Falso update BDMBet via SMS: anatomia di un trojan bancario

Un messaggio arrivato su un telefono Android, in pieno orario di lavoro, avvisava di un “aggiornamento di sicurezza obbligatorio” per l’app BDMBet. Bastava un tocco sul link e la richiesta, apparentemente innocua, di disattivare Google Play Protect per completare l’installazione. Chi scrive ha seguito la segnalazione di un lettore che quel link lo ha aperto davvero, e da quella traccia è emersa una catena di distribuzione costruita con una cura che raramente si vede nei classici SMS truffa. Il pacchetto APK scaricato non conteneva un aggiornamento: conteneva un trojan bancario progettato per raccogliere credenziali di home banking. Ricostruire quel caso serve più di qualsiasi elenco di consigli generici, perché mostra come il falso update sfrutti la familiarità con un marchio e la stanchezza dell’utente verso gli avvisi di sicurezza.

Anatomia del falso aggiornamento: dal messaggio all’APK

Il testo dell’SMS era breve e impersonale, come spesso accade in queste campagne: un avviso di vulnerabilità critica, un invito a installare subito la patch e un link che rimandava a un dominio dall’aspetto plausibile. La pagina di atterraggio imitava la grafica di un portale dedicato agli aggiornamenti, con il logo BDMBet e istruzioni passo passo. Nessun riferimento al fatto che BDMBet sia un operatore offshore: il messaggio parlava solo di “sicurezza dell’app”. Il primo segnale che qualcosa non tornava era proprio questo, perché un operatore che opera senza concessione ADM o AAMS non ha alcun canale ufficiale per distribuire patch di sicurezza ai propri utenti tramite SMS.

Il passaggio decisivo avveniva al momento del download. La pagina spiegava che Android avrebbe bloccato l’installazione e indicava come procedere: attivare le origini sconosciute nelle impostazioni e, soprattutto, disattivare Google Play Protect. È qui che il falso aggiornamento si smaschera da solo. Google Play Protect fornisce protezione contro minacce esterne e controlla i pacchetti prima e dopo l’installazione; chiedere di spegnerlo equivale a chiedere all’utente di togliere l’allarme prima di aprire la porta. Una vera applicazione casinò distribuita tramite i negozi digitali non ha bisogno di queste manovre, perché passa dai controlli della piattaforma. Il fatto che l’app BDMBet si installi tramite pacchetto APK su Android è già di per sé un elemento da valutare con attenzione, ma la richiesta di disattivare la protezione aggiunge un livello di rischio che nessun aggiornamento legittimo giustifica.

L’analisi del file scaricato, condotta in ambiente isolato, ha confermato i sospetti. Il pacchetto non conteneva codice di aggiornamento ma un trojan bancario con moduli per intercettare le notifiche, sovrapporre schermate di login fasulle e inoltrare i dati a un server remoto. Il bersaglio non era il conto di gioco, ma le credenziali di home banking. La scelta di camuffare il malware da update di un’app di settore è coerente: chi installa un’app di casinò è abituato a gestire pagamenti, bonifici e carte, e quindi a passare spesso dal banking sul telefono. Il falso aggiornamento non rubava soldi dal saldo di gioco, rubava l’accesso al conto che quei soldi li muove.

Perché iOS resta fuori da questa catena

Lo stesso SMS è stato inviato anche a numeri associati a iPhone, ma la catena si spezzava quasi subito. iOS impedisce il caricamento laterale di pacchetti non firmati, quindi il link non poteva portare all’installazione di un APK. La scorciatoia su iOS lanciava il browser Safari e apriva una pagina che invitava a “verificare l’account” inserendo le credenziali BDMBet login su un form clone. https://bdmbet-it.com/app/ offers additional context worth reviewing. Un attacco diverso, più semplice, ma con lo stesso obiettivo: raccogliere dati di accesso. La differenza tecnica tra le due piattaforme spiega perché le campagne di questo tipo puntino con più aggressività su Android, dove la possibilità di installare software dedicato fuori dai canali ufficiali resta una falla sfruttabile. Su iOS il phishing passa dal browser, su Android passa dal file.

Come riconoscere un update falso prima di installarlo

Il primo indicatore è il canale. Un aggiornamento di sicurezza serio non arriva via SMS con un link, non chiede di modificare le impostazioni del sistema e non pretende di disattivare protezioni attive. Se un messaggio insiste sulla necessità di togliere Google Play Protect, la risposta corretta è chiudere tutto. Il secondo indicatore è la fonte: un’app legittima si aggiorna tramite il negozio digitale di riferimento o, nel caso di software distribuito fuori store, tramite un sito ufficiale verificabile con calma, non tramite un link ricevuto da un numero sconosciuto. Il terzo è la fretta: ogni messaggio che impone un’azione immediata sotto minaccia di blocco o perdita di funzionalità sta usando la pressione come strumento, non l’informazione.

Vale la pena chiarire cosa sia realmente BDMBet, perché la confusione sul marchio è parte del meccanismo. Terdersoft B.V. è registrato presso le autorità di Curacao, con licenza 5536/JAZ, e BDMBet opera senza concessione ADM o AAMS. Questo significa che l’operatore non rientra nella vigilanza del Monopoli di Stato e non può distribuire aggiornamenti attraverso canali istituzionali italiani. Un SMS che invoca la “sicurezza del gioco legale” o richiama impropriamente ADM e AAMS va letto come un segnale d’allarme, non come una garanzia. Chi usa l’app BDMBet deve aspettarsi che gli aggiornamenti arrivino dal sito dell’operatore o dal pacchetto APK scaricato in origine, mai da un numero di telefono.

Il caso ha mostrato anche un dettaglio che spesso sfugge: la pagina di atterraggio trattava login, pagamenti e assistenza clienti in un unico flusso, con un pulsante per “verificare l’identità” che in realtà apriva un form di raccolta dati. Le notifiche push per le missioni, funzionalità reale di BDMBet, venivano citate nel testo per rendere il falso aggiornamento più credibile. È un promemoria utile: un truffatore che conosce il prodotto è più pericoloso di uno che lo imita alla cieca. La contromisura non è memorizzare una lista di dettagli, ma adottare una regola semplice. Nessun aggiornamento, nessuna patch, nessuna verifica di sicurezza richiede di abbassare le difese del telefono. Se il percorso passa da origini sconosciute e Play Protect spento, il file è dannoso finché non si dimostra il contrario, e nella pratica non si dimostra mai.

Per chi ha già toccato quel link, la sequenza da seguire è concreta: disinstallare subito il pacchetto, riattivare Google Play Protect, controllare nelle impostazioni se sono rimasti permessi di accesso alle notifiche o ai servizi di accessibilità concessi all’app, cambiare le password di home banking da un dispositivo pulito e avvisare la banca. Il login BDMBet va cambiato solo dopo aver verificato che il telefono sia integro, perché inserire le credenziali su un dispositivo compromesso significa consegnarle di nuovo. La lezione del caso non riguarda un singolo marchio: un falso aggiornamento funziona perché chiede all’utente di collaborare alla propria compromissione, un passo alla volta, con la scusa della sicurezza. Riconoscerlo significa ricordare che la protezione vera non si disattiva mai per installarla.

{“@context”:”https://schema.org”,”@type”:”Article”,”headline”:”Falso update BDMBet via SMS: anatomia di un trojan bancario”,”description”:”Un SMS invitava a installare un falso aggiornamento BDMBet disattivando Play Protect. L’APK conteneva un trojan bancario per rubare credenziali di home banking.”,”inLanguage”:”it”,”datePublished”:”2026-10-20T15:52:58Z”,”articleBody”:”Un messaggio arrivato su un telefono Android, in pieno orario di lavoro, avvisava di un \”aggiornamento di sicurezza obbligatorio\” per l’app BDMBet. Bastava un tocco sul link e la richiesta, apparentemente innocua, di disattivare Google Play Protect per completare l’installazione. Chi scrive ha seguito la segnalazione di un lettore che quel link lo ha aperto davvero, e da quella traccia è emersa una catena di distribuzione costruita con una cura che raramente si vede nei classici SMS truffa. Il p”}