Una nuova campagna di smishing, il phishing veicolato tramite SMS, sta prendendo di mira gli utenti italiani sfruttando il nome di SEND – Servizio Notifiche Digitali e di pagoPA per rendere credibile una falsa richiesta di pagamento. A lanciare l’allarme è il CSIRT Italia, il Computer Security Incident Response Team dell’Agenzia per la Cybersicurezza Nazionale, che invita i cittadini a prestare la massima attenzione.
La truffa inizia con un SMS che sembra inviato da SEND e informa il destinatario di una presunta violazione del Codice della Strada associata alla targa del proprio veicolo. Nel messaggio è presente un link che invita a consultare i dettagli dell’infrazione.
Chi clicca viene reindirizzato a un sito che riproduce la grafica dei servizi ufficiali di SEND e pagoPA. La prima schermata chiede di inserire il numero di targa per verificare l’esistenza della presunta violazione. Una volta digitata la targa, compare una pagina con tutti i dettagli della falsa infrazione,: la velocità rilevata, il limite consentito, la data della presunta violazione, l’importo della sanzione, le spese di notifica e perfino la riduzione prevista per chi paga entro cinque giorni. Nel nostro caso, la somma richiesta era di 44,40 euro, un importo volutamente contenuto per indurre la vittima a pagare senza sospettare della frode.
La procedura prosegue con la richiesta dei dati dell’intestatario del veicolo, tra cui nome, cognome, indirizzo, recapito telefonico ed e-mail. L’ultimo passaggio conduce a una falsa pagina di pagamento che riprende loghi e riferimenti grafici di SEND e pagoPA e invita a inserire i dati della carta di credito o di debito. L’obiettivo dei criminali informatici è impossessarsi sia delle informazioni personali sia delle credenziali di pagamento, che possono essere utilizzate per effettuare transazioni non autorizzate o per altre attività fraudolente.
Per evitare di cadere nella trappola è fondamentale diffidare degli SMS che chiedono il pagamento urgente di presunte sanzioni, non cliccare sui link ricevuti tramite messaggi inattesi e verificare sempre che il sito visitato appartenga realmente a un dominio istituzionale. In caso di dubbio è consigliabile accedere ai servizi della Pubblica Amministrazione digitando direttamente l’indirizzo ufficiale nel browser, senza passare dai collegamenti contenuti negli SMS.
Se si sono già inseriti i dati della carta su un sito sospetto, il consiglio è di contattare immediatamente la propria banca o l’emittente della carta per richiederne il blocco e monitorare eventuali operazioni non autorizzate.