Un messaggio SMS apparentemente inviato da Trenitalia, contenente la promessa di un rimborso da riscuotere e il classico link su cui cliccare. Bastano questi pochi ingredienti per innescare uno dei raggiri più subdoli di questa estate, costruito ad arte sui disagi reali causati da ritardi e disservizi delle ultime settimane, il che lo rende particolarmente credibile. Possiamo confermarlo in prima persona: anche i telefoni della nostra redazione hanno ricevuto, nei giorni scorsi, messaggi del tutto identici a quello descritto, come si può notare dall’immagine qui sotto:
Un raggiro confermato dalle autorità
Il CERT-AGID (il Computer Emergency Response Team dell’Agenzia per l’Italia Digitale, organismo dedicato alla cybersicurezza della pubblica amministrazione) ha scoperto una campagna di smishing che sfrutta indebitamente il marchio Trenitalia per carpire informazioni riservate agli utenti. I testi fraudolenti spingono le vittime a cliccare su un collegamento, adducendo come pretesto un fantomatico indennizzo per il ritardo di un convoglio. Lo scopo dei truffatori è entrare in possesso del numero telefonico e dei dati della carta di pagamento delle persone colpite. Il link in questione, come precisa l’agenzia, rimanda a una pagina web che copia in modo quasi perfetto la grafica ufficiale di Trenitalia, comunicando alla vittima che, per via del presunto disservizio, è disponibile un importo di 15 euro da recuperare. A rendere ancora più convincente l’inganno interviene il typosquatting: si tratta di indirizzi web che imitano quello autentico aggiungendo una lettera o utilizzando un’estensione insolita, studiati apposta per trarre in inganno chi non presta sufficiente attenzione. Chi cade nella trappola viene invitato a fornire dapprima il proprio numero di cellulare, poi i dati completi della carta di credito, e infine a versare una piccola somma descritta come “quota di verifica” (nelle versioni scoperte finora, appena 1,50 euro), presentata come passaggio obbligato per sbloccare l’accredito.
Il rapporto settimanale del CERT-AGID relativo al periodo 4-10 luglio colloca questo episodio in uno scenario ben più esteso: nella sola settimana presa in esame, l’ente ha censito 130 campagne dannose a livello nazionale, di cui quasi tre quarti (98 casi) pensate appositamente per colpire cittadini e imprese italiane. Sul piano della reazione, il CERT-AGID ha già inoltrato al gestore del dominio la richiesta di chiusura dell’indirizzo web fraudolento e ha allertato direttamente Trenitalia sulla minaccia in corso. Gli indicatori di compromissione individuati sono stati nel frattempo condivisi con le organizzazioni che aderiscono al flusso IoC dell’ente, in modo da velocizzare il blocco di eventuali repliche della truffa.
Come smascherare il falso messaggio
Trenitalia non comunica mai eventuali rimborsi tramite link SMS che indirizzano verso domini diversi dal proprio sito ufficiale o dall’applicazione aziendale. I rimborsi per ritardo, quando dovuti, vanno richiesti unicamente attraverso i canali riconosciuti, ovvero il sito trenitalia.com, l’app FS oppure gli sportelli fisici.
Nessuna azienda o ente chiede mai il pagamento di una “quota di verifica” per erogare un indennizzo: questo dettaglio, da solo, dovrebbe già far scattare un campanello d’allarme. Chi riceve un messaggio sospetto farebbe bene a non cliccare su nulla, ignorare il testo e segnalarlo tramite il portale della Polizia Postale (commissariatodips.it), che raccoglie le denunce dei cittadini e supporta le indagini in corso, oppure direttamente al CERT-AGID. Vale sempre la stessa regola, spesso dimenticata proprio quando il messaggio appare innocuo: non aprire mai link ricevuti via SMS, chat o email senza prima aver verificato che conducano a un sito ufficiale e affidabile.