⚠️SMISHING e VISHING: cosa sono e come proteggersi

Immaginate di esservi presi un giorno libero dal lavoro e di essere a casa a sbrigare alcune commissioni, quando il vostro telefono vibra. È un SMS da Poste Info che dice: "Il suo pacco è in giacenza presso il nostro deposito. Per il ritiro clicchi qui e confermi i suoi dati". Il messaggio sembra legittimo, proviene dal numero di Poste Info e voi avete effettivamente ordinato qualcosa online proprio qualche giorno fa. Cliccate il link e inserite i vostri dati personali. Il sito chiede di confermare la data del ritiro e di versare 2 euro come tassa doganale. Vi fa un po' strano, però effettivamente il pacco viene dall'estero e poi sono solo 2 euro. Per cui, come richiesto, inserite i dati della vostra carta di credito. Pochi minuti dopo ricevete una telefonata. Una voce professionale e cortese vi dice di essere dell'ufficio antifrode della vostra banca e di aver ricevuto la notifica di un pagamento di 2 euro come oneri doganali. Vi chiede quindi se siete stati voi a effettuare il pagamento e quando confermate dice che per sicurezza vi manderà un codice via SMS da ripeterle al telefono. Il tono era assicurante e competente. La persona dall'altra parte conosce il vostro nome, la vostra banca, sa che avete appena fatto una transazione da 2 euro e poi non vi sta chiedendo di pagare nulla, giusto? Senza pensarci troppo leggete il codice che è appena arrivato sul vostro telefono, chiudete la telefonata con quell'operatrice tanto gentile e non ci pensate più. Pochi giorni dopo vi accorgete che dal vostro conto è partito un bonifico di migliaia di euro verso un conto estero. Il vostro pacco non era in giacenza, non c'era nessun onere doganale e soprattutto non avete mai parlato con un'impiegata della vostra banca. Avendo i malintenzionati inserito il codice che voi avete ricevuto via SMS, alla banca risulta che abbiate dato l'ok al trasferimento, per cui si rifiuta di rimborsarvi la somma persa. Siete appena stati vittime di una combinazione letale di smishing e vishing. Ciao a tutti e benvenuti in questo nuovo video. Ormai siamo tutti molto bravi a riconoscere le mail di phishing, no? Quelle in cui un principe nigeriano ci chiede un piccolo versamento di 10.000 euro, ma in cambio ci restituirà poi 6 milioncini per ripagarci del disturbo. Il phishing, a cui ho dedicato forse il primo o il secondo video pubblicato sul canale, si caratterizza per essere spesso molto generico. Riceviamo mail in cui non veniamo chiamati per nome, il contenuto è molto sgrammaticato, a volte non sono nemmeno scritte in italiano queste mail, ma in inglese o in altre lingue. E infatti il phishing non funziona quasi più. Con il tempo quindi questa minaccia si è evoluta in due forme che oggi purtroppo conosciamo tutti molto bene. La prima è lo smishing, termine dato dall'Università unione delle parole SMS e phishing, dove il tentativo di truffa è attuato tramite messaggio, sia normale che su WhatsApp. La seconda invece è il vishing, da voice più phishing, che invece consiste in una telefonata che può essere fatta da un essere umano oppure avere quella voce robotica che dice "Ciao, abbiamo ricevuto il tuo curriculum" e cose del genere. La ragione per cui queste truffe funzionano così bene risiede in una caratteristica fondamentale della natura umana: la fiducia. Il telefono è percepito come un canale più sicuro, più personale rispetto alla mail. Quando riceviamo un SMS raramente pensiamo che possa essere un tentativo di truffa. Quando squilla il telefono e una voce autorevole, competente, rispettosa ci chiede informazioni per la nostra sicurezza, il nostro istinto è quello di collaborare. I truffatori questo lo sanno benissimo e hanno trasformato questa fiducia letteralmente in un business. Ma come siamo arrivati a questo punto? Per capirlo dobbiamo fare un passo indietro. Il phishing nasce già negli anni '90, molto prima che esistessero gli smartphone e i messaggi istantanei, perché banalmente il telefono esisteva già e truffare qualcuno usando solo la voce era più facile che farlo di persona. I primi a farlo, o comunque sicuramente più famosi, sono stati i fratelli Badir. I 3 fratelli, Muzer, Shadi e Rami Badir, ciechi dalla nascita, originari di Tel Aviv, hanno guadagnato oltre 2 milioni di dollari fra il 1993 e il 1999 grazie ad attacchi di phishing. Si riteneva avessero un udito iper sviluppato che permetteva loro di imitare qualsiasi voce, inclusi i tratti distintivi, le inflessioni, gli accenti, con un'incredibile facilità. Al telefono riuscivano a sedurre donne, a ottenere credenziali di accesso a sistemi protetti e a carpire informazioni riservate persino dagli ufficiali della sicurezza dell'esercito israeliano. Il loro modello di business consisteva nell'ottenere le credenziali di accesso a sistemi telefonici di enti pubblici e aziende come la radio militare israeliana, o la Bezek, che sarebbe sostanzialmente la nostra Telecom. Dopodiché attivavano una funzione chiamata Direct Inward System Access, che permetteva di fare chiamate internazionali a carico di quella linea. Fatto questo, chi voleva fare una chiamata internazionale molto costosa chiamava e pagava i fratelli Badir, che incassavano i soldi e mettevano la chiamata a carico della linea rubata. Il loro colpo più grosso però è stato quello di ingannare per telefono la segretaria di un noto imprenditore israeliano che gestiva una linea telefonica erotica. Così facendo hanno ottenuto l'accesso al loro database, che conteneva una cosa come 20.000 numeri di carte di credito, poi tutte usate oppure vendute. I fratelli Badir avevano capito qualcosa di fondamentale sulla psicologia umana: siamo programmati per rispondere all'autorità, soprattutto quando possiamo parlarle direttamente. Una voce sicura, professionale, che conosce alcuni dettagli su di noi riesce ad aggirare molte delle nostre difese naturali. Quella era l'epoca, fra l'altro, in cui le banche iniziavano a offrire servizi telefonici automatizzati e molte persone non erano ancora abituate all'idea che qualcuno potesse fingersi un operatore. Il grande salto evolutivo avvenne nei primi anni 2000 quando si verificarono due fenomeni. Il primo fu la diffusione massiva degli SMS che divennero rapidamente un canale di comunicazione privilegiato non solo dalle persone normali ma anche dalle banche e le aziende. Erano comodi, diretti e soprattutto erano molto sicuri. D'altronde non si può falsificare un numero di cellulare, giusto? Giusto? Il secondo fenomeno fu l'esplosione del VoIP, tecnologia nata già negli anni '80 ma poco utilizzata fino a quel momento, che permise di effettuare e ricevere telefonate usando internet invece della rete telefonica tradizionale. Possiamo considerare tecnologie come Google Meet, chiamate vocali di WhatsApp oppure Skype come degli eredi del VoIP, che introdusse il concetto di chiamare tramite internet. Con l'esplosione di queste due tecnologie aumentarono in modo esponenziale anche gli episodi di smishing e vishing. Il 2006 fu un anno cruciale per entrambi i tipi di attacco. In primo luogo, la società di sicurezza McAfee, quella degli antivirus, documentò uno dei primi attacchi di smishing della storia. L'attacco era veramente ingegnoso e infatti proprio per questo terribile. Le vittime ricevevano un SMS che annunciava falsi addebiti per un servizio di appuntamenti che loro non avevano mai utilizzato. Il messaggio conteneva anche un link da cliccare nel caso in cui il destinatario non avesse riconosciuto l'iscrizione al servizio. Dal momento che tantissime persone non usavano ancora internet sul cellulare, per annullare l'abbonamento digitavano l'URL indicato nel browser del loro computer. Il link portava però in realtà a un sito malevolo che faceva scaricare un modulo di disdetta sul loro PC. Appena il file veniva aperto sul computer, veniva installato un Trojan che infettava il dispositivo e lo rendeva quindi controllabile a distanza. Nello stesso anno, negli Stati Uniti, fu documentato un attacco di phishing che fece veramente scuola. Le vittime ricevevano una chiamata automatica che le avvisava di presunte attività fraudolente su una carta di credito e forniva un numero verde da chiamare per risolvere il problema. Il numero ovviamente era falso, era gestito dai truffatori stessi. Quando le vittime chiamavano, un sistema registrato le guidava attraverso una serie di menu vocali che sembravano quelli di una vera banca, raccogliendo metodicamente tutti i dati necessari per accedere ai loro conti. Ovviamente in quel periodo non esisteva ancora il concetto di home banking, di impronta digitale, di autenticazione a più fattori, per cui bastava ottrarre i dati di una carta o di un conto corrente per fare addebiti anche molto consistenti. Fu proprio in questo periodo che questi due fenomeni vennero etichettati appunto come smishing e vishing. Non era solo una questione terminologica, ma rappresentava il riconoscimento che queste nuove forme di truffa erano qualcosa di diverso e forse anche più pericoloso del phishing tradizionale, quello condotto via mail. Ma come funzionano in concreto questi attacchi? Iniziamo dallo smishing, che in superficie può sembrare il più innocuo. Dopotutto, cos'è un SMS? È solo un messaggio a un testo che proviene da un numero. Se lo conosciamo, bene. Se non lo conosciamo, non rispondiamo e siamo a posto, giusto? In realtà, dietro ad ogni campagna di smishing c'è un'infrastruttura tecnologica vera e propria che può raggiungere milioni di persone con costi irrisori. Il cuore dello smishing sono le cosiddette SIM farm, delle fabbriche di messaggi che i criminali usano per inviare SMS in massa. Questi sistemi consentono di usare SIM card comuni in parallelo e anche di falsificare il mittente dell'SMS, facendo apparire il messaggio come proveniente da enti legittimi. Addirittura il nostro telefono può essere ingannato in modo da inserire quell'SMS fraudolento all'interno della cronologia dei messaggi precedenti con l'ente legittimo, per renderlo ancora più verosimile. Un esempio reale è quello che è successo alla banca Biper qualche anno fa. Dei malintenzionati hanno avviato una campagna massiva di smishing falsificando il mittente in modo che il messaggio risultasse proveniente dal gruppo Biper e si inserisse appunto all'interno della cronologia dei messaggi precedenti. L'SMS era molto semplice, conteneva un avviso che l'app Biper risultava ora associata a un nuovo dispositivo in Svizzera. Se il cliente non riconosceva la cosa, poteva semplicemente cliccare su un link e seguire la procedura, con la quale veniva chiesto di aprire l'home banking e preautorizzare un pagamento che poi sarebbe stato restituito. Era possibile addirittura chiamare un numero verde per chiedere chiarimenti, che ovviamente non era quello reale di Biper, ma veniva fatto passare come una linea dedicata all'assistenza per home banking. Chiamando rispondevano operatori molto professionali che rendevano ancora più realistica la cosa. La chiave per il funzionamento di questa campagna era la possibilità di falsificare il mittente del messaggio. Quando riceviamo un SMS che sembra provenire da Poste Info, da un corriere o dalla nostra banca, in realtà potrebbe arrivare da qualsiasi parte del mondo. I sistemi di messaggistica infatti permettono di modificare quello che tecnicamente si chiama sender ID, cioè l'identificativo che appare sul nostro telefono come mittente del messaggio. Provate a prendere un attimo il vostro telefono e controllare la cronologia dei messaggi, vedrete che quelli che provengono da aziende, banche, eccetera, hanno come mittente il nome del servizio, non un numero di telefono, anche se noi non abbiamo mai salvato il contatto nella nostra rubrica. Questa possibilità di modificare il mittente viene usata sia da servizi legittimi sia, appunto, da chi ci vuole fregare. I link contenuti negli SMS truffaldini sono un altro capolavoro di ingegneria dell'inganno. Non troverete mai scritto il nome del sito fraudolento perché in genere utilizzano servizi legittimi di abbreviazione degli URL come bit.ly o tinyurl che rendono impossibile capire a prima vista dove vi stanno portando. Oppure, peggio ancora, registrano un sito col nome quasi identico a quello originario in modo che il link sembri realistico. Questo è quello che è successo ad esempio a Unicredit qualche anno fa, quando vennero inviati SMS che invitavano gli utenti a cliccare sul link www.unicredit-italia.it. Un altro modo in cui i link vengono falsificati è tramite gli slash, cioè le barre. Quindi i messaggi possono essere ad esempio www.unicredit-italia.it www.xy.it/unicredititalia, in modo che l'utente sia ingannato e pensi di entrare sul sito di Unicredit, mentre sta entrando sul sito xy.it. La cosa peggiore è che in genere i siti vengono creati in modo assolutamente credibile, per cui se qualcuno clicca effettivamente sul link viene reindirizzato a una pagina praticamente identica all'originale. Un'altra tecnica che sta andando tantissimo come campagna di smishing è il messaggio con scritto: ciao mamma, ti sto scrivendo dal cellulare di un mio amico, "Mi si è rotto il telefono, scrivimi su WhatsApp a questo numero perché non riesco più ad accendere il mio." Se non siete donne o non avete figli o vostro figlio è lì con voi e sapete che non è stato lui, tutto a posto. Ma ho visto tante persone cascarci, anche perché in questi messaggi si chiede solo di aggiungere un numero WhatsApp. Una volta fatto, si vede su WhatsApp l'immagine del profilo di un ragazzino e la cosa è credibile. La truffa va avanti poi chiedendo di inviare una ricarica PayPal o Postepay per comprare il telefono nuovo. Molto spesso, per sgamare amarli, basta chiedere come ti chiami e già non sanno la risposta, oppure rispondono scrivendo tipo sono tuo figlio, e da qui vi rendete conto che è un tentativo di truffa. Ma è veramente molto insidioso. Forse comunque il caso più famoso di smishing è quello di FluBot, che nel 2021 fece tantissime vittime in tutta Europa, Italia inclusa. Le vittime ricevevano SMS provenienti apparentemente da corrieri come DHL o GLS che le informavano di una spedizione in arrivo. Il messaggio conteneva un link per tracciare il pacco che in realtà portava a replicare un malware mascherato da app per il tracciamento delle spedizioni. Una volta installato, il malware accedeva alla rubrica della vittima e inviava automaticamente lo stesso SMS truffaldino a tutti i contatti, utilizzando il telefono infetto come piattaforma di diffusione. In Italia Flubot causò migliaia di infezioni. Il CERT-AGID, il gruppo che si occupa di prevenire e gestire gli incidenti di sicurezza informatica in Italia, diramò subito vari avvisi in cui ipotizzava che lo scopo del malware fosse quello di raccogliere informazioni e contatti per rivenderli sul dark web o a fini di spionaggio. Ipotizzò che dietro all'attacco ci fosse un gruppo hacker russo, dato che era stata colpita praticamente tutta l'Europa ad eccezione dei paesi dell'ex Unione Sovietica. Alla fine, nel 2022, la diffusione di Flubot è stata finalmente fermata grazie all'intervento dell'Europol e alla collaborazione di 11 paesi. Ad oggi è probabilmente la peggiore campagna di smishing mai attuata, se si esclude forse il caso della banca d'Irlanda, ma di questo parliamo nel video di domani. Il phishing, dal canto suo, spesso esso a un livello di sofisticazione ancora superiore. La tecnologia chiave, come dicevo, è il VoIP, la telefonia su internet, che ha rivoluzionato non solo le comunicazioni legittime ma anche quelle criminali. Con un semplice software e una connessione internet, chiunque può gestire un call center virtuale capace di effettuare migliaia di chiamate al giorno a costi irrisori, anche qui falsificando il numero chiamante. Esistono servizi online che per pochi euro permettono di chiamare qualcuno facendo apparire sul display qualsiasi numero si desideri. Oltre Oltretutto creano costantemente nuovi numeri di telefono. Non so se vi è mai capitato, a me sì, di ricevere una chiamata spam da un numero e pochi minuti dopo la stessa identica chiamata da un altro. Questo perché, come dicevo, ormai sono in grado di creare veramente dei centralini telefonici, quindi anche se bloccate il contatto vi richiamano immediatamente dopo con un altro numero. Se vogliamo, il lato positivo è che ultimamente, anche in un'ottica di risparmio dei costi, le chiamate vengono per la maggior parte effettuate da voci registrate palesemente false, quindi è più facile riconoscerle bloccarle. D'altro canto, questo ha comportato ancora maggiore fiducia nei confronti delle chiamate provenienti da esseri umani. Una delle cose più diffuse adesso è la chiamata da parte di qualcuno che dice di essere il vostro fornitore di energia, ad esempio Enel, e vi dice che stanno aumentando i costi e quindi per le leggi sulla trasparenza del mercato e della concorrenza è tenuto a mettervi in contatto con un centralino che individuerà il fornitore più economico per voi. A me è capitato, per divertirmi ci ho passato fra l'altro il telefono una buona mezz'oretta. L'operatrice gentilissima mi ha detto di essere del mio fornitore di energia, mi ha chiesto: "Ma lei è Veronica Paolucci e vive in via Rossi numero 16?" E io: "No, no, no, mi chiamo Pascucci." E lei: "Ah, ok, ok, è l'indirizzo giusto via Rossi 16?" E io: "Sì, l'indirizzo è quello, ma avete sbagliato la città. Non abito a Bologna, abito a Monte Santa Maria Tiberina in provincia di Perugia." E lei: "Ah sì, sì, giusto, giusto. Comunque stiamo aumentando la sua offerta, quindi devo metterla in contatto con il centralino." E io ho detto: "Ma a me sta bene pagare di più, mi trovo bene con voi, vi meritate tutti i miei soldi. Lei comunque mi ha passato il centralino ed è risultato che avrei speso meno con— mentre ero al telefono con l'operatore ho controllato su Trustpilot e ho detto: mi perdoni, ma su Trustpilot dicono che siete dei truffatori. E il tipo mi ha buttato giù il telefono, purtroppo. Ora, a parte i miei discutibili hobby che consistono nel perculare truffatori, penso ce ne rendiamo conto di quanto si debba stare attenti veramente a tutto oggi. Quando ricevete una telefonata, per quanto sembri realistica, per quanto sia tutto apparentemente corretto, mettetele alla prova. Provate a cambiare qualche dato, se non fanno una piega c'è qualcosa che non va. Secondo voi è possibile che il vostro fornitore di energia elettrica non si scomponga quando dite che abitate da tutt'altra parte e vi chiamate in tutt'altro modo? E poi, secondo voi, vi chiamerà mai per dirvi: abbiamo aumentato i prezzi, le consigliamo di cambiare compagnia? Non cascateci. La cosa peggiore è che oggi lo smishing e il vishing sono diventati dei servizi in vendita. Per pochi euro si può comprare un kit che include tutto il necessario: template di SMS e di mail già pronti da usare, siti web clone pre- configurati, liste di numeri di telefono e persino dei tutorial su come convincere le vittime. La combinazione di queste tecnologie crea un ecosistema criminale in cui smishing e vishing non sono più due cose isolate, ma diventano praticamente un sistema integrato. Una tipica truffa moderna inizia con un SMS che mette in allarme la vittima, continua con una telefonata che sfrutta quello stato d'animo e si conclude con un sito web clone che raccoglie tutte le informazioni necessarie. Non solo, con l'intelligenza artificiale le cose stanno ulteriormente peggiorando. Migliorando. C'è stato un caso nel 2019 che ha fatto scuola. Un manager di una società britannica ha ricevuto una chiamata proveniente dall'amministratore delegato della casa madre. La voce era inconfondibile, l'accento era familiare, persino il modo di parlare era quello giusto. L'amministratore delegato ha detto al telefono al manager che c'era una situazione urgente con un fornitore e che serviva un bonifico immediato da $243.000 per evitare problemi legali. La richiesta era presentata come una normale operazione commerciale, strana forse solo perché era urgente, però le emergenze d'altronde capitano. Il manager, che aveva parlato molte volte con l'amministratore delegato, non ha avuto alcun sospetto e ha autorizzato il trasferimento senza alcuna esitazione. Solo ore dopo è stato scoperto che l'amministratore delegato non aveva nemmeno mai fatto quella chiamata. La voce che aveva sentito il manager era stata generata da un algoritmo di intelligenza artificiale addestrato su campioni audio presi da video pubblici e conferenze a cui l'amministratore aveva partecipato. L'FBI e altre agenzie di sicurezza hanno iniziato immediatamente a lanciare allarmi sull'uso dell'IA per simulare telefonate da persone che conosciamo. Proprio un paio di settimane fa, il 15 maggio 2025, l'FBI ha diramato un annuncio per invitare a fare attenzione a questa nuova generazione di phishing, rivelando che decine di funzionari governativi americani hanno ricevuto comunicazioni fraudolente che utilizzavano voci di altri funzionari di alto livello generate con l'intelligenza artificiale. Il punto comunque è un altro. Smishing e vishing non sono pericolosi tanto per quanto riguarda la tecnologia, perché di per sé si tratta di messaggi e chiamate, non è qualcosa di super sofisticato. L'aspetto pericoloso è quello psicologico. I malintenzionati sanno esattamente quali tasti toccare per farci abbassare la guardia e compiere azioni che normalmente non faremmo mai. L'emozione che sfruttano più di tutte è la paura, combinata con un senso di urgenza che paralizza la nostra capacità di ragionamento critico. Pensate all'ultimo SMS sospetto che avete ricevuto. Quasi sicuramente conteneva parole come urgente, immediato, entro 24 ore, il tuo account verrà chiuso. Non è un caso, i messaggi di smishing sono strutturati per creare quello che potremmo chiamare un imbuto dell'urgenza. Il messaggio inizia con un warning tipo attività sospetta rilevata, continua con una minaccia, per esempio il tuo account sarà bloccato, e conclude con un'azione immediata richiesta come clicca qui per risolvere la situazione. È una sequenza studiata per non darci il tempo di pensare, per spingerci ad agire prima che abbiamo tempo di razionalizzare. La seconda arma psicologica più potente è l'autorità. Molto spesso i malintenzionati si fingono banche, forze dell'ordine, enti governativi, aziende tecnologiche famose, qualcuno di cui abbiamo bisogno o per cui proviamo una sorta di timore reverenziale. L'autorità percepita ci mette in uno stato psicologico di subordinazione in cui siamo quindi più propensi a obbedire senza mettere in discussione le richieste che ci vengono fatte. La terza leva psicologica è l'empatia, il coinvolgimento emotivo. Non Non tutti gli attacchi di smishing e vishing si basano sulla paura. Alcuni sfruttano sentimenti come la compassione, la solidarietà, l'amore familiare, come l'esempio che ho fatto prima, no, in cui i truffatori scrivono un messaggio alle vittime spacciandosi per i loro figli. Oppure durante la pandemia circolavano SMS fraudolenti che invitavano a fare donazioni per chi aveva perso il lavoro. Durante la guerra in Ucraina chiedevano soldi per gli sfollati, e così via. La quarta e ultima grande categoria di manipolazione psicologica è quella che sfrutta l'avidità, la curiosità, Non tutti siamo vulnerabili alla paura o all'autorità, ma quasi tutti siamo sensibili alla promessa di un guadagno facile o alla curiosità di scoprire qualcosa di interessante. Penso ad esempio agli SMS che promettono vincite di lotteria a cui non abbiamo mai partecipato, buoni regalo gratuiti di Amazon, rimborsi fiscali inaspettati, o anche appunto le chiamate del nostro fornitore che ci dice che se cambiamo compagnia di energia elettrica risparmieremo. Adesso ovviamente arriva la domanda clou, cioè come possiamo proteggerci? Ci sono 3 modi per evitare di cadere in queste trappole, ovvero: 1, verificare. 2, verificare. 3, verificare. Vi scrive la banca e vi dice che vi stanno per chiudere il conto? Chiamate la banca al numero che voi conoscete, quello che usate di solito, e verificate. Ordinate un pacco su Amazon e vi arriva un messaggio dal corriere in cui dice che dovete pagare degli oneri doganali? Aprite Amazon e verificate. Contattate anche l'assistenza se necessario. Vi chiama qualcuno dicendo appunto che è il vostro fornitore di energia elettrica? Buttate giù e chiamate il vero numero verde del fornitore per verificare. Vi scrive vostro figlio da un altro numero dicendo che gli si è rotto il telefono? Chiamate il numero di vostro figlio e verificate. Nel dubbio non fate niente. Se è qualcosa di vero, tranquilli che lo scoprite comunque. Se a vostro figlio si è davvero rotto il telefono, ve lo ripeterà la sera a cena. Se il vostro fornitore ha aumentato i prezzi dell'energia elettrica, potete cambiare gestore anche in un secondo momento. Se ci sono problemi con il vostro conto corrente, vorrà dire che prenderete un appuntamento in banca per risolvere. Almeno potete dormire sonni tranquilli sapendo che avete fatto le le cose nel modo più cauto e razionale possibile. Bene, come sempre spero che il video di oggi vi sia piaciuto. Noi ci vediamo domani con il caso Bank of Ireland, dove un gruppo di malintenzionati è riuscito a sfruttare smishing, vishing e un bug del sistema bancario per sottrarre denaro a centinaia di clienti. A presto!