In questo articolo Indice dei contenuti 2 sezioni
Il bonus sociale idrico è diventato l’ennesima esca per una truffa online che sfrutta la difficoltà economica di tante famiglie italiane. Gli esperti del CERT-AgID, il Computer Emergency Response Team dell’Agenzia per l’Italia Digitale, hanno individuato una nuova campagna di phishing costruita sfruttando nome e logo di ARERA, l’Autorità di Regolazione per Energia Reti e Ambiente. L’obiettivo è quello di sempre in questi casi, ossia rubare i dati di pagamento delle vittime.
Il meccanismo parte quasi certamente da una email. Chi ci casca finisce su un sito che sembra ufficiale ma non lo è, e il trucco sta tutto in un dettaglio che passa facilmente inosservato.
Attenzione all’indirizzo del sito
I criminali hanno puntato su una tecnica ben nota, il cosiddetto typosquatting. In pratica registrano un nome di dominio quasi identico a quello vero, giocando su una piccola variazione che l’occhio tende a saltare. Chi digita “arerae” nella barra del browser, per esempio, si ritrova su una pagina falsa senza accorgersene. E da lì in poi la messinscena è piuttosto curata.
All’apertura compare subito una schermata dedicata al bonus sociale idrico, una cosa che sul sito ufficiale non esiste nemmeno. Ci sono i requisiti minimi indicati in modo corretto, i litri di acqua al giorno scontati, tutto pensato per dare un’aria di legittimità. Poi arriva la richiesta chiave, un campo dove inserire il proprio numero di telefono per “verificare l’agevolazione”.
Come funziona la finta pratica
Dopo il finto controllo la pagina restituisce un importo preciso, 100,93 euro, insieme ad altri dettagli che servono solo a rendere il tutto più credibile, come il numero della pratica, il periodo di validità e lo stato. A quel punto scatta la parte più delicata, quella per cui è stata pensata l’intera truffa. Per ricevere l’accredito viene chiesta la “verifica della carta di credito”.
L’utente si trova quindi a digitare nome dell’intestatario, numero della carta, data di scadenza e codice di sicurezza, il famoso CVV. Tutti dati che, com’è facile immaginare, finiscono dritti su un server controllato dai cybercriminali. Niente bonus, solo una carta di credito nelle mani sbagliate.
Il CERT-AgID è già intervenuto e ha ottenuto la chiusura del dominio incriminato. Resta però un punto importante da tenere a mente, perché questa procedura è del tutto inventata e può ingannare chi non conosce quella vera. Il bonus sociale idrico funziona in modo completamente diverso, viene applicato direttamente in bolletta dopo aver presentato la Dichiarazione Sostitutiva Unica, la DSU, all’INPS. Nessun sito chiede numeri di carta per erogarlo, e questo dovrebbe già bastare a far scattare il sospetto davanti a richieste di quel tipo.
