In questo articolo Indice dei contenuti 1 sezione
Un nuovo attacco phishing a tema SPID sta mettendo nel mirino gli utenti italiani, e a segnalarlo è stato il CERT-AGID, il Computer Emergency Response Team dell’Agenzia per l’Italia Digitale. L’obiettivo dei cybercriminali dietro questa campagna è chiaro fin da subito: mettere le mani su dati personali e bancari delle vittime. E per rendere il tutto più convincente, i truffatori non si fanno troppi scrupoli. Usano in modo improprio il nome e i loghi di AgID e di SPID, appoggiandosi a una serie di domini diversi che contengono termini come “spid” e “gov”, giusto per dare quel tocco di ufficialità che manda in confusione chi legge di fretta.
Il meccanismo è studiato bene. La pagina fasulla chiede alla vittima di inserire il proprio codice fiscale per procedere con una presunta verifica del pagamento di un canone annuale, da versare entro certe scadenze per evitare more e interessi. Il tutto condito con la minaccia neanche troppo velata di perdere l’accesso ai servizi della Pubblica Amministrazione. È la solita leva psicologica: la paura di rimanere tagliati fuori spinge tante persone a cliccare senza pensarci troppo.
Da lì in poi la truffa prosegue con un finto numero di riferimento della pratica, seguito dalla richiesta di pagare una cifra molto simile a quella che alcuni gestori SPID chiedono davvero come corrispettivo annuale. E qui sta il vero problema. La grafica e i loghi sono talmente curati da sembrare autentici, esattamente come accade con le finte multe via email e SMS che sfruttano l’avviso pagoPA. I truffatori ci provano sempre, sfruttando ogni minima possibilità di raggirare le persone.
Cosa dice il CERT-AGID e come difendersi
Il punto centrale, quello che vale la pena tenere bene a mente, lo ha ribadito il CERT-AGID nel comunicato pubblicato di recente. Le identità SPID non vengono gestite attraverso siti istituzionali di AgID. Chiunque riceva un messaggio del genere ha davanti un tentativo di phishing, punto e basta. Tutte le operazioni, come accessi, verifiche e gli eventuali pagamenti quando previsti, avvengono esclusivamente tramite il proprio gestore SPID, che resta l’unico interlocutore con cui l’utente ha rapporti operativi.
Ne consegue una regola piuttosto semplice da ricordare. Qualsiasi richiesta che inviti a inserire dati personali o dettagli di pagamento su pagine esterne, o comunque non riconducibili al proprio gestore, va trattata come sospetta. Nel dubbio, meglio non interagire in alcun modo con il messaggio. Niente click, niente dati inseriti, niente pagamenti. La cosa migliore da fare è inoltrare il tutto al CERT-AGID all’indirizzo malware@cert-agid.gov.it, così da segnalare la minaccia e aiutare a bloccarla sul nascere.
