Una nuova campagna di phishing sfrutta il nome di PagoPA per inviare false richieste di pagamento relative a presunte violazioni del Codice della Strada. A rendere particolarmente insidioso il raggiro è l’utilizzo di caselle di posta elettronica certificata (PEC) compromesse, attraverso le quali i criminali riescono a distribuire comunicazioni dall’aspetto istituzionale. A segnalare il fenomeno è il CERT-AGID, che negli ultimi giorni ha individuato diversi tentativi di frode costruiti per sottrarre dati personali e informazioni bancarie. Il messaggio invita a pagare una presunta sanzione di 198 euro entro una scadenza ravvicinata, prospettando un aumento dell’importo fino a 268 euro in caso di ritardo.
Come funziona il tentativo di raggiro che imita PagoPA
La truffa comincia con un’e-mail inviata da una casella PEC già compromessa e indirizzata a un normale account di posta elettronica. Nei due episodi più recenti esaminati dal CERT-AGID, i messaggi riportavano inoltre in copia circa 340 indirizzi PEC, contribuendo a rafforzare l’apparenza di una comunicazione ufficiale.
Il testo si presenta come un provvedimento amministrativo relativo a un’infrazione del Codice della Strada. Il linguaggio è particolarmente formale e contiene numerosi riferimenti normativi, elementi studiati per rendere credibile la presunta notifica. Al suo interno compare un pulsante denominato «Accesso al portale istituzionale», che conduce a una pagina web fraudolenta. Il sito riproduce loghi e grafica di PagoPA, ma è ospitato su un dominio con estensione .ru, riconducibile a un provider di hosting russo.
Una volta raggiunta la pagina, all’utente viene chiesto di compilare un modulo con nome, cognome, codice fiscale, data di nascita, indirizzo e-mail e numero di telefono. La raccolta dei dati, però, potrebbe rappresentare soltanto il primo passaggio della frode. Le analisi tecniche hanno infatti individuato un sistema che permette agli attaccanti di controllare da remoto il percorso di navigazione della vittima. La pagina comunica con un pannello di gestione sul server ogni mezzo secondo, verificando la presenza di nuove istruzioni per mostrare ulteriori schermate. Tra quelle individuate figurano pagine potenzialmente destinate a raccogliere i dati delle carte di pagamento e i codici di verifica bancaria. In questo modo, i criminali potrebbero accompagnare l’utente nelle diverse fasi della procedura, adattando le richieste alle informazioni necessarie per completare il pagamento fraudolento.
Come riconoscere un tentativo di phishing così verosimile
La presenza di loghi ufficiali, riferimenti normativi e persino di un mittente PEC può rendere difficile individuare una comunicazione fraudolenta. Per evitare di cadere nella trappola, è quindi importante controllare alcuni elementi prima di fornire informazioni o effettuare un pagamento.
Un primo accorgimento riguarda l’indirizzo del mittente. È necessario verificare che corrisponda effettivamente a quello dell’ente interessato, prestando attenzione a eventuali variazioni sospette, caratteri aggiuntivi o denominazioni poco credibili. Tuttavia, come dimostra la campagna individuata dal CERT-AGID, anche un indirizzo PEC apparentemente autentico può essere stato violato: la sua provenienza, da sola, non garantisce la legittimità del messaggio.
Bisogna poi osservare con attenzione il contenuto della comunicazione. Le richieste di pagamento accompagnate da minacce di sanzioni maggiorate o da scadenze particolarmente strette sono un possibile segnale di allarme. Anche le richieste di password, dati bancari o numeri di carte di credito devono insospettire: PagoPA non domanda queste informazioni attraverso e-mail o SMS.
Un altro controllo fondamentale riguarda il sito su cui viene richiesto di effettuare la transazione. Prima di aprire un collegamento, è possibile passare il cursore del mouse sopra il link per visualizzare l’indirizzo effettivo. Se il dominio presenta estensioni insolite o non corrisponde a quello ufficiale, è meglio non procedere. Occorre inoltre ricordare che la presenza del lucchetto nella barra del browser indica una connessione protetta, ma non certifica che il sito appartenga realmente a PagoPA.
In caso di dubbi sull’esistenza di una multa, la soluzione più sicura è raggiungere direttamente il sito dell’ente creditore, digitando l’indirizzo nel browser anziché utilizzare i collegamenti ricevuti. Attraverso SPID o CIE è possibile accedere ai servizi online e verificare la presenza di eventuali pagamenti dovuti. Per le transazioni si può utilizzare il portale ufficiale di PagoPA, evitando così di affidarsi a pagine raggiunte tramite comunicazioni sospette.
