In questo articolo Indice dei contenuti 3 sezioni
Sta girando in questi giorni una truffa via SMS che sfrutta il nome di PagoPA per annunciare una multa stradale mai ricevuta, e il meccanismo è abbastanza raffinato da trarre in inganno anche chi di solito riconosce i messaggi sospetti al primo sguardo. Il mittente che compare sul telefono non è un numero anonimo ma proprio la dicitura del sistema pubblico di pagamento, e tanto basta a far abbassare la guardia. Il testo parla di una notifica relativa a una contravvenzione stradale e invita a consultare i canali ufficiali attraverso un link. Che poi ufficiale non è per niente.
Come funziona il messaggio che finge di arrivare da PagoPA
Il contenuto è asciutto, quasi burocratico, e proprio per questo credibile: “Hai ricevuto una notifica relativa a una contravvenzione stradale. Per ulteriori informazioni, consulta i canali ufficiali” seguito dall’indirizzo web. Chi clicca, e sarebbe sempre meglio evitare di farlo, finisce su una pagina che chiede la targa del veicolo. Inserito quel dato, compare una schermata con una violazione del codice della strada completamente inventata, nell’esempio segnalato un eccesso di velocità, corredata dai dettagli sul superamento del limite e dall’importo della sanzione. Qui entra in gioco il dettaglio che rende il tutto più insidioso. In fondo alla pagina viene indicata la riduzione per il pagamento entro 5 giorni dalla notifica, uno sconto del 30% che esiste davvero nelle multe autentiche. Serve a creare fretta, a far pensare che conviene saldare subito prima di perdere l’agevolazione. Anche la cifra è stata scelta con cura: i 42 euro citati corrispondono all’importo reale previsto per le violazioni entro i 10 km/h, mentre la somma scontata da versare scende a 29,40 euro.
Il vero obiettivo non sono i 29,40 euro
Difficile pensare che chi ha costruito questa impalcatura si accontenti di una trentina di euro. L’obiettivo è un altro e riguarda i dati personali e soprattutto le credenziali di pagamento. Si tratta del classico phishing, pensato per intercettare i numeri della carta di credito di chi abbocca, con tutto quello che ne consegue in termini di prelievi successivi e uso fraudolento. Il precedente non manca. Nei mesi scorsi era già circolata una campagna simile costruita attorno al sistema SEND, sempre giocando sulla leva delle presunte contravvenzioni. Cambia il marchio citato, resta identico lo schema: un ente pubblico riconoscibile, un tono formale, un link che porta a una copia ben fatta di un portale istituzionale.
La regola che vale sempre contro il phishing
C’è un punto fermo che aiuta a non sbagliare mai: le autorità e gli enti pubblici non notificano multe o verbali tramite SMS, app di messaggistica o link diretti di questo tipo. Nessuna eccezione, nessun caso particolare. Se arriva un messaggio del genere, indipendentemente da quanto sembri autentico il mittente, la cosa più sensata è ignorarlo e cancellarlo. Vale la pena girare l’informazione alle persone meno pratiche di tecnologia, perché sono quelle che rischiano di più davanti a una schermata che replica fedelmente l’aspetto di un servizio pubblico. Un messaggio inoltrato a un genitore o a un parente anziano può evitare un guaio serio.
Nel caso in cui il danno sia già fatto, ovvero se i dati della carta sono stati inseriti prima di accorgersi dell’inganno, la procedura da seguire è immediata: sporgere denuncia senza perdere tempo e contattare la banca per bloccare la carta. Prima si interviene, maggiori sono le possibilità di limitare i danni ed evitare che gli addebiti si moltiplichino.
Un elemento che rende ancora più efficace questa truffa è la personalizzazione apparente. La richiesta della targa dà l’impressione che il sistema stia verificando qualcosa di reale, quando in realtà accetta qualsiasi combinazione di caratteri e restituisce comunque una sanzione fittizia. È un trucco psicologico semplice ma funziona, perché sposta l’attenzione dal dubbio iniziale alla preoccupazione per la multa da pagare.
