In questo articolo Indice dei contenuti 3 sezioni
Bastano poche parole per far scattare l’allarme e i falsi sms dell’Agenzia delle Entrate lo dimostrano bene: “È disponibile una nuova comunicazione fiscale”. Il messaggio arriva sul telefono, sembra credibile, invita a cliccare su un link per leggere un avviso che riguarderebbe la posizione fiscale del destinatario. Peccato che quel collegamento non porti da nessuna parte di ufficiale. L’amministrazione ha diffuso un’allerta pubblica proprio per mettere in guardia i cittadini, perché dietro quel link ci sono pagine costruite per rubare dati personali, credenziali di accesso e informazioni finanziarie. Non è una novità assoluta. I criminali informatici usano da tempo il nome di enti e istituzioni per una ragione molto semplice: sono nomi conosciuti da tutti e la maggior parte delle persone tende a fidarsi di ciò che arriva dallo Stato o da qualcosa che gli assomiglia. È un meccanismo psicologico più che tecnico, e funziona parecchio.
Cosa arriva davvero sul telefono
Negli esempi diffusi dall’Agenzia il mittente compare come “AAg.Entrate“, una dicitura abbastanza simile a quella reale da non insospettire chi legge di fretta. Il testo annuncia una nuova comunicazione fiscale e chiede di controllare un presunto sistema informatico. Chi clicca finisce su un sito esterno, non nell’area riservata del portale ufficiale. Questa volta l’esca è volutamente vaga. Si parla genericamente di una comunicazione da leggere, senza cifre né dettagli. Un cambio di registro rispetto a quanto successo lo scorso giugno, quando una truffa analoga parlava esplicitamente di rimborsi fiscali, o a maggio, quando il messaggio arrivava addirittura a indicare la cifra esatta che l’utente avrebbe dovuto incassare cliccando sul link.
Il tema dei rimborsi, in tutte le sue varianti, resta uno dei più sfruttati tra le truffe online censite dal CERT AGID, il gruppo dell’Agenzia per l’Italia Digitale che individua e segnala le minacce informatiche. Il filo conduttore è sempre lo stesso: convincere la vittima a seguire un collegamento.
Come controllare e cosa fare dopo un errore
La raccomandazione dell’Agenzia è netta, cioè non inserire mai dati nelle pagine aperte da comunicazioni che non ci si aspettava. Chi vuole capire se esiste davvero un avviso può entrare nel portale digitando a mano www.agenziaentrate.gov.it, consultare la pagina Focus sul phishing oppure usare i contatti pubblicati sul sito per rivolgersi all’ufficio territoriale competente. Il principio vale in generale e conviene ricordarlo: ogni verifica dovrebbe partire da un indirizzo cercato in autonomia con un motore di ricerca, mai dai link ricevuti via sms, email o app di messaggistica. Sembra banale, ma è la differenza tra una serata tranquilla e una settimana di telefonate alla banca.
Chi invece è già caduto nella trappola ha poco tempo da perdere. Le credenziali inserite sul sito fraudolento vanno cambiate subito. E chi ha fornito i dati di una carta di pagamento o di un conto corrente dovrebbe contattare il proprio istituto di credito e segnalare l’accaduto, una raccomandazione che arriva anche dalla polizia postale.
Perché questi dati valgono tanto
Il ragionamento degli attaccanti è piuttosto lineare. Interessano i dati personali e i rapporti bancari, punto. Un nome corredato da codice fiscale, indirizzo fisico o indirizzo email diventa materiale utile per costruire altre truffe, oppure finisce venduto sui mercati paralleli e passa nelle mani di altri criminali che lo riutilizzeranno a loro modo. Poi c’è il capitolo bancario. Intercettare le credenziali di accesso a un conto, o convincere la vittima a effettuare un bonifico anche di importo contenuto, è già un risultato. Una parte del mondo del phishing lavora esattamente così, preferendo racimolare tante piccole somme da molte persone piuttosto che puntare a un colpo grosso su un singolo bersaglio. Meno rumore, meno rischi, e spesso anche meno probabilità che la vittima si accorga in tempo di quello che è successo.
Fonte: TecnoAndroid
