È in circolazione una campagna di SMS/iMessage fraudolenti che sfrutta il nome del corriere BRT con il pretesto del citofono non funzionante. Uno dei domini osservati è
brt.kovex.top. Non cliccare, non rispondere "S", non inserire dati.
📋 In questo articolo
- Come si presenta il messaggio
- Analisi tecnica del dominio falso
- Il meccanismo della risposta "S" e del redirect
- Come è costruito il sito clonato
- Perché riguarda avvocati, aziende e professionisti
- Cosa fare, passo per passo
- Checklist dei segnali di smishing
- Le domande correlate più cercate
- Domande frequenti
Un messaggio arriva su iMessage o SMS, si presenta come una comunicazione di BRTBartolini Corriere Espresso, uno dei principali corrieri attivi in Italia. Il nome viene impersonato senza alcuna autorizzazione in queste campagne. e racconta una storia plausibile: il corriere è passato all'indirizzo indicato ma il citofono non ha funzionato, quindi la spedizione è stata riportata al deposito di zona. Segue un link e due opzioni, riprogrammare la consegna oppure recuperare il pacco al punto autorizzato, con l'invito a rispondere "S" per sbloccare il collegamento. È uno schema di smishingContrazione di SMS e phishing: truffa condotta tramite messaggi di testo o messaggistica istantanea (SMS, iMessage, RCS) invece che via email. costruito con cura, e per questo merita un'analisi tecnica più approfondita del solito "non cliccare il link".
1. Come si presenta il messaggio
Il testo segue uno schema ricorrente, già osservato in diverse varianti della stessa campagna a nome BRT circolate da giugno 2026 in avanti: si parla di una mancata consegna dovuta a un problema tecnico (citofono, indirizzo, assenza del destinatario), si offre una falsa scelta tra due opzioni che sembrano entrambe legittime, e si chiude con un'istruzione operativa precisa, come rispondere con una lettera specifica o chiudere e riaprire la conversazione per "sbloccare" il link.
2. Analisi tecnica del dominio falso
Il link nel messaggio osservato punta a brt.kovex.top, un dominio che non ha alcun legame con BRT. Il sito ufficiale del corriere è e resta esclusivamente brt.it. Alcuni elementi tecnici del dominio meritano attenzione da un punto di vista forense:
- Il sottodominio
brt.è cosmetico: chi registra il dominio può creare qualunque sottodominio a piacere, "brt." non prova alcuna appartenenza a BRT. - L'estensione
.topè tra le più usate nelle campagne di phishing-as-a-servicePiattaforme che vendono a canone kit di phishing pronti all'uso, comprensivi di siti clonati e generazione automatica di domini usa e getta, abbassando drasticamente la barriera tecnica per lanciare una campagna. perché la registrazione è economica e rapida. - Il dominio è quasi certamente usa e getta: chi gestisce queste campagne ne registra e sostituisce a rotazione decine o centinaia, spesso nel giro di ore o giorni, per sopravvivere ai blocchi di CERT-AgID e degli operatori telefonici.
- La consegna via iMessage anziché SMS tradizionale è coerente con l'uso di piattaforme di spoofingTecnica che permette di falsificare l'identità del mittente di un messaggio, facendolo apparire come proveniente da un'azienda o da un contatto noto. e invio massivo che sfruttano iMessage e RCS proprio per superare i filtri antispam degli SMS classici, un fenomeno documentato su scala globale da piattaforme come Darcula.
3. Il meccanismo della risposta "S" e del redirect
La richiesta di rispondere "S" prima di poter cliccare il link non è un dettaglio narrativo, è un espediente tecnico. iOS e i principali client Android disattivano di default i link contenuti in messaggi provenienti da mittenti non salvati in rubrica: rispondere al messaggio, anche con un singolo carattere, sblocca la cliccabilità del link per quella conversazione. È lo stesso meccanismo osservato in altre campagne di smishing a tema corrieri che richiedono una risposta con "Y" o simili prima di attivare il collegamento.
L'istruzione di chiudere e riaprire la pagina per "vedere il punto di servizio tramite link" serve invece a un secondo scopo: dare tempo al server del truffatore di instradare la vittima verso l'URL attivo del momento, dato che, come detto, il dominio effettivo cambia con frequenza per eludere i blocchi.
4. Come è tipicamente costruito il sito clonato
Nelle campagne di questo tipo già documentate su corrieri come BRT, il sito a cui punta il link riproduce graficamente l'interfaccia del corriere reale e raccoglie dati in modo progressivo: prima l'indirizzo o il codice di spedizione per dare credibilità, poi dati anagrafici, infine, nella variante più aggressiva, i dati della carta di credito con la scusa di una piccola spesa di giacenza o riconsegna, tipicamente pochi euro, proprio per non insospettire la vittima con un importo alto.
5. Perché riguarda avvocati, aziende e professionisti
Per chi si occupa di contenzioso o compliance, questo tipo di campagna non è solo un problema di consumer awareness. Ha ricadute concrete su tre fronti:
- Danno economico al cliente: se sono stati inseriti dati di pagamento, la contestazione dell'addebito e l'eventuale azione verso l'istituto di pagamento richiedono una ricostruzione tecnica precisa della cronologia dell'attacco.
- Ammissibilità della prova: uno screenshot raccolto autonomamente dal cliente ha spesso un valore probatorio debole. L'acquisizione forense di SMS, metadati del messaggio e contenuto del sito falso, con hash e catena di custodia documentata, è ciò che rende la prova effettivamente utilizzabile in sede civile o penale.
- Responsabilità e diligenza: per aziende che gestiscono flussi di spedizioni verso clienti finali, casi come questo alimentano anche richieste di chiarimento da parte dei destinatari, ed è utile poter documentare in modo tecnico che il dominio non ha alcun collegamento con l'infrastruttura reale del corriere.
6. Cosa fare, passo per passo
Se hai ricevuto il messaggio ma non hai risposto né cliccato
- Non rispondere "S" e non cliccare il link, anche solo per curiosità.
- Blocca il mittente e segnala il messaggio come spam direttamente dall'app.
- Verifica un'eventuale spedizione in corso solo su brt.it o tramite l'app ufficiale, inserendo tu stesso il codice di tracciamento.
Se hai risposto "S" o cliccato il link, senza inserire dati
- Chiudi immediatamente la pagina, senza inserire alcuna informazione.
- Fai uno screenshot completo della conversazione e della pagina raggiunta, prima di eliminare o bloccare, potrebbe servire in seguito.
- Se il dispositivo è aziendale, avvisa subito il referente IT.
Se hai inserito dati personali o di pagamento
- Contatta subito la banca o l'emittente della carta per bloccare la carta e contestare eventuali addebiti.
- Presenta denuncia alla Polizia Postale su commissariatodips.it, portando screenshot del messaggio e della pagina falsa.
- Segnala il dominio a CERT-AgID.
- Rivolgiti a un perito informatico forense per un'acquisizione delle prove tecnicamente corretta e utilizzabile in un eventuale procedimento. Periti Digitali può occuparsene →
7. Checklist dei segnali di smishing
| Segnale | Cosa significa |
|---|---|
| Mittente email generico (es. gmail.com) invece di un numero o account ufficiale | Nessun corriere invia comunicazioni operative da un indirizzo email personale gratuito |
| Dominio diverso da brt.it | Indicatore inequivocabile di sito clonato, a prescindere da quanto sembri simile all'originale |
| Richiesta di rispondere "S"/"Y" prima del link | Espediente per aggirare il blocco dei link da mittenti sconosciuti su iOS/Android |
| Scelta forzata tra due opzioni | Tecnica di ingegneria sociale per dare l'illusione di controllo e velocizzare la decisione |
| Importo di sblocco molto basso (1-5 €) | Cifra scelta apposta per non insospettire, ma serve a carpire i dati della carta |
8. Le domande correlate più cercate
BRT invia davvero SMS o iMessage per le consegne?
BRT comunica lo stato delle spedizioni tramite l'app ufficiale e il tracciamento sul sito brt.it. La società ha dichiarato che il proprio nome viene usato senza autorizzazione in questi tentativi di frode via SMS ed email, quindi qualunque messaggio con link esterni va considerato sospetto per principio.
Perché i truffatori usano proprio i corrieri come esca?
Perché in un dato momento una parte consistente della popolazione ha effettivamente un pacco in arrivo, questo rende il pretesto plausibile per moltissimi destinatari senza bisogno di alcuna profilazione preventiva.
Cliccare il link basta per essere infettati?
Nella maggior parte dei casi osservati il rischio principale è il furto di dati inseriti volontariamente nel modulo, ma alcune varianti più avanzate tentano script di tracciamento o download automatici, quindi la cautela va mantenuta anche in assenza di dati inseriti.
9. Domande frequenti
Cos'è lo smishing a tema corriere e come funziona nel caso BRT?
È una truffa via SMS o messaggistica istantanea in cui i criminali si spacciano per un corriere reale, in questo caso BRT, per indurre il destinatario a cliccare un link verso un sito clonato e inserire dati personali o di pagamento. Il pretesto più comune è una consegna non andata a buon fine.
Come riconosco un SMS o iMessage falso a nome BRT?
I segnali principali sono il mittente non ufficiale, un dominio diverso da brt.it, l'invito a rispondere con una lettera per sbloccare il link e una scelta forzata tra due opzioni presentata con tono urgente.
Ho risposto "S" e cliccato il link, cosa devo fare adesso?
Dipende da cosa è successo dopo. Se non hai inserito dati, chiudi la pagina, fai uno screenshot per documentare l'accaduto e blocca il mittente. Se hai inserito dati di pagamento, contatta subito la banca, presenta denuncia alla Polizia Postale e valuta l'acquisizione forense delle prove con un perito informatico.
Perché è utile un perito informatico forense in un caso di smishing?
Uno screenshot raccolto autonomamente ha spesso un valore probatorio limitato. Un perito acquisisce messaggio, metadati e sito falso con una procedura tecnica documentata, producendo una perizia depositabile in giudizio e a supporto della denuncia.
Qual è il dominio usato in questa specifica campagna BRT?
Il caso qui analizzato usa il dominio brt.kovex.top, ma trattandosi di un dominio a rotazione tipico delle campagne di phishing-as-a-service, è probabile che emergano varianti con domini diversi nelle prossime settimane.
Hai cliccato un link BRT sospetto o assisti un cliente in un caso simile?
I nostri periti informatici forensi acquisiscono le prove digitali in modo giuridicamente valido, redigono perizie utilizzabili in tribunale e supportano avvocati e aziende in ogni fase, dalla denuncia alla causa civile o penale.
Richiedi una consulenza →Potrebbe interessarti anche: