Short Message Service (SMS) Phishing Attacks and Defenses: A Comprehensive Review

Ogni giorno, miliardi di persone portano in tasca un dispositivo che funge da linea diretta verso i propri conti bancari, le proprie foto personali e le proprie conversazioni più private. Poiché facciamo affidamento su questi dispositivi per così tanto, i criminali hanno trovato un modo per volgere quella fiducia contro di noi. Inviano messaggi di testo che sembrano provenire da un'azienda affidabile, da un servizio di consegna o persino da un amico. Questi messaggi spesso creano un senso di panico o urgenza, dicendo al destinatario che il suo account è bloccato, che un pacco è in attesa o che ha vinto un premio. L'obiettivo è ingannare la persona affinché clicchi su un link o inserisca una password. Questo specifico tipo di inganno, noto come phishing via SMS o "smishing", è diventato un enorme problema globale. Solo negli Stati Uniti, queste truffe via SMS sono costate agli utenti quasi 640 milioni di dollari in un singolo anno recente, una cifra che è aumentata di oltre sei volte in soli cinque anni. La situazione sta peggiorando perché i criminali non si limitano a inviare i soliti vecchi messaggi; stanno usando nuovi strumenti per rendere le loro bugie più convincenti e difficili da individuare.

Un team di ricercatori della Tennessee Technological University e della University of Colorado Colorado Springs ha deciso di fare un passo indietro per comprendere l'intera portata di questa crescente minaccia. Invece di costruire solo un nuovo strumento per bloccare un tipo di messaggio dannoso, hanno condotto una revisione completa di tutto ciò che si sa sullo smishing. Hanno raccolto e analizzato centinaia di studi scientifici, documenti legali e set di dati pubblici per creare una mappa completa del problema. Il loro lavoro copre quattro aree principali: come le persone reagiscono a questi messaggi, come sono strutturati gli attacchi, quali difese esistono attualmente e quali dati hanno a disposizione i ricercatori per studiare la questione. Riunendo tutti questi pezzi, sperano di mostrare dove gli sfori attuali stanno fallendo e indicare la strada verso una migliore protezione per tutti.

I ricercatori hanno prima esaminato le persone che ricevono questi messaggi. Hanno scoperto che la suscettibilità a queste truffe non riguarda solo l'essere sbadati o poco istruiti. Sebbene alcune persone siano più propense a cadere in un tranello rispetto ad altre, il rischio è influenzato da un complesso mix di abitudini, emozioni e contesto. Ad esempio, qualcuno che utilizza frequentemente i social media o le app bancarie potrebbe trovare un messaggio relativo a tali servizi più credibile, semplicemente perché sembra familiare. Lo studio ha anche evidenziato che gli attaccanti sono esperti nell'uso della psicologia umana. Elaborano messaggi che scatenano paura, avidità o un senso di urgenza, spingendo le persone ad agire rapidamente senza riflettere. I ricercatori hanno notato che, mentre alcune difese si concentrano su dettagli tecnici, l'elemento umano rimane l'anello debole. Anche le persone che conoscono le truffe possono essere ingannate se il messaggio è ben progettato per sfruttare le loro specifiche paure o desideri.

Per quanto riguarda gli attacchi stessi, i ricercatori hanno scoperto che il panorama è diventato incredibilmente diversificato. In passato, i messaggi di smishing erano spesso rozzi, pieni di cattiva grammatica e link ovvi. Oggi, gli attacchi sono molto più sofisticati. Possono provenire da numeri che sembrano esattamente quelli di organizzazioni legittime, oppure possono essere inviati in ondate massicce a persone casuali. I ricercatori hanno identificato che questi attacchi seguono spesso temi specifici, come rimborsi fiscali falsi, notifiche di consegna o avvisi di sicurezza dell'account. Hanno anche osservato che i criminali stanno iniziando a usare l'intelligenza artificiale per scrivere questi messaggi, rendendoli perfettamente naturali e su misura per la vittima. Questa evoluzione significa che i vecchi metodi per bloccare i messaggi, che si basavano su semplici liste di parole cattive o link noti come dannosi, non sono più sufficienti. Gli attaccanti cambiano costantemente le loro tattiche per eludere questi filtri.

Per combattere, i ricercatori hanno esaminato lo stato attuale della difesa. Hanno scoperto che la maggior parte delle soluzioni moderne si basa sull'apprendimento automatico (machine learning), un tipo di programma informatico che impara a riconoscere i modelli da grandi quantità di dati. Questi programmi stanno diventando molto bravi a individuare testi sospetti, con alcuni modelli recenti che raggiungono tassi di accuratezza superiori al 99 percento. Tuttavia, i ricercatori hanno sottolineato un problema significativo: molti di questi sistemi potenti sono "scatole nere". Possono dirvi che un messaggio è una truffa, ma non possono spiegare facilmente il perché. Questa mancanza di trasparenza rende difficile per gli utenti fidarsi degli avvisi o per i regolatori comprendere come vengono prese le decisioni. Inoltre, sebbene esistano molte app mobili progettate per bloccare questi messaggi, la loro efficacia varia ampiamente. Alcune sono eccellenti nel catturare le truffe, mentre altre ne perdono molte o bloccano troppi messaggi innocui. Lo studio ha anche esaminato leggi e regolamenti, riscontrando che, sebbene alcuni paesi abbiano regole forti contro queste pratiche, l'applicazione è spesso difficile e inconsistente tra le diverse regioni.

Una parte importante del lavoro dei ricercatori ha riguardato l'analisi dei set di dati che gli scienziati utilizzano per addestrare questi sistemi di rilevamento. Hanno scoperto che molti di questi set di dati sono obsoleti o limitati. Ad esempio, alcuni set di dati più vecchi contengono messaggi di un decennio fa che non riflettono il modo in cui operano gli scammer oggi. Altri sono pesantemente sbilanciati verso l'inglese, lasciando un vuoto nella comprensione di come questi attacchi funzionino in altre lingue. I ricercatori hanno anche scoperto che molti set di dati contengono link a siti web che non esistono più, il che rende difficile studiare le destinazioni reali di queste truffe. Per affrontare questo, hanno creato una nuova collezione di dati unificata, chiamata "Smishing Data Hub", che organizza e pulisce le informazioni esistenti per aiutare i futuri ricercatori a costruire difese migliori.

La revisione conclude che, sebbene la tecnologia stia avanzando, la battaglia contro lo smishing richiede un approccio più ampio. I ricercatori suggeriscono che gli sfori futuri debbano andare oltre la semplice costruzione di filtri migliori. Argomentano a favore di una comprensione più profonda dei trucchi psicologici usati dagli scammer, affinché gli utenti possano essere istruiti a riconoscere la manipolazione emotiva dietro le parole. Chiamano anche a set di dati più diversificati che includano messaggi in molte lingue diverse e in vari formati, non solo testo. Infine, enfatizzano la necessità di una migliore collaborazione tra le aziende tecnologiche, le forze dell'ordine e i decisori politici per creare una risposta più coordinata. Lo studio non pretende di aver risolto il problema, ma fornisce una chiara tabella di marcia su come la comunità scientifica possa procedere per proteggere gli utenti in un mondo digitale sempre più ingannevole.