Smishing di pacchetti USPS e truffa di riconsegna falsa¶

Ricevere un messaggio di testo urgente in cui si informa che un pacco del servizio postale degli Stati Uniti non può essere consegnato a causa di un indirizzo incompleto è oggi una delle minacce informatiche più comuni sui dispositivi mobili. Questi attacchi di phishing SMS (Short Message Service), noti come smishing, mostrano marchi postali realistici, codici a barre di tracciamento simulati e lingua ufficiale. Il messaggio ti indirizza a un sito Web fraudolento simile in cui ti viene chiesto di verificare il tuo indirizzo di casa e pagare una piccola commissione di riconsegna, in genere compresa tra 0,30 USD e 3,00 USD, inserendo il numero della tua carta di debito o di credito, la data di scadenza, il codice di sicurezza e i dettagli di fatturazione.

La piccola tariffa di riconsegna è semplicemente un meccanismo ingannevole progettato per catturare i dati completi della tua carta di credito e i dati di identità personale. Una volta inviate, le reti criminali avviano immediatamente transazioni al dettaglio online non autorizzate, registrano la tua carta in abbonamenti fraudolenti ricorrenti o tentano il furto di account utilizzando intercettatori di password monouso in tempo reale. In alcuni casi, sui dispositivi Android, facendo clic sul collegamento dannoso si attiva il download silenzioso di applicazioni trojan bancari che monitorano le sequenze di tasti e intercettano i codici di autenticazione a più fattori. L’adozione di misure di contenimento immediate sulle carte di pagamento, sui dispositivi mobili e sui file di credito può neutralizzare le perdite finanziarie e prevenire il furto di identità a lungo termine.

Fallo adesso¶

Se hai fatto clic su un link di testo postale falso o hai inviato i dettagli di pagamento su un sito Web di riconsegna, intraprendi immediatamente queste sei azioni:

1. Blocca o annulla subito la carta di pagamento compromessa:
   • Apri l'app di mobile banking o chiama l'emittente della carta utilizzando il numero di emergenza antifrode stampato sul retro della carta.
   • Utilizza i controlli della carta dell'app per modificare immediatamente lo stato della tua carta su "Bloccata" o segnalare la carta come compromessa.
   • Richiedi una carta sostitutiva immediata con un numero di conto di sedici cifre, data di scadenza e codice di sicurezza CVV completamente nuovi.
2. Esamina le transazioni in sospeso e contesta gli addebiti fraudolenti:
   • Controlla la cronologia recente delle transazioni per verificare la presenza di microaddebiti sconosciuti o di autorizzazioni commerciante non autorizzate in sospeso.
   • Chiedi alla tua banca di rifiutare tutte le autorizzazioni di abbonamento ricorrenti e di emettere uno storno di addebito formale ai sensi delle norme federali sulla protezione dei consumatori.
   • Dichiarare esplicitamente al rappresentante della frode: "Ho inserito i dati della mia carta su un sito Web di phishing fraudolento che si spaccia per la consegna postale".
3. Ispeziona il tuo dispositivo mobile per individuare app o profili non autorizzati:
   • Su Android, apri Impostazioni -> App e verifica la presenza di applicazioni sconosciute installate di recente (come tracker di pacchetti falsi o lettori Flash).
   • Su iPhone, apri Impostazioni -> Generali -> Gestione VPN e dispositivo e verifica che non siano stati installati profili di configurazione di gestione dei dispositivi mobili (MDM) o certificati aziendali non autorizzati.
   • Se viene trovata un'applicazione o un profilo di configurazione sconosciuto, rimuoverlo immediatamente e riavviare il dispositivo.
4. Inoltra il messaggio di testo dannoso per segnalare il mittente:
   • Copia il corpo del messaggio di testo e inoltralo direttamente al codice breve spam dell'operatore universale 7726 (che significa SPAM).
   • Inoltrare il messaggio e i dettagli del mittente al servizio di ispezione postale degli Stati Uniti all'indirizzo spam@uspis.gov.
   • Acquisisci uno screenshot del messaggio di testo e dell'URL del sito Web prima di eliminare il thread di conversazione.
5. Proteggi la tua identità personale se hai inviato indirizzo completo e dati personali:
   • Se il modulo di phishing richiede il tuo numero di previdenza sociale, la data di nascita o il nome da nubile della madre, considera la tua identità come esposta.
   • Inserisci avvisi temporanei di frode o blocchi di sicurezza completi sui tuoi file di credito su Equifax, Experian e TransUnion.
   • Monitora regolarmente i tuoi rapporti di credito per richieste non autorizzate o linee commerciali appena aperte.
6. Segnala il portale smishing ai database federali sulla sicurezza informatica:
   • Presenta una denuncia per reati su Internet presso l'FBI Internet Crime Complaint Center all'indirizzo ic3.gov.
   • Invia l'URL di phishing dannoso a Google Navigazione sicura e alla Cybersecurity and Infrastructure Security Agency (CISA) per proteggere altri consumatori.
   • Segnala la pratica commerciale ingannevole alla Federal Trade Commission all'indirizzo reportfraud.ftc.gov.

Diagramma di flusso del triage degli incidenti¶

Segui questo percorso decisionale passo passo per valutare il tuo livello di esposizione, contenere potenziali frodi con le carte e proteggere il tuo smartphone mobile:

flowchart TD
    A["Ricevuto SMS che segnala la mancata consegna postale"] --> B{"Hai fatto clic sul collegamento Web nel testo?"}
    B -->|"No: solo SMS ricevuto"| C["Inoltra SMS al 7726 e spam@uspis.gov, elimina il messaggio, blocca il numero"]
    B -->|"Sì: collegamento cliccato"| D{"Hai inserito i dettagli della carta, la password o le informazioni personali?"}
    D -->|"No: browser chiuso immediatamente"| E["Cancella la cache e i cookie del browser mobile, controlla il dispositivo per i file scaricati"]
    D -->|"Sì: carta o informazioni inviate"| F["Chiama immediatamente l'unità antifrode dell'emittente della carta per annullare la carta"]
    F --> G["Contestare gli addebiti pendenti e revocare le autorizzazioni ricorrenti"]
    G --> H{"Hai fornito il numero di previdenza sociale o la data di nascita?"}
    H -->|"Sì: identità completa esposta"| I["Posiziona i blocchi di sicurezza su Equifax, Experian e TransUnion"]
    H -->|"No: è stata inserita solo la carta"| J["Monitora gli estratti conto per 60 giorni, verifica i rapporti di credito"]
    I --> K["Segnala l'URL di phishing a FBI IC3, FTC e CISA"]
    J --> K

Come funzionano le operazioni di smishing postale¶

Lo smishing della consegna postale non viene eseguito da hobbisti isolati; è orchestrato da sindacati di criminalità informatica organizzati che utilizzano hardware di spam distribuito, kit di phishing proxy inverso e canali di prelievo finanziario automatizzati.

+-----------------------------------------------------------------------------+
|                     POSTAL SMISHING ATTACK ARCHITECTURE                     |
+-----------------------------------------------------------------------------+
|                                                                             |
|  1. Mass SMS Blast             SIM farms and compromised iMessage botnets   |
|     (Millions daily)           send automated texts to sequential numbers.  |
|                                                                             |
|  2. Spoofed Redelivery URL     Victim clicks lookalike domain               |
|     (Reverse proxy kit)        (e.g., usps-redeliver-tracking-hub.com).     |
|                                                                             |
|  3. Fake Tracking Interface    Page displays realistic USPS branding,       |
|     (Address verification)     simulated tracking status, and address form. |
|                                                                             |
|  4. Card Harvesting Trap       Page demands $0.35 redelivery fee;           |
|     (CVV, expiration, ZIP)     captures complete payment credentials.       |
|                                                                             |
|  5. Real-Time OTP Intercept    Scammer attempts Apple Pay provisioning;     |
|     (Adversary-in-the-Middle)  tricks victim into typing bank SMS code.     |
|                                                                             |
+-----------------------------------------------------------------------------+

Le infrastrutture della grande distribuzione: SIM farm e botnet¶

Le organizzazioni criminali inviano quotidianamente milioni di messaggi smishing agli abbonati di telefoni cellulari attraverso interi prefissi utilizzando hardware specializzato:

• Hardware SIM Farm (modem GSM): rack di modem GSM multicanale contenenti centinaia di carte SIM cellulari prepagate acquistate con fondi rubati o attivate con nomi falsi. Questi dispositivi ruotano automaticamente i numeri di telefono per aggirare i filtri antispam dell'operatore.
• Botnet iMessage e RCS compromessi: gli aggressori utilizzano script software per dirottare gli account Apple iMessage e Google RCS, consentendo loro di inviare messaggi blue-bubble o testi RCS crittografati direttamente alle vittime tramite canali dati, bypassando completamente i firewall SMS degli operatori di telefonia mobile.
• Smishing-as-a-Service (SmaaS): gli autori delle minacce del dark web vendono kit smishing chiavi in ​​mano che includono nuovi elenchi di numeri di cellulare attivi, API gateway SMS automatizzate e modelli postali pre-hosted dietro pagamento di una quota di abbonamento.

Kit di phishing proxy inverso e domini simili¶

Quando una vittima tocca il collegamento nel messaggio, il browser web carica un sofisticato framework di phishing con proxy inverso (come Modlishka, Evilginx o kit postali personalizzati):

• Domain Typosquatting: gli aggressori registrano domini simili che imitano i servizi governativi ufficiali, come usps-tracking-support-redelivery.com, post-office-portal-us.com, o usps-update-delivery-info.org.
• Geotargeting dinamico: il server di phishing controlla l'indirizzo IP del visitatore in entrata. Se il visitatore si trova nel Regno Unito, il server lo reindirizza a un modello falso di Royal Mail; se in Canada, ad un falso portale Canada Post; e se negli Stati Uniti, a una pagina di destinazione USPS falsa.
• Cloaking di bot e crawler: il server rileva automaticamente i crawler di indicizzazione dei motori di ricerca, i ricercatori di sicurezza informatica e i bot di scansione delle minacce, fornendo loro una pagina vuota innocua o un errore 404 e consegnando il modello di phishing dannoso esclusivamente agli utenti di smartphone mobili autentici.

La trappola dei pagamenti “adversary-in-the-middle” in tempo reale¶

La pagina di pagamento sembra elaborare un addebito banale, come 0,35 USD, 1,20 USD o 2,99 USD, con il pretesto di "spese amministrative di riconsegna" o "supplemento di trattenimento del pacco":

• Quando inserisci i dettagli della tua carta e fai clic su "Invia", il kit di phishing non elabora un addebito di 0,35 USD.
• Invece, un bot automatizzato in background prende il numero della tua carta di sedici cifre, il codice CVV e il codice postale di fatturazione e tenta immediatamente di associare la tua carta a un portafoglio mobile (come Apple Pay, Google Wallet o Samsung Pay) sullo smartphone dell'aggressore.
• Quando la tua banca rileva la nuova registrazione al portafoglio, genera un passcode di verifica SMS autentico inviato direttamente al tuo telefono.
• Il falso sito web postale mostra immediatamente un campo dall'aspetto autentico con la scritta: "Per sicurezza, inserisci il codice di verifica a 6 cifre inviato dalla tua banca".
• Se digiti quel codice nel sito web, lo script dell'aggressore lo invia alla tua banca, aggiungendo con successo la tua carta al suo smartphone fisico. Il truffatore può ora effettuare acquisti contactless illimitati nei negozi al dettaglio fino all'esaurimento del limite della carta.

Identificazione di messaggi di testo postali falsi¶

I corrieri postali ufficiali aderiscono a rigorosi protocolli di comunicazione digitale. Riconoscere le differenze strutturali tra notifiche legittime e messaggi smishing fraudolenti consente di individuare immediatamente le minacce.

Compromissione dei dispositivi mobili: phishing contro trojan bancari¶

Mentre la maggior parte degli attacchi smishing di consegna postale cercano dettagli di carte di credito e dati di identità attraverso moduli web, alcune campagne distribuiscono malware mobile progettato per stabilire un accesso persistente sugli smartphone.

+-----------------------------------------------------------------------------+
|                     SMARTPHONE THREAT VECTOR MATRIX                         |
+-----------------------------------------------------------------------------+
|                                                                             |
|  Device Platform       Attack Vector                  Technical Impact      |
|  -------------------------------------------------------------------------  |
|  Apple iOS             Web Phishing Form              Harvests card, CVV,   |
|  (iPhone)              (No APK installation)          and billing address   |
|                                                                             |
|  Apple iOS             Malicious MDM Profile          Installs rogue root   |
|  (iPhone)              (Prompt to install profile)    certificates and VPN  |
|                                                                             |
|  Google Android        Web Phishing Form              Harvests card, CVV,   |
|  (Samsung, Pixel)      (No APK installation)          and billing address   |
|                                                                             |
|  Google Android        Malicious APK Download         Deploys banking       |
|  (Sideloaded App)      (TeaBot, FluBot, Anatsa)       trojan with keylogger |
|                                                                             |
+-----------------------------------------------------------------------------+

Apple iOS: profili di configurazione mobile e phishing di Safari¶

Sui dispositivi Apple con iOS, il sistema operativo mobile vieta l'installazione diretta di applicazioni al di fuori dell'App Store ufficiale a meno che non venga accettato un profilo di gestione del dispositivo mobile aziendale:

• Se hai visitato il sito web solo in Safari e hai digitato i dettagli del pagamento, il tuo iPhone fisico non è infetto da malware. La compromissione è limitata ai dati inviati nel modulo.
• Tuttavia, se il sito Web ti chiede di scaricare un "Certificato di sicurezza USPS" o un "Profilo di consegna" e ti indirizza alle Impostazioni per installare un profilo di configurazione, rifiuta immediatamente la richiesta.
• Un profilo MDM dannoso consente a un utente malintenzionato di instradare tutto il traffico Internet attraverso un server proxy non autorizzato, intercettando password e dati non crittografati.
• Per verificare la presenza di profili non autorizzati sul tuo iPhone, apri Impostazioni -> Generali -> Gestione VPN e dispositivo. Se viene visualizzato un profilo sconosciuto, toccalo e seleziona Rimuovi gestione.

Google Android: trojan bancari APK con sideload¶

Sui dispositivi Android, i truffatori tentano spesso di indurre gli utenti a scaricare e installare file APK (pacchetti di applicazioni dannose):

• Il sito Web di phishing visualizza un avviso: "Per tracciare il tuo pacco in tempo reale, scarica l'assistente di monitoraggio mobile USPS ufficiale".
• Il browser scarica un file denominato USPS_Track.apk o Package_Service.apk.
• Se tocchi il file scaricato e ignori gli avvisi di sicurezza di Android (come consentire l'installazione da fonti sconosciute), installi un potente trojan bancario (come TeaBot, FluBot o Anatsa).

• Quando una vittima autorizza accidentalmente l'installazione di un APK trasferito localmente, il malware richiede immediatamente l'autorizzazione per abilitare i servizi di accessibilità Android. Queste funzionalità di accessibilità sono originariamente progettate per aiutare gli utenti con disabilità fisiche leggendo ad alta voce il testo sullo schermo o automatizzando i gesti. Tuttavia, i trojan bancari sfruttano l’accesso facilitato per stabilire un controllo amministrativo completo sul sistema operativo mobile:

• Keylogging in tempo reale e screen scraping: il servizio in background dannoso registra ogni carattere digitato sulla tastiera, acquisendo nomi utente, password principali e numeri di identificazione personale in tutte le applicazioni.

• Sovrapposizioni di schermate dannose: quando la vittima apre un'applicazione bancaria o di criptovaluta legittima, il trojan rileva l'avvio dell'app e visualizza immediatamente una schermata di accesso contraffatta trasparente o pixel-perfect direttamente sull'app autentica. Quando inserisci le tue credenziali, queste vengono inviate al server dell'aggressore mentre l'app si blocca o mostra una schermata di caricamento simulata.
• Intercettazione SMS automatizzata: il trojan intercetta i messaggi SMS in arrivo contenenti passcode monouso inviati dalle banche, elimina silenziosamente le notifiche in modo che tu non le veda mai e trasmette i codici di autenticazione al truffatore in pochi millisecondi.

Protocollo di contenimento passo passo per le carte di pagamento compromesse¶

Quando le credenziali di pagamento sono state inserite in un portale di riconsegna fraudolento, l'adozione di misure decisive con il tuo istituto finanziario blocca gli addebiti non autorizzati.

flowchart TD
    A["Dettagli della carta inseriti nella pagina di riconsegna falsa"] --> B["Apri l'app Mobile Banking e blocca immediatamente la carta"]
    B --> C["Dipartimento antifrode dell'emittente delle carte telefoniche, attivo 24 ore su 24, 7 giorni su 7"]
    C --> D["Richiedi la cancellazione completa e la riemissione della carta"]
    D --> E["Rivedi tutte le transazioni delle ultime 72 ore"]
    E --> F{"Sono presenti addebiti non autorizzati o trattenute in sospeso?"}
    F -->|"Sì"| G["Avviare il regolamento Z / E sulle controversie dei consumatori per articoli fraudolenti"]
    F -->|"No: catturato prima delle accuse"| H["Verifica che non siano stati aggiunti portafogli digitali (Apple/Google Pay)."]
    G --> I["Revoca tutti gli abbonamenti tokenizzati collegati alla carta rubata"]
    H --> I
    I --> J["Monitora il conto corrente e la carta di credito per 60 giorni"]

Blocco e riemissione delle carte di pagamento compromesse¶

Non aspettare per vedere se sul tuo estratto conto appare un addebito non autorizzato. Nel momento in cui ti rendi conto che il sito web era illegittimo, avvia la cancellazione della carta:

• Accedi all'applicazione mobile della tua banca e individua le impostazioni di sicurezza della carta. Tocca Blocca carta o Blocca carta per impedire tentativi di autorizzazione in tempo reale.
• Contatta il dipartimento antifrode della banca emittente, attivo 24 ore su 24, 7 giorni su 7, utilizzando il numero di telefono stampato sul retro della tua carta fisica.
• Dichiara chiaramente: "Ho erroneamente inserito il numero della mia carta, la data di scadenza e il codice CVV su un sito di phishing online. Ho bisogno che questa carta venga annullata immediatamente e che venga emessa una sostituzione con un nuovo numero di conto."
• Conferma con il rappresentante che la banca disabilita gli aggiornamenti del commerciante tokenizzati. Molti emittenti di carte di credito partecipano a servizi di aggiornamento automatico delle carte che forniscono automaticamente ai commercianti il ​​numero della nuova carta quando una carta viene riemessa; richiedere esplicitamente alla banca di interrompere tutti i collegamenti commerciali ricorrenti esistenti.

Contestazione di transazioni fraudolente ai sensi del diritto federale dei consumatori¶

Se gli aggressori sono riusciti a eseguire addebiti non autorizzati prima che tu bloccassi la carta, gli statuti bancari federali limitano la tua responsabilità finanziaria personale:

• Fair Credit Billing Act (FCBA, 12 CFR Parte 1026 / Regolamento Z): per le transazioni con carta di credito, la massima responsabilità legale ai sensi della legge federale per addebiti non autorizzati è di 50 USD. La maggior parte dei principali emittenti di carte (Visa, Mastercard, American Express, Discover) mantengono politiche di responsabilità zero che rinunciano completamente a questa commissione di 50 USD quando si segnala tempestivamente una frode.
• Legge sul trasferimento elettronico di fondi (EFTA, 12 CFR Parte 1005/Regolamento E): per le transazioni con carte di debito collegate a conti correnti, la tempistica è fondamentale. Se informi la tua banca entro due giorni lavorativi dalla conoscenza della compromissione, la tua responsabilità sarà limitata a 50 USD. Se effettuate la segnalazione tra due e sessanta giorni di calendario dopo la trasmissione della vostra fattura mensile, la vostra responsabilità sale a 500 USD. Oltre i sessanta giorni rischi di perdere tutto il denaro rubato dal tuo conto.
• Mantieni un registro scritto di ogni conversazione telefonica con la tua banca, inclusa la data, l'ora, il nome del rappresentante e il numero della controversia.

Decontaminazione dei dispositivi mobili e rafforzamento della sicurezza¶

La pulizia e il rafforzamento del dispositivo mobile impediscono la sorveglianza continua, la raccolta di credenziali e gli attacchi di spam smishing ripetitivi.

+-----------------------------------------------------------------------------+
|                     SMARTPHONE DECONTAMINATION CHECKLIST                    |
+-----------------------------------------------------------------------------+
|                                                                             |
|  [X] Clear Mobile Browser Cache: Purge Safari, Chrome, or Firefox cache,    |
|      cookies, and website data to remove cached phishing sessions.          |
|                                                                             |
|  [X] Audit Installed Applications: Inspect all apps, removing any unknown  |
|      software, especially apps installed outside official app stores.       |
|                                                                             |
|  [X] Audit Accessibility Permissions (Android): Revoke accessibility       |
|      access for any third-party app not explicitly trusted.                |
|                                                                             |
|  [X] Remove Enterprise MDM Profiles (iOS): Delete unfamiliar device        |
|      management certificates under Settings -> VPN & Device Management.     |
|                                                                             |
|  [X] Enable Spam Filtering: Activate native carrier and operating system    |
|      spam call and message filters (Silence Unknown Callers / Spam Shield). |
|                                                                             |
+-----------------------------------------------------------------------------+

Eliminazione della cache del browser mobile e dell'archiviazione della sessione¶

I siti Web di phishing memorizzano script di monitoraggio, token di sessione e oggetti cache locali nel browser del tuo dispositivo mobile per tenere traccia delle risposte dei visitatori:

• Safari iOS: apri Impostazioni -> Safari -> Cancella cronologia e dati siti web. Seleziona "Tutta la cronologia" e conferma. Ciò chiude tutte le schede aperte del browser ed elimina i cookie memorizzati, le immagini memorizzate nella cache e le voci del database Web locale.
• Android Google Chrome: apri Chrome, tocca i tre punti nell'angolo in alto a destra, seleziona Impostazioni -> Privacy e sicurezza -> Cancella dati di navigazione. Scegli "Da sempre", seleziona "Cookie e dati dei siti" e "Immagini e file memorizzati nella cache", quindi tocca Cancella dati.

Neutralizzare le applicazioni Android dannose¶

Se hai scaricato e installato un file dell'applicazione da un collegamento di phishing su un telefono Android, rimuovi immediatamente la minaccia:

• Riavvia il tuo smartphone Android in Modalità provvisoria (sulla maggior parte dei modelli, tieni premuto il pulsante di accensione, quindi tocca e tieni premuta l'icona "Spegni" sullo schermo finché non viene visualizzato il messaggio "Riavvia in modalità provvisoria"). La modalità provvisoria impedisce l'esecuzione in background di app malware di terze parti.
• Apri Impostazioni -> App -> Visualizza tutte le app.
• Scorri l'elenco alla ricerca di applicazioni sospette senza icone aziendali adeguate, app con nomi generici (come "Package Service", "System Update", "Flash Player" o "USPS Assist") o app installate il giorno dell'incidente.
• Seleziona l'applicazione sospetta, tocca Forza arresto, quindi tocca Disinstalla.
• Se il pulsante "Disinstalla" è disattivato, il malware ha ottenuto i privilegi di amministratore del dispositivo. Apri Impostazioni -> Sicurezza -> App di amministrazione del dispositivo, individua l'app dannosa, disattiva le sue autorizzazioni di amministratore e procedi con la disinstallazione.

Filtraggio dei messaggi smishing a livello del sistema operativo¶

Sia Apple iOS che Google Android includono strumenti di filtro integrati per silenziare i messaggi di testo non richiesti provenienti da numeri non memorizzati nei tuoi contatti:

• Apple iOS: apri Impostazioni -> Messaggi, scorri verso il basso fino a "Filtro messaggi" e attiva Filtra mittenti sconosciuti. Ciò crea una scheda separata nell'applicazione Messaggi per i messaggi in arrivo da numeri sconosciuti, silenzia i suoni di notifica e mantiene i collegamenti dannosi fuori dalla visualizzazione principale.
• Google Android (Google Messaggi): apri Google Messaggi, tocca l'avatar del tuo profilo in alto a destra, tocca Impostazioni messaggi -> Protezione antispam e attiva Abilita protezione antispam. Questo motore di filtraggio neurale in crowdsourcing rileva e indirizza automaticamente i testi sospetti di smishing alla cartella "Spam e bloccati" senza far vibrare il telefono.

Canali ufficiali di segnalazione e forze dell'ordine postali¶

L'invio di rapporti dettagliati sulle frodi alle agenzie federali aiuta gli ispettori postali a mappare i sindacati di spam, sequestrare domini fraudolenti e smantellare l'infrastruttura dei server criminali.

+-----------------------------------------------------------------------------+
|                      OFFICIAL FRAUD REPORTING DIRECTORY                     |
+-----------------------------------------------------------------------------+
|                                                                             |
|  Organization             Contact Channel           Purpose                 |
|  -------------------------------------------------------------------------  |
|  Carrier Spam Service     Forward SMS to 7726       Triggers carrier-wide   |
|                           (Universal shortcode)     spam block              |
|                                                                             |
|  US Postal Inspection     spam@uspis.gov            Federal criminal        |
|  Service (USPIS)          1-877-876-2455            investigation of fraud  |
|                                                                             |
|  FBI Internet Crime       ic3.gov                   Transnational cyber-    |
|  Complaint Center (IC3)                             crime tracking          |
|                                                                             |
|  Federal Trade            reportfraud.ftc.gov       Consumer deceptive trade|
|  Commission (FTC)                                   practice reporting      |
|                                                                             |
|  Google Safe Browsing     safebrowsing.google.com/  Submits malicious URL   |
|                           safebrowsing/report_phish for browser blocking    |
|                                                                             |
+-----------------------------------------------------------------------------+

Segnalazione al servizio di ispezione postale degli Stati Uniti¶

Il servizio di ispezione postale degli Stati Uniti è l'agenzia federale di polizia responsabile delle indagini sulle frodi postali, sulla contraffazione postale e sugli attacchi smishing rivolti ai clienti USPS:

• Inoltra il messaggio di testo smishing a spam@uspis.gov.
• Nel corpo dell'e-mail, includi uno screenshot del messaggio di testo che mostri il numero di telefono di origine, la data e l'ora di ricezione e l'esatto URL del sito Web visualizzato nel messaggio.
• Gli investigatori informatici dell'USPIS si coordinano con i registrar di domini, i provider di hosting e i pubblici ministeri federali per sequestrare domini fraudolenti e chiudere l'infrastruttura di phishing.

Segnalazione agli operatori di telecomunicazioni mobili tramite 7726¶

Il codice breve universale 7726 (scritto SPAM su una tastiera telefonica standard) è gestito dagli operatori di rete mobile in tutto il mondo (inclusi AT&T, Verizon, T-Mobile, Vodafone ed EE):

• Copia il testo del messaggio fraudolento.
• Crea un nuovo SMS in uscita indirizzato a 7726 e incolla il testo.
• Il tuo operatore risponderà immediatamente con una richiesta automatica che richiede il numero di telefono o l'indirizzo e-mail di origine che ha inviato lo spam.
• Rispondi con il numero di telefono del mittente.
• I centri di analisi delle minacce dei carrier utilizzano questi report aggregati per aggiornare in tempo reale i firewall SMS a livello di rete, bloccando messaggi identici prima che raggiungano milioni di altri abbonati.

Protezione dall'acquisizione dell'account di consegna informata USPS e dalla deviazione della posta¶

Un pericoloso vettore secondario di smishing postale comporta la creazione fraudolenta di account sulla piattaforma legittima di consegna informata USPS. Quando gli aggressori raccolgono il tuo nome completo, indirizzo fisico e dettagli della carta di pagamento, a volte tentano di registrare un account non autorizzato a tuo nome su usps.com:

• Abuso della funzionalità di consegna informata: la consegna informata consente ai residenti di visualizzare in anteprima le immagini digitali in scala di grigi della posta in formato lettera in arrivo e di tenere traccia dei pacchi in arrivo al loro indirizzo. Se un criminale informatico registra un account utilizzando il tuo indirizzo, può visualizzare le immagini scansionate di estratti conto bancari in arrivo, documenti fiscali, lettere sostitutive di carte di credito e corrispondenza governativa prima che la posta raggiunga la tua casella di posta fisica.
• Cambiamento di indirizzo non autorizzato (COA): gli aggressori possono utilizzare le informazioni personali raccolte per inviare una richiesta elettronica di cambio di indirizzo tramite il servizio postale, deviando la posta fisica a un'abitazione libera, alla consegna di pacchi o ad un'agenzia di ricezione della posta commerciale. Una volta reindirizzata la posta, i criminali intercettano le carte di credito appena emesse, le carte di debito sostitutive e i documenti finanziari sensibili a tua insaputa.
• Verifica dello stato dell'account: visita usps.com, vai al portale di consegna informata e prova ad accedere o a creare un account con i tuoi dati personali. Se la piattaforma indica che esiste già un account per il tuo indirizzo con un indirizzo e-mail che non riconosci, contatta immediatamente il servizio clienti USPS.
• Verifica dell'identità di persona: se è stato creato un account non autorizzato, visita la filiale dell'ufficio postale locale con due forme di identificazione governativa e una prova di indirizzo. Richiedi agli impiegati postali di chiudere l'account digitale non autorizzato e di bloccare per frode il tuo indirizzo di consegna fisico per bloccare le modifiche dell'indirizzo elettronico.

Gestione dello stress e conseguenze sulla salute¶

Cadere vittima di una truffa online spesso produce un acuto disagio emotivo, senso di colpa e sentimenti di vulnerabilità. Scoprire che un semplice tocco sul tuo telefono ha consegnato il numero della tua carta di credito o i dettagli della tua identità personale a criminali può scatenare shock fisico, insonnia, pressione sanguigna elevata e ansia.

Riconoscere che i messaggi di smishing postale sono progettati professionalmente da gruppi criminali che sfruttano il fatto che milioni di persone attendono i pacchi ogni giorno. Se lo stress derivante da un compromesso finanziario provoca costrizione toracica, mancanza di respiro, forti tremori o panico, consultare immediatamente un medico. Prendi in considerazione la possibilità di completare un corso certificato di primo soccorso, RCP e primo soccorso psicologico tramite la Croce Rossa, la St John Ambulance o un fornitore locale per sviluppare fiducia e competenza pratica nella gestione dello shock fisico e delle crisi di salute acute durante le emergenze familiari.

Domande frequenti¶

Il servizio postale degli Stati Uniti invia mai messaggi di testo sulla consegna dei pacchi?¶

Il servizio postale degli Stati Uniti invia notifiche di testo solo ai clienti che si sono registrati esplicitamente per gli aggiornamenti di tracciamento sul sito Web ufficiale (usps.com) per un numero di tracciamento specifico o che si sono iscritti alla consegna informata. I messaggi di testo automatizzati legittimi provenienti da USPS arrivano esclusivamente dallo shortcode ufficiale a cinque cifre 28777 (USPS) e non contengono mai collegamenti che indirizzano gli utenti ad aggiornare i dettagli dell'indirizzo o a pagare le tariffe di riconsegna. Il servizio postale non invia mai messaggi di testo non richiesti richiedendo informazioni personali o numeri di carta di credito per rilasciare un pacco.

Cosa devo fare se ho inserito i dati della mia carta di credito ma ho chiuso la pagina web prima di inviarla?¶

I moderni kit di phishing proxy inverso utilizzano spesso script automatizzati di tracciamento dei moduli, come keylogger o connessioni websocket in tempo reale, che catturano le sequenze di tasti mentre le digiti nelle singole caselle di input, anche se non fai mai clic sul pulsante finale "Invia" o "Continua". Poiché il numero della tua carta, la data di scadenza e il codice CVV potrebbero essere stati trasmessi in tempo reale, devi considerare la carta come compromessa. Contatta immediatamente il tuo istituto finanziario per bloccare e sostituire la carta di pagamento.

Perché i truffatori chiedono solo una piccola commissione come 0,35 USD anziché centinaia di dollari?¶

I truffatori richiedono intenzionalmente una commissione irrisoria compresa tra 0,30 USD e 3,00 USD perché i consumatori raramente esitano a spendere una piccola somma per risolvere un pacco in ritardo. Questo basso importo in dollari aggira lo scetticismo umano ed evita l’attivazione di regole automatizzate sulle frodi bancarie che esaminano attentamente le transazioni di alto valore. Una volta che il truffatore acquisisce le credenziali complete della carta, utilizza i dati rubati per registrare la tua carta in portafogli mobili o avviare transazioni al dettaglio non autorizzate di valore elevato.

I truffatori possono rubare i miei soldi se ho solo cliccato sul collegamento ma non ho digitato alcuna informazione?¶

Se hai semplicemente fatto clic sul collegamento in Safari, Chrome o un altro browser mobile standard e hai chiuso immediatamente la scheda senza inviare informazioni, installare un'applicazione o scaricare un profilo di configurazione, i tuoi conti finanziari rimangono al sicuro. I moderni sistemi operativi mobili isolano le schede del browser Web all’interno di sandbox sicure, impedendo ai siti Web di estrarre password o carte di pagamento memorizzate senza l’interazione dell’utente. Svuota la cache del browser e i dati del sito web come precauzione di sicurezza standard.

Qual è la differenza tra un vero numero di tracciamento USPS e un numero di tracciamento falso in un messaggio?¶

I numeri di tracciabilità USPS autentici aderiscono a formati standardizzati, in genere costituiti da 20 a 22 cifre numeriche che iniziano con 9 (per pacchi nazionali) o 13 caratteri alfanumerici che iniziano con due lettere, seguite da nove cifre e terminano con US (per spedizioni internazionali). I messaggi di testo smishing spesso includono stringhe completamente inventate di lettere e numeri casuali oppure omettono completamente il numero di tracciamento mentre ti indirizzano a fare clic su un collegamento. Puoi verificare qualsiasi numero di tracciamento in modo sicuro andando direttamente su usps.com e inserendo il codice nella barra di ricerca di tracciamento ufficiale.

Fonti controllate¶

• Servizio di ispezione postale degli Stati Uniti (USPIS, Stati Uniti): Avviso di sensibilizzazione del pubblico: truffe sulla consegna di pacchi smishing e phishing postale (uspis.gov).
• Federal Trade Commission (FTC, Stati Uniti): Allerta per i consumatori: messaggi di testo falsi relativi alla consegna di pacchi e attacchi Smishing (consumer.ftc.gov).
• Agenzia per la sicurezza informatica e delle infrastrutture (CISA, Stati Uniti): Lotta alle minacce di phishing e smishing mobile: linee guida per consumatori e organizzazioni (cisa.gov).
• Federal Communications Commission (FCC, Stati Uniti): Guida per il consumatore: truffe su robotexts, smishing e consegna di pacchi (fcc.gov).
• Centro nazionale per la sicurezza informatica (NCSC, Regno Unito): Truffe di phishing e smishing: identificazione e segnalazione di messaggi SMS dannosi (ncsc.gov.uk).
• Centro antifrode canadese (CAFC, Canada): Prevenzione delle frodi: sistemi di consegna di pacchi e smishing di corrieri (antifraudcentre-centreantifraude.ca).

Guide correlate¶

• Risposta alla violazione dei dati e fuga di password
• Phishing MFA e bypass dell'avversario in-the-middle
• Difesa dal phishing e quishing del codice QR
• Furto di pacchi e pirateria nei portici
• Truffe e frodi