Il panorama della sicurezza informatica in Italia si trova ad affrontare una nuova e sofisticata minaccia che unisce l’ingegneria sociale alle tematiche finanziarie più calde del momento. Gli esperti del CERT-AGID hanno infatti intercettato una lunga lista di campagne fraudolente che sfruttano indebitamente, ma in modo molto efficace, l’identità visiva, i loghi e il nome dell’Agenzia delle Entrate. I cybercriminali stanno cavalcando l’onda dell’attenzione mediatica e normativa legata al monitoraggio fiscale delle valute digitali, orchestrando esche mirate a colpire i possessori di criptovalute o monete digitali. L’aspetto più allarmante di questa offensiva non risiede solo nella scelta del tema, ma soprattutto nell’evoluzione delle tecniche utilizzate, capaci di aggirare le normali difese psicologiche degli utenti attraverso un meccanismo interattivo altamente personalizzato.
Il cuore di questa specifica minaccia, rilevata il 19 giugno, si basa su un’architettura tecnica adatta a ingannare anche l’occhio più attento, combinando il classico phishing tramite moduli web con il vishing, ovvero la frode basata sul contatto telefonico vocale durante il quale si richiedono dati come le password o gli OTP oppure direttamente dei pagamenti. Tutto ha inizio con l’atterraggio della vittima su un portale web che ricalca in modo quasi perfetto la veste grafica istituzionale dell’Agenzia delle Entrate, facendola sembrare una reale pagina di login, oltretutto basandosi su un dominio falso ma quasi credibile. In questa prima schermata viene richiesto l’inserimento di codice fiscale e il numero di cellulare, necessari a simulare un finto accesso ai servizi telematici. Una volta superato questo step, che molto probabilmente verrebbe superato anche mettendo numeri o codici fiscali falsi, il sistema malevolo mostra un finto stato della pratica contrassegnato dalla dicitura In attesa di verifica patrimoniale, espediente studiato per generare un immediato senso di urgenza e di preoccupazione nel cittadino, che si sente improvvisamente oggetto di un controllo formale.
La vera e propria innovazione di questo attacco risiede nella natura dinamica del questionario successivo, che si adatta alle risposte digitate dall’utente per massimizzare il furto di informazioni. Il portale chiede esplicitamente se si possiedano wallet o exchange di criptovalute, e qualora la risposta sia affermativa, il flusso richiede dettagli specifici sul patrimonio digitale, come il valore stimato delle crypto in proprio possesso e la data in cui è stato fatto l’ultimo versamento. Se invece l’utente dichiara di non possedere monete virtuali, l’interfaccia modifica i propri campi in tempo reale, spostando il focus sui conti correnti tradizionali e domandando il nome dell’istituto bancario e l’ultimo saldo disponibile. In questo modo, indipendentemente dal profilo finanziario della vittima, i criminali riescono a mappare con precisione millimetrica la situazione economica del soggetto colpito.
L’inganno si conclude con una sofisticata trappola psicologica volta a spingere l’utente verso il canale telefonico gestito dai truffatori. Dopo l’invio dei dati patrimoniali, il sito mostra un messaggio di errore che denuncia un’incongruenza con l’anagrafe tributaria, minacciando l’emissione automatica di un avviso di accertamento e il blocco cautelativo degli asset. Per risolvere questa finta anomalia, la pagina esorta a contattare urgentemente un fantomatico Ufficio Verifiche di Milano fornendo un apposito numero di telefono, ed eccoci al suddetto vishing. Questa escalation verso il contatto vocale permette ai malintenzionati di consolidare la truffa attraverso la viva voce, azzerando i dubbi della vittima ormai intimorita dalle ritorsioni fiscali paventate sulla schermata.
Di fronte a minacce così articolate, che superano i confini dei vecchi messaggi di posta elettronica sgrammaticati, diventa fondamentale adottare un approccio di profonda diffidenza e verifica metodica. Le autorità hanno già avviato le procedure per la dismissione dei domini malevoli e la condivisione degli indicatori di compromissione, ma la prima linea di difesa resta la consapevolezza del cittadino. È bene ricordare costantemente che l’Agenzia delle Entrate non utilizza mai moduli interattivi web non protetti da sistemi di autenticazione ufficiale come lo SPID o la CIE, né tantomeno richiede dati sui saldi bancari o sui wallet di criptovalute attraverso canali d’emergenza telefonici. Prima di inserire qualsiasi informazione patrimoniale o di effettuare chiamate a numeri sconosciuti, è indispensabile consultare esclusivamente i canali di comunicazione ufficiali e digitare manualmente l’indirizzo del portale istituzionale nel proprio browser.
Fonte: 1
