Nel panorama moderno della cybersecurity, la velocità con cui i cybercriminali adattano le proprie tattiche è una costante che continuiamo a documentare ed analizzare ogni giorno su questo spazio. Il fenomeno dell’ingegneria sociale non accetta pause e dimostra una costante capacità di sfruttare leve psicologiche efficaci, facendo leva sull’autorevolezza dei marchi istituzionali per abbassare le difese degli utenti. Le minacce informatiche a tema fiscale o legate ai servizi pubblici rappresentano un classico intramontabile, proprio perché toccano da vicino la quotidianità dei cittadini e sfruttano il senso di urgenza o l’illusione di un guadagno economico inaspettato. Su queste pagine ci impegniamo da sempre a decodificare questi pattern d’attacco, con l’obiettivo di fornire agli appassionati di tecnologia e ai professionisti IT gli strumenti cognitivi necessari per riconoscere tempestivamente i pericoli che si annidano nella rete.
L’ultima e insidiosa truffa intercettata e segnalata dal CERT-AGID riguarda una nuova campagna di phishing a tema PagoPA che sfrutta il pretesto di un falso rimborso TARI per trarre in errore gli utenti. Gli attaccanti hanno realizzato un’infrastruttura malevola che replica fedelmente l’interfaccia grafica, i loghi e i colori ufficiali della nota piattaforma per i pagamenti verso la Pubblica Amministrazione. Come spesso accade, anche i domini d’appoggio utilizzati dai truffatori non si discostano molto dal finto messaggio che è stato fatto pervenire alle caselle mail delle potenziali vittime. Ciò significa che nell’URL si notano parole come “rimborso” o che comunque vogliono sembrare quelle dei portali ufficiali degli enti pubblici. Entrando nel dettaglio dell’esca, alla vittima viene prospettata la restituzione di un presunto pagamento in eccesso relativo alla tassa sui rifiuti, associato a un numero di pratica fittizio e a una cifra specifica. Cliccando sui pulsanti proposti, l’utente viene guidato attraverso un percorso a tappe appositamente progettato per confermare l’identità e riscattare l’importo.
La pericolosità di questo specifico schema risiede nell’estrema strutturazione del processo di esfiltrazione, organizzato attraverso un vero e proprio iter di raccolta dati mirato. In prima battuta, la piattaforma fasulla richiede l’inserimento del codice fiscale o della carta d’identità per effettuare una finta verifica, mossa che aumenta il senso di legittimità della procedura. Successivamente, il sistema mostra un esito della verifica positivo con l’accredito di una somma fissa, che nell’approfondimento di CERT-AgID sembrerebbe ammontare a 95 Euro circa, inducendo l’utente a compilare un form dettagliato con tutti i suoi dati anagrafici, inclusi indirizzo di residenza, numero di telefono ed indirizzo email. L’inganno si completa nell’ultimo passaggio, quando per effettuare il presunto versamento vengono richiesti i dati completi della carta di credito, inclusi numero, data di scadenza e codice CVV. Per dare ancora di più una parvenza di pagamento legittimo, vengono addirittura aggiunti dettagli come i costi di autorizzazione, la lista degli istituti che non prevedono costi aggiuntivi su questi pagamenti e pure un riquadro da spuntare per approvare la privacy policy.
La combinazione di tutte queste informazioni mette nelle mani dei cybercriminali un pacchetto informativo devastante, capace di causare danni finanziari diretti e problematiche a lungo termine. Possedere contemporaneamente le coordinate finanziarie della carta di pagamento e un profilo anagrafico così accurato permette agli attaccanti sia di autorizzare transazioni fraudolente immediate, sia di orchestrare successive campagne di phishing mirate o vishing estremamente credibili. Il riutilizzo di marchi fidati come PagoPA e la leva psicologica della TARI rendono l’inganno fluido ed efficace, esponendo al rischio anche utenti solitamente attenti e abituati ad interagire con i servizi digitali dello Stato.
In conclusione, questa vicenda dimostra chiaramente come l’evoluzione del cybercrimine passi sempre più dalla qualità del social engineering e dalla cura del dettaglio visivo piuttosto che da sofisticati exploit tecnici. L’adozione di un approccio improntato al modello Zero Trust anche nella navigazione quotidiana e nell’uso delle e-mail diventa fondamentale per salvaguardare la propria identità digitale. Verificare sempre i domini nella barra dell’indirizzo, diffidare delle comunicazioni che promettono rimborsi automatici e ricordare che nessun portale istituzionale chiederà mai il CVV per accreditare denaro rimangono i pilastri fondamentali della difesa informatica moderna.
Fonte: 1