Un SMS che avvisa di un “aggiornamento di sicurezza obbligatorio” per l’app BDMBet, un link che porta a un pacchetto APK, e un’istruzione precisa: disattivare Google Play Protect per completare l’installazione. E’ lo schema di un caso reale analizzato di recente, in cui il finto update conteneva un trojan bancario progettato per sottrarre credenziali di home banking. Chi scarica un’app casinò da canali ufficiali non corre questo rischio; chi insegue un link ricevuto via messaggio, sì. Vale la pena smontare il meccanismo pezzo per pezzo, perché quasi tutte le vittime erano convinte di aver fatto la cosa giusta.
Anatomia di un falso aggiornamento: cosa è successo nel caso analizzato
Il messaggio arrivava da un numero apparentemente italiano e citava BDMBet come mittente. Testo breve: una nuova versione dell’applicazione sarebbe stata necessaria entro 24 ore per “mantenere attivo l’account”, con un link che imitava la grafica del portale ottimizzato per dispositivi portatili. Nessun accenno a pagamenti, nessuna richiesta di credenziali nel messaggio stesso. Solo la promessa di un aggiornamento e la minaccia velata di un blocco. Chi ha cliccato è finito su una pagina che spiegava, passo dopo passo, come autorizzare l’installazione di un pacchetto APK da origini sconosciute.
La parte più insidiosa era l’istruzione su Google Play Protect. La pagina sosteneva che la protezione di Google avrebbe “bloccato per errore” l’aggiornamento e indicava come disattivarla nelle impostazioni di Android. Un utente attento dovrebbe fermarsi qui: nessun operatore legittimo, nessuna software house seria, chiede di spegnere un livello di sicurezza del sistema per installare un file. L’analisi del pacchetto ha confermato il sospetto: il codice non conteneva nulla di simile a un’app casinò. Conteneva un trojan bancario con overlay dinamici, capace di sovrapporre una finta schermata di login sopra l’app della banca reale una volta aperta.
Il dettaglio che chiude il cerchio riguarda l’entità dietro il marchio. Terdersoft B.V. è registrato presso le autorità di Curacao con licenza 5536/JAZ, e BDMBet opera senza concessione ADM o AAMS. Non esiste quindi un canale ufficiale ADM da cui dovrebbe arrivare un avviso di aggiornamento di sicurezza. Un SMS che invoca “sicurezza” e “Monopoli di Stato” da un operatore offshore è già, di per sé, una contraddizione verificabile in trenta secondi.
Checklist per smascherare un update fasullo prima di toccare il telefono
La logica del truffatore è sempre la stessa: creare urgenza, spostare l’utente fuori dai negozi digitali, e ottenere un’autorizzazione manuale che il sistema normalmente nega. https://bdmbet-it.com/app/ offers additional context worth reviewing. Su Android questo significa APK laterale e origini sconosciute attive; su iOS il caricamento laterale di pacchetti non firmati è impedito dal sistema, e infatti la scorciatoia su iOS lancia semplicemente il browser Safari verso una pagina web, senza installare nulla. Sapere dove il sistema operativo mette i paletti è metà della difesa.
Ecco i controlli concreti, nell’ordine in cui conviene farli. Se anche uno solo fallisce, il link va cestinato senza aprire nulla.
- Il canale di arrivo. Un aggiornamento di sicurezza non arriva via SMS con un link. Arriva dal negozio digitale del sistema, da una notifica dell’app già installata, o dal sito ufficiale che hai digitato tu. Messaggi non richiesti con countdown a 24 ore sono phishing, non comunicazioni di servizio.
- La richiesta di disattivare protezioni. Google Play Protect fornisce protezione contro minacce esterne ed è attivo per impostazione predefinita. Qualsiasi pagina o messaggio che spieghi come disattivarlo, o come abilitare le origini sconosciute, sta chiedendo il permesso di installare qualcosa che il sistema bloccherebbe. Trattalo come un allarme rosso, non come una procedura tecnica.
- Il formato del file. Su Android, un’app distribuita fuori dai negozi digitali arriva come pacchetto APK. Se il link scarica un file .apk e non ti ha portato su Google Play, la domanda da farsi è una sola: perché questo file non può stare nel negozio? La risposta, nel caso analizzato, era che conteneva un trojan bancario.
- La coerenza del mittente. BDMBet opera senza concessione ADM o AAMS. Un messaggio che cita normative italiane, verifiche del Monopoli di Stato o “adeguamento alle nuove regole” per un operatore registrato a Curacao è incoerente già nel lessico. Verifica l’entità sul sito, non sul link ricevuto.
- Le credenziali richieste. La pagina del finto aggiornamento non chiedeva subito dati bancari: li chiedeva il trojan, dopo, tramite overlay sull’app della banca. La regola resta valida a monte: nessun aggiornamento di un’app casinò deve portarti a inserire credenziali di home banking. Se accade, il software è compromesso.
- Il comportamento dopo l’installazione. Il pacchetto dannoso chiedeva permessi di accessibilità e di disegno sopra altre app. Sono i due permessi che abilitano gli overlay bancari. Se un’app appena installata chiede di “visualizzare sopra altre app” senza una ragione evidente, va rimossa subito.
Vale la pena aggiungere una nota su ciò che il finto aggiornamento non faceva, perché aiuta a calibrare il sospetto. Non sfruttava una falla di Android, di iOS, di Safari o di Google Play Protect: chiedeva all’utente di aggirarli volontariamente. La catena si spezza nel punto in cui l’utente dice no. Ed è per questo che le checklist funzionano meglio della paura: danno un criterio ripetibile, non un allarme generico.
Chi usa BDMBet mobile per le missioni e le notifiche push sa che l’app vera si installa dai canali previsti, non da un link in un SMS. Le notifiche push per le missioni arrivano dall’app già installata, non da un numero sconosciuto che ti chiede di ricostruire l’accesso da telefono. Se il dubbio resta, la strada più sicura è aprire il browser, digitare l’indirizzo del portale ottimizzato e passare dal BDMBet login normale: se l’account è attivo, non serve alcun aggiornamento di sicurezza. Se il login funziona, il messaggio era falso per definizione.
La procedura di bonifica, se il file è già stato installato, è altrettanto concreta: disinstalla l’app, riattiva Google Play Protect, revoca i permessi di accessibilità concessi di recente, cambia le password di home banking da un dispositivo pulito e controlla i movimenti degli ultimi giorni. Con il trojan bancario il tempo conta, perché l’overlay può aver catturato credenziali e codici OTP in tempo reale. Segnala il numero all’operatore telefonico e conserva lo screenshot del messaggio: serve se poi devi contestare un addebito. La difesa più efficace, in ogni caso, resta a monte: nessun aggiornamento di sicurezza legittimo ti chiederà mai di spegnere una protezione per installarlo.