In questo articolo Indice dei contenuti 2 sezioni
Una nuova truffa delle false multe stradali sta circolando in questi giorni e prende di mira gli automobilisti italiani con un metodo tanto semplice quanto insidioso. Gli esperti del CERT-AgID, il Computer Emergency Response Team dell’Agenzia per l’Italia Digitale, hanno segnalato una campagna di phishing che usa nome, loghi e grafiche della Polizia di Stato e di pagoPA per spingere le vittime a saldare un verbale che, in realtà, non esiste. Il meccanismo ricorda molto da vicino quello scoperto a fine maggio, quando i cybercriminali sfruttavano il nome della piattaforma SEND.
Come funziona la trappola dei siti fasulli
Al momento non è chiaro attraverso quale canale arrivi la comunicazione fasulla, anche se il sospetto più concreto punta sulla posta elettronica. Quello che succede dopo, però, è stato ricostruito nei dettagli. Basta cliccare sul link contenuto nel messaggio per finire su un sito di phishing costruito con una grafica quasi identica a quella del portale legittimo della Polizia Stradale, quello che permette la consultazione dei verbali per violazione del codice della strada. L’unico dettaglio che tradisce l’inganno è la posizione della scritta Polizia di Stato, piazzata al centro della parte superiore invece che nell’angolo a sinistra come sul sito vero.
A quel punto la vittima viene invitata ad accedere a un’area riservata inserendo la targa del veicolo e il codice fiscale del proprietario. Ed ecco il primo colpo: quei due dati finiscono dritti nelle mani dei criminali. Vale la pena ricordare che sul portale autentico l’accesso all’area personale avviene solo tramite SPID o CIE, non con targa e codice fiscale.
Il finto pagamento e i dati della carta
Superato questo primo passaggio, sullo schermo compare una sorta di estratto conto con tanto di data e tipo di infrazione. La cifra richiesta è 42,00 euro, da versare entro 15 giorni. Cliccando sul pulsante Paga ora, l’utente viene indirizzato verso una pagina che imita quella di pagoPA, ma si tratta sempre dello stesso sito fraudolento. Qui vengono chiesti prima l’indirizzo email e poi i dettagli della carta di pagamento: nome del titolare, numero della carta, data di scadenza e codice CVV. Tutto materiale che, com’è facile immaginare, viene spedito direttamente al server controllato dai cybercriminali.
Il CERT-AgID ha già chiesto la disattivazione dei domini che ospitano queste pagine truffaldine. La regola d’oro, intanto, resta sempre la stessa: mai cliccare sui link ricevuti via email o SMS. Molto meglio raggiungere in autonomia il sito ufficiale della Polizia di Stato digitando l’indirizzo direttamente nel browser. C’è poi un dettaglio che dovrebbe far scattare subito il campanello d’allarme: sul portale autentico gli utenti possono soltanto consultare i verbali, comunicare i dati del conducente oppure disconoscere il veicolo. Pagare la multa, invece, non è un’operazione prevista da quel sito.
