In questo articolo Indice dei contenuti 2 sezioni
Un nuovo raggiro sfrutta il nome di pagoPA per svuotare i conti correnti degli italiani, e questa volta i truffatori puntano tutto sulla paura di una multa da pagare in fretta. Il CERT-AGID ha individuato e segnalato una campagna di phishing e smishing che viaggia tramite email e SMS, diffondendo un falso avviso pagoPA costruito per apparire credibile fino all’ultimo dettaglio. Il meccanismo è sempre lo stesso, ma funziona ancora troppo bene.
Come funziona la truffa della finta multa
Tutto parte da un messaggio che invita il destinatario a saldare con urgenza una sanzione stradale che in realtà non esiste. I link contenuti nelle comunicazioni rimandano a siti malevoli che includono nel dominio la parola poliziadistato, però con un’estensione diversa da quella ufficiale. Un piccolo dettaglio che sfugge facilmente a chi legge di corsa, magari preoccupato per una multa mai ricevuta prima. L’Agenzia per l’Italia Digitale lo ha spiegato senza giri di parole. Si tratta di un tema che torna spesso nel panorama del cybercrime italiano, cioè la falsa multa da pagare subito, già vista in operazioni precedenti che abusavano dei nomi SEND e pagoPA. Il sito fraudolento si presenta come un portale della Polizia Stradale per la consultazione dei verbali e la comunicazione dei dati del conducente. Loghi e colori richiamano quelli della Polizia di Stato, giusto per rendere la messinscena più convincente.
La Polizia Postale, tempo fa, aveva già segnalato qualcosa di molto simile. Ecco perché la prudenza resta l’arma migliore. La presunta area riservata a cui la vittima viene invitata ad accedere serve a raccogliere dati personali e sensibili, dalla targa del veicolo al codice fiscale del proprietario. Poi arriva la richiesta di collegare un sistema di pagamento attivo. A quel punto i criminali simulano il classico passaggio dall’ente creditore al checkout pagoPA, ma la navigazione resta sempre sullo stesso dominio fasullo. La pagina mostra un codice avviso e indica l’Agenzia delle Entrate Riscossione come ente creditore. La catena continua con la richiesta di un indirizzo email, presentata come necessaria per ricevere l’esito del pagamento. L’ultima schermata chiede i dati della carta, quindi nome dell’intestatario, numero, data di scadenza e CVV. In sostanza l’obiettivo è uno solo, ovvero mettere le mani sui dati di pagamento.
Come proteggersi dal falso avviso pagoPA
Difendersi da questo tipo di raggiro è fondamentale per non consegnare informazioni sensibili ai truffatori, che poi le riutilizzano per altri attacchi mirati, e per non farsi svuotare il conto. Vale la pena ricordare un punto semplice ma decisivo. Comunicazioni di questo genere non arrivano mai via email o SMS. Le notifiche ufficiali seguono canali diversi e, tra l’altro, prevedono una conferma di ricezione da parte dell’ente che le ha prodotte e inviate. Nel dubbio, la cosa più sensata è contattare subito l’ente attraverso i suoi canali ufficiali, mai usando i recapiti indicati nel messaggio sospetto, oppure rivolgersi direttamente alle forze dell’ordine.
