Un recente caso raccontato da TIME mostra quanto possa essere fragile la sicurezza digitale quando l’accesso a conti bancari, dispositivi, identità personale e strumenti di pagamento dipende da un unico punto di controllo: lo smartphone. La vicenda riguarda un professionista statunitense che ha ricevuto un SMS apparentemente ufficiale, relativo a una presunta operazione sospetta sulla propria carta di credito. Dopo aver risposto al messaggio, è stato contattato telefonicamente da un falso operatore: il numero risultava identico a quello del servizio clienti reale, grazie a una tecnica di spoofing che consente ai truffatori di far apparire una chiamata come proveniente da un numero legittimo. Il passaggio decisivo è stato la richiesta di un codice di verifica. Una volta ottenuto il codice, i criminali hanno potuto prendere il controllo dell’account collegato al telefono, modificare i contatti di recupero, rimuovere carte dal wallet digitale e bloccare il proprietario che di fatto non aveva più controllo del proprio dispositivo. In pochi minuti, la vittima si è trovata senza accesso al telefono, ai sistemi di pagamento, ai dati personali e a numerosi servizi online. Questo mentre I truffatori svuotavano i conti correnti bancari. Il caso è particolarmente rilevante anche per imprese, manager e professionisti, perché dimostra che il problema non riguarda solo la tecnologia, ma l’organizzazione complessiva della propria identità digitale. Molti servizi utilizzano ancora SMS, numeri di telefono o account principali come strumenti di recupero. Se un criminale riesce a compromettere quel punto centrale, può accedere a una catena molto più ampia di informazioni e strumenti. Le autorità e gli organismi di cybersecurity ricordano da tempo che phishing, smishing e vishing sono tra le tecniche più diffuse di social engineering. In questi schemi, l’obiettivo non è “forzare” tecnicamente un sistema, ma convincere la vittima a compiere un’azione: cliccare un link, confermare una richiesta, condividere un codice o autorizzare un accesso. La regola principale è semplice: nessuna banca, piattaforma o istituzione legittima chiede telefonicamente o via messaggio di comunicare un codice di verifica ricevuto via SMS, app o e-mail. Se una chiamata sembra provenire dalla banca o da un fornitore di servizi, è sempre preferibile interrompere la conversazione e richiamare utilizzando il numero ufficiale presente sul sito, sull’app o sul retro della carta.
Per ridurre il rischio, imprese e utenti dovrebbero adottare alcune misure pratiche:
non comunicare mai codici OTP, PIN, password o codici di verifica a terzi;
evitare di rispondere a SMS sospetti, anche con semplici conferme come “sì” o “no”;
verificare le richieste urgenti tramite un canale indipendente e già conosciuto;
separare, quando possibile, l’account usato per i pagamenti da quello usato per foto, documenti, e-mail e backup;
attivare l’autenticazione a più fattori, preferibilmente tramite app o chiavi di sicurezza, non solo via SMS;
predisporre procedure interne per autorizzare pagamenti, modifiche bancarie o richieste apparentemente provenienti da dirigenti, colleghi o familiari;
formare regolarmente il personale sui casi di smishing, vishing e frodi digitali.
La lezione più importante è che la sicurezza digitale non può dipendere da un unico dispositivo o da un unico account. La comodità degli strumenti integrati quali telefono, wallet, e-mail, password salvate, identità digitale, deve essere bilanciata da ridondanza, prudenza e procedure di verifica.
Per le imprese, anche piccole e medie, questo significa trattare la cybersecurity non solo come un tema tecnico, ma come una parte essenziale della gestione del rischio aziendale.
