strategica dai criminali, poiché impedisce agli operatori di telefonia mobile di scansionare il contenuto dei messaggi per individuare eventuali link dannosi e bloccarli. In questo modo, i truffatori eludono un’importante linea di difesa e si assicurano che i loro messaggi abbiano un’alta probabilità di arrivare ai dispositivi delle potenziali vittime.
«iMessage» e messaggi di gruppo con titolo
Un aspetto particolarmente perfido di questo modus operandi è il modo in cui si presentano i messaggi. I truffatori utilizzano una funzione di RCS che consente di assegnare ai messaggi di gruppo un nome definito dall’utente. Le vittime ricevono quindi una notifica che dà loro l’impressione di essere state aggiunte a un gruppo ufficiale, come ad esempio «Informazioni di consegna della Posta». Una simile notifica sembra molto più autentica di un semplice messaggio proveniente da un numero estero sconosciuto e riduce la soglia di inibizione dei destinatari.
I criminali utilizzano anche un escamotage per eludere le misure di sicurezza integrate negli smartphone. I moderni sistemi operativi disabilitano i link negli SMS provenienti da mittenti sconosciuti per evitare che gli utenti accedano inavvertitamente a siti di phishing. I truffatori invitano quindi le vittime a rispondere al messaggio con «Y»: questa azione viene interpretata dal sistema operativo come una dimostazione di fiducia, per cui il link dannoso prima inattivo viene attivato e può essere cliccato. I criminali inducono quindi le vittime a indebolire attivamente la sicurezza del proprio dispositivo.
L’intera campagna gioca sulla manipolazione psicologica. Imitando marchi noti come «La Posta Svizzera» viene sfruttato il cosiddetto principio di autorità. Per saperne di più su questo principio consigliamo la lettura della retrospettiva settimanale 31/2025. Al contempo, i messaggi creano un’enorme pressione in termini di tempo con frasi come «non è stato possibile completare la consegna» e scadenze brevi per una presunta riconsegna. Questa finta urgenza ha lo scopo di ostacolare il pensiero razionale e di indurre le vittime ad agire impulsivamente. Chiunque clicchi sul link si ritrova su una falsa versione del sito ufficiale del servizio pacchi dal design professionale, nella quale vengono richiesti i dati della carta di credito e altre informazioni personali con il pretesto di dover pagare una tassa di lieve entità per la riconsegna.
Raccomandazioni
- Siate estremamente diffidenti nei confronti di notifiche inaspettate relative alla consegna di pacchi ricevute via SMS, «iMessage» o «Rich Communication Services» (RCS), anche se state effettivamente aspettando un pacco.
- Non aprite link o allegati contenuti in messaggi sospetti.
- Non rispondete al messaggio, nemmeno con «STOP». Una risposta segnala ai truffatori che il vostro numero è attivo.
- Eliminate il messaggio e bloccate il numero del mittente.
- Collegatevi manualmente al sito web ufficiale del servizio pacchi nel vostro browser e inserite lì un eventuale numero di spedizione. Non utilizzate mai i link o i dati di contatto contenuti nell’SMS.
- Installate gli aggiornamenti del sistema operativo e delle applicazioni sul vostro smartphone con regolarità e il più rapidamente possibile.
- Attivate il blocco dei gestori terzi presso il vostro operatore di telefonia mobile per proteggervi dagli abbonamenti trappola.
- Se avete fornito dei dati, contattate immediatamente il vostro istituto finanziario per bloccare le carte interessate e modificate tutte le password. Sporgete denuncia alla polizia. Potete trovare la stazione di polizia più vicina a voi tramite il sito Suisse ePolice.
Numeri e statistiche attuali
Segnalazioni della scorsa settimana per categoria:
Ultima modifica 26.08.2025
