È in corso una nuova ondata di smishing, la tecnica di phishing che sfrutta i messaggi di testo, ai danni dei cittadini italiani. I malintenzionati stanno utilizzando il marchio di SEND – Servizio Notifiche Digitali insieme a quello di pagoPA per dare credibilità a una richiesta di pagamento fasulla. L’allerta arriva dal CSIRT Italia, il team per la risposta agli incidenti informatici dell’Agenzia per la Cybersicurezza Nazionale, che raccomanda massima prudenza a tutti gli utenti.
Il raggiro parte da un SMS apparentemente proveniente da SEND, che avvisa il destinatario di una presunta infrazione al Codice della Strada collegata alla targa del suo veicolo. Il messaggio contiene un collegamento che invita a consultare i particolari della violazione.
Cliccando sul link, la vittima viene indirizzata verso un sito che imita fedelmente la grafica ufficiale di SEND e pagoPA. La prima pagina richiede l’inserimento della targa per verificare la presunta multa. Dopo aver digitato il numero, appare una schermata con tutti i dettagli fittizi dell’infrazione: velocità rilevata, limite previsto, data della violazione, importo della sanzione, costi di notifica e persino lo sconto riservato a chi paga entro cinque giorni. Nel caso analizzato, la cifra richiesta ammontava a 44,40 euro, una somma volutamente bassa per spingere la vittima a pagare senza insospettirsi.
Il percorso continua chiedendo i dati anagrafici del proprietario del veicolo: nome, cognome, indirizzo, numero di telefono ed email. L’ultimo step porta a una pagina di pagamento contraffatta, che riproduce loghi e stile grafico di SEND e pagoPA, dove viene richiesto di inserire i dati della carta di credito o debito. Lo scopo dei criminali informatici è duplice: sottrarre sia le informazioni personali sia le credenziali bancarie, utilizzabili per compiere transazioni illecite o altre frodi.
Per non cadere in questo tranello è essenziale diffidare di qualsiasi SMS che richieda il pagamento immediato di presunte sanzioni, evitare di cliccare sui link ricevuti in messaggi non richiesti e controllare sempre che il sito a cui si accede appartenga effettivamente a un dominio istituzionale riconosciuto. In caso di incertezza, è preferibile raggiungere i servizi della Pubblica Amministrazione digitando manualmente l’indirizzo ufficiale nel browser, senza affidarsi ai link ricevuti via SMS.
Chi ha già fornito i dati della propria carta su un sito sospetto dovrebbe contattare senza indugio la banca o la società emittente per bloccare la carta e verificare la presenza di operazioni non autorizzate.