« CIC: rilevato accesso insolito al tuo conto da un nuovo dispositivo. Se non sei stato tu, metti in sicurezza qui: cic-verification-acces[.]com »
Ricevi questo messaggio alle 18:40, mentre esci dalla stazione. La persona accanto a te guarda il telefono nello stesso istante e agrotta le sopracciglia. Il messaggio è identico. Non avete lo stesso operatore, non avete la stessa banca, non c'è alcun legame tra voi. Eppure avete appena ricevuto lo stesso SMS nello stesso secondo.
Non si tratta di una classica campagna di smishing. Non c'è stato alcun elenco di numeri comprato al mercato nero, nessun gateway di invio, nessun operatore dall'altra parte. C'è un'auto parcheggiata a 150 metri, un apparecchio alimentato a batteria e una falsa stazione radio base che ha costretto tutti i telefoni del quartiere a collegarsi a lei per recapitare un messaggio direttamente nella casella di posta. È quello che si chiama SMS Blaster.
Ciò che l'SMS Blaster cambia radicalmente
Fino a oggi, tutti gli SMS fraudolenti che analizziamo in questa rivista condividono una caratteristica: passano per la rete. Il truffatore paga un servizio di invio massivo, spesso all'estero, carica una lista di numeri e preme «invia». Il messaggio transita attraverso gli operatori, attraversa i filtri anti-spam e lascia tracce utilizzabili. È per questo che la segnalazione al 33700, il servizio ufficiale francese di segnalazione dello spam vocale e via SMS gestito dall'Association Française du Multimédia Mobile insieme agli operatori nazionali, ha un senso: alimenta una catena di blocco concreta.
L'SMS Blaster fa saltare tutto questo livello. L'apparecchio si comporta come una stazione radio base mobile — un'antenna in miniatura. I telefoni nelle vicinanze, progettati per agganciarsi al segnale più forte, vi si collegano spontaneamente. Una volta stabilita la connessione, il dispositivo recapita un messaggio sul terminale esattamente come farebbe una rete vera. Le conseguenze sono a cascata:
- Nessun operatore è coinvolto. Né Orange, né SFR, né Bouygues, né Free hanno visto passare quel messaggio. I filtri anti-smishing degli operatori, che ogni anno bloccano decine di milioni di SMS fraudolenti, sono fuori gioco.
- Non è servito alcun numero. Il truffatore non conosce il tuo numero, non l'ha mai comprato, non l'ha mai visto. Inonda un'area geografica, non una lista.
- Il mittente visualizzato è completamente arbitrario. L'apparecchio decide l'intestazione: «CIC», «Ameli», «Chronopost», «ANTAI». Nulla lo obbliga a usare un formato di numero credibile.
- Il messaggio può finire in una conversazione esistente. È il dettaglio più inquietante: se il mittente visualizzato corrisponde esattamente a quello di un marchio da cui hai già ricevuto SMS legittimi, alcuni telefoni raggruppano il messaggio falso nella stessa conversazione, subito dopo quelli veri.
Quest'ultimo punto distrugge il principale riflesso di verifica che il grande pubblico aveva finito per acquisire. «Controlla se il messaggio arriva nella stessa conversazione dei precedenti»: questo consiglio, a lungo valido, non protegge più di fronte a questa tecnica.
Come può un apparecchio spacciarsi per un'antenna?
La risposta sta in una parola: il 2G. Il GSM, diffuso all'inizio degli anni Novanta, è stato progettato in un'epoca in cui la preoccupazione principale era impedire ai privati di ascoltare le comunicazioni. La rete autentica il telefono, ma il telefono non autentica davvero la rete. In altri termini: il tuo cellulare dimostra la propria identità all'antenna, ma l'antenna non deve dimostrare nulla al tuo cellulare.
Le generazioni successive hanno corretto questo difetto. Il 3G, poi il 4G e il 5G, impongono un'autenticazione reciproca: un apparato pirata non può più fingersi una rete legittima. Peccato che la compatibilità con le generazioni precedenti resti, in molti terminali, attiva per impostazione predefinita. All'attaccante basta allora disturbare o dominare localmente le bande 4G/5G perché i telefoni, privati di un'opzione migliore, «scendano» docilmente al 2G. È quello che si chiama attacco di downgrade.
Il principio tecnico non è nuovo: si tratta di un parente stretto degli «IMSI catcher», le valigette di intercettazione usate da tempo da alcuni servizi e note ai ricercatori di sicurezza da oltre quindici anni. La novità sta nel prezzo, nella miniaturizzazione e nell'uso criminale su larga scala.
L'attrezzatura necessaria, ieri riservata agli Stati, oggi sta in uno zaino e si pilota da un computer portatile. Le autorità di diversi Paesi — Regno Unito, Thailandia, Vietnam, Nuova Zelanda in particolare — hanno effettuato negli ultimi anni sequestri di dispositivi di questo tipo, spesso installati su veicoli in circolazione nei centri urbani. In Francia, l'uso di un trasmettitore radio non autorizzato su frequenze assegnate agli operatori configura diverse infrazioni distinte, indipendentemente dalla truffa in sé: il disturbo delle frequenze e l'emissione illecita sono sanzionati dal codice delle poste e delle comunicazioni elettroniche, sotto la sorveglianza dell'ANFR (Agence nationale des fréquences).
Portata breve, ma volume enorme
Un SMS Blaster non copre una città. La sua portata utile si misura in centinaia di metri — qualche decina in un ambiente denso, di più in terreno aperto. In compenso, entro quel perimetro può raggiungere diverse migliaia di terminali all'ora. Da qui la scelta dei luoghi: stazioni, uscite della metropolitana, mercati, aree commerciali, dintorni degli stadi, file d'attesa dei festival. Ovunque la densità umana sia massima e la gente guardi il telefono camminando.
Il modus operandi descritto dalla stampa specializzata è quasi sempre lo stesso: un veicolo anonimo, un apparato nel bagagliaio alimentato da una batteria esterna ad alta capacità, una sosta di venti-quaranta minuti, poi uno spostamento. Nessuna interazione con le vittime. Nessun contatto fisico. Il «corriere» non esiste, il «consulente bancario» non chiama ancora — tutto si gioca nel clic.
Riconoscere un messaggio inviato tramite SMS Blaster
Poiché l'intestazione del mittente non dimostra più nulla, occorre spostare l'attenzione su altri segnali. Quattro indizi si combinano spesso:
| Indizio | Cosa osservi | Perché è rivelatore |
|---|---|---|
| Simultaneità | Più persone intorno a te ricevono lo stesso messaggio | Una campagna classica non prende di mira un'area geografica |
| Breve interruzione di rete | Il telefono è passato a «E», «G» o senza dati poco prima | Segno di un downgrade forzato verso il 2G |
| Marchio incoerente | Un SMS di una banca di cui non sei cliente | L'attacco non è mirato: inonda e basta |
| Link con dominio raffazzonato | cic-verification-acces.com, ameli-mise-a-jour.net | Nessuna amministrazione né banca usa domini simili |
Il secondo indizio è il più tecnico ma anche il più affidabile. Se, in pieno centro città coperto in 4G/5G, il telefono passa all'improvviso su un indicatore «E» o «G» per qualche minuto, e subito dopo arriva un SMS sorprendente, la coincidenza merita diffidenza. Gli utenti che tengono un power bank compatto nella borsa notano spesso questi cambi, proprio perché controllano con più attenzione la barra di stato quando ricaricano fuori casa.
Il terzo indizio resta comunque il più accessibile: una truffa di zona è per definizione mal mirata. Se ricevi un «problema di pagamento» da un negozio presso cui non hai ordinato nulla, o un avviso da una banca che non è la tua, la questione è chiusa.
L'impostazione che neutralizza l'attacco: disattivare il 2G
È la contromisura più efficace, ed è gratuita. Poiché l'attacco si basa su un ritorno forzato al 2G, impedire al telefono di collegarvisi equivale a segare il ramo su cui il truffatore è seduto.
Su Android
La maggior parte delle versioni recenti di Android propone un interruttore dedicato, erede di una funzione introdotta da Google a partire da Android 12:
- Impostazioni → Rete e Internet → SIM (oppure «Rete mobile»)
- Cerca l'opzione «Consenti 2G» e disattivala.
Alcuni produttori la chiamano diversamente, o la collocano in un menu «Tipo di rete preferito» dove si seleziona «Solo 4G/5G». Sui dispositivi che non mostrano questa impostazione, resta spesso accessibile tramite il menu avanzato dell'operatore.
Esiste anche una modalità di «protezione rafforzata» più ampia, chiamata Advanced Protection nelle versioni più recenti di Android: disattiva il 2G, blocca le connessioni non cifrate e irrigidisce diversi comportamenti di rete con un solo gesto.
Su iPhone
Apple non propone un interruttore «2G» isolato, ma la modalità Isolamento (Impostazioni → Privacy e sicurezza → Modalità Isolamento) disattiva tra l'altro le connessioni mobili non sicure, 2G compreso. Questa modalità è volutamente restrittiva: limita anche gli allegati, alcune funzioni web e gli inviti in entrata. Si rivolge alle persone realmente esposte, non all'uso quotidiano di chiunque.
In alternativa, si può quantomeno verificare in Impostazioni → Cellulare → Opzioni → Voce e dati che il terminale sia impostato su 5G o LTE, e non su una modalità compatibile con le reti vecchie.
E se hai bisogno del 2G?
Restano due casi legittimi. Primo, alcune zone rurali conservano una copertura 2G residua come rete di sicurezza per la voce. Secondo, molti oggetti connessi — localizzatori, allarmi, telefoni cellulari a tasti grandi per anziani, smartwatch GPS per bambini — esistono solo in 2G. Se stai attrezzando una persona cara, la scelta del terminale conta: un modello compatibile 4G VoLTE, anche molto semplice da usare, è preferibile a un apparecchio bloccato sul 2G. Gli operatori francesi hanno peraltro avviato lo spegnimento progressivo del 2G e del 3G entro la fine del decennio, cosa che renderà questo punto superato — ma non ci siamo ancora.
Gli altri accorgimenti che restano validi
Disattivare il 2G elimina il vettore d'ingresso più comune. Ma il seguito della truffa non cambia: il messaggio vuole farti cliccare su un link e inserire delle credenziali. Le difese classiche conservano quindi tutto il loro valore.
- Non usare mai il link ricevuto. Apri l'app ufficiale della tua banca, o digita tu stesso l'indirizzo. Questa singola regola annulla l'immensa maggioranza delle campagne, blaster o no.
- Verificare attraverso un canale indipendente. Chiama il numero riportato sul retro della tua carta bancaria, mai quello indicato nell'SMS.
- Attivare un'autenticazione a due fattori robusta. Una chiave di sicurezza fisica FIDO2 o un'app di autenticazione valgono più di un codice inviato via SMS — proprio perché il canale SMS è l'anello debole.
- Aggiornare il sistema. Le patch di sicurezza mensili di Android e iOS chiudono regolarmente falle nello stack di rete. Un telefono abbandonato dal produttore è più vulnerabile, e non solo ai blaster.
- Diffidare della seconda fase. L'SMS raramente è la truffa completa: serve da innesco per una telefonata del «finto consulente bancario» qualche ora o qualche giorno dopo. Questo scenario di manipolazione, in forte crescita secondo le osservazioni della Banque de France, è quello che costa di più alle vittime.
Per le famiglie che vogliono formalizzare un minimo di igiene digitale, un quaderno per password cartaceo riposto fuori dalla vista resta, paradossalmente, uno strumento di sicurezza del tutto difendibile per chi non vuole un gestore software — a condizione che non contenga codici bancari e che non viaggi mai nella borsa.
Cosa fare se hai cliccato
L'ordine dei gesti conta più del loro numero.
- Interrompi subito i dati (modalità aereo) se sospetti che sia in corso il download di un'app. Un blaster può anche recapitare un link di installazione di un'applicazione malevola su Android.
- Cambia le password da un altro dispositivo, cominciando dalla casella di posta principale e dall'area bancaria.
- Chiama la tua banca al numero ufficiale e blocca la carta se hai inserito i dati della carta. Ricordiamo che, secondo il codice monetario e finanziario, un'operazione non autorizzata deve in linea di principio essere rimborsata dalla banca, salvo grave negligenza da parte tua — da qui l'importanza di segnalare rapidamente e per iscritto.
- Segnala al 33700 via SMS (inoltrando il messaggio) e sporgi denuncia. Anche se l'operatore non ha trasportato il messaggio, la segnalazione permette di documentare la campagna e di bloccare i domini collegati.
- Avvisa chi ti sta intorno geograficamente: colleghi, vicini, commercianti del quartiere. Un attacco di zona colpisce una comunità, non un individuo.
Il portale ufficiale cybermalveillance.gouv.fr offre un percorso di assistenza gratuito e la messa in contatto con professionisti, mentre service-public.fr illustra nel dettaglio la procedura di denuncia. L'Arcep, dal canto suo, ricorda regolarmente i canali di segnalazione delle comunicazioni indesiderate.
Cosa ci dice questa tecnica sul futuro
L'SMS Blaster segna un cambiamento discreto ma profondo: la frode via SMS diventa una minaccia di prossimità fisica. Per vent'anni si è insegnato al pubblico che il pericolo veniva da «qualche parte», da un server anonimo all'estero. Qui viene dalla strada accanto, da un veicolo qualunque, per una mezz'ora.
Questo ha due conseguenze pratiche. Primo, la vigilanza non può più essere delegata interamente agli operatori: un filtro di rete, per quanto performante, non vede nulla di un messaggio che non passa per la rete. Secondo, le impostazioni del terminale, a lungo considerate un dettaglio da esperti, diventano una linea di difesa di primo piano — esattamente come una pellicola in vetro temperato lo è per lo schermo.
Il consiglio che resiste a tutto, invece, non si è spostato di un millimetro: nessuna banca, nessuna amministrazione, nessun corriere ti chiederà mai di inserire le tue credenziali da un link ricevuto via SMS. Poco importa il mittente visualizzato, poco importa la conversazione in cui compare, poco importa l'antenna — vera o falsa — che ha trasportato il messaggio.
