Le false multe sono diventate il primo tema usato dai truffatori online in Italia. Nella settimana dal 31 ottobre al 6 novembre il CERT-AgID, la struttura di sicurezza informatica dell’Agenzia per l’Italia digitale, ha contato 98 campagne di phishing via email o SMS che si fingono avvisi di sanzioni non pagate. In 87 casi usano il nome di SEND, il servizio pubblico delle notifiche digitali.
Il problema è che SEND esiste davvero e invia avvisi anche sul cellulare, per cui distinguere il messaggio falso da quello vero non è sempre immediato.
SMS multa non pagata: i numeri della settimana
Nel complesso, nella settimana analizzata, il CERT-AgID ha individuato 217 campagne malevole, 187 delle quali con obiettivi italiani. Il tema “Multe” supera di molto tutti gli altri. I marchi sfruttati in queste campagne sono:
- SEND: 87 campagne;
- PagoPA: 8;
- ACI: 2;
- Telepass: 1.
Il secondo tema per diffusione, “Pagamenti”, conta 18 campagne, e anche lì il nome di PagoPA compare in 7 casi.
Nella stessa settimana sono circolati falsi messaggi di “verifica” a nome dell’INPS (7 campagne) e della Tessera Sanitaria (4). Ci sono state anche campagne contro i clienti di alcune banche, tra cui ING, BNL, Fineco e Intesa Sanpaolo.
Come funziona la truffa della falsa multa SEND
Il meccanismo era già stato descritto dal CERT-AgID nei mesi scorsi, come riportato da Punto Informatico. Il messaggio avvisa di una multa da pagare per una violazione del Codice della strada e contiene un link.
Il link porta a un sito che imita quello ufficiale, logo di SEND compreso, dove viene chiesto di inserire la targa del veicolo. Poi compare una schermata con i dettagli della presunta infrazione e, alla fine, la richiesta di pagare, con l’obiettivo di rubare i dati personali e quelli della carta di credito.
SEND manda SMS? Come arrivano le notifiche vere
Sì, ed è qui che nasce la confusione. Gli enti pubblici possono usare SEND anche per notificare le multe. In Sicilia lo fa per esempio il Comune di Palermo, che lo ha adottato per le violazioni al Codice della strada e per gli illeciti amministrativi. Secondo la scheda pubblicata dal Comune, la notifica vera può arrivare in tre modi:
- alla PEC, se si ha un domicilio digitale registrato in INAD o indicato su SEND;
- sull’app IO, con un avviso di cortesia da cui si vede l’atto e si paga;
- per raccomandata cartacea, se non ci sono recapiti digitali: dentro c’è un avviso con un QR code per vedere l’atto su SEND.
Chi lo ha scelto può ricevere anche avvisi di cortesia via email o SMS, con le istruzioni per accedere al servizio. Per leggere l’atto completo però bisogna sempre entrare su SEND con SPID o CIE. Il sito ufficiale indicato dal Comune è notifichedigitali.it.
Come riconoscere il falso
In base a queste regole, alcuni segnali aiutano a capire se il messaggio è sospetto:
- l’SMS porta a un sito che non è quello ufficiale di SEND;
- il sito chiede la targa e i dati della carta senza passare dall’accesso con SPID o CIE;
- non si è mai indicato a SEND il proprio numero di cellulare.
Nel dubbio, la strada più sicura è non usare il link. Si può entrare direttamente su SEND o sull’app IO e controllare se c’è davvero una notifica a proprio nome.
Cosa fare se hai cliccato
Chi ha inserito i dati della carta in un sito falso dovrebbe contattare subito la propria banca per bloccarla e controllare i movimenti. Chi ha inserito altre credenziali, per esempio quelle della posta, dovrebbe cambiarle.
Il CERT-AgID pubblica ogni settimana una sintesi delle campagne in corso, con i temi e i marchi più sfruttati. Prima di pagare una multa arrivata via SMS conviene controllare lì e sul proprio profilo SEND.
Commenta con Facebook