Allarme CSIRT: phishing via SMS finge una multa stradale sfruttando il logo di SEND e pagoPA
Il CSIRT Italia ha recentemente rilevato una campagna di phishing veicolata tramite SMS, finalizzata a indurre potenziali vittime ad avviare una procedura di verifica e, successivamente, un pagamento online. La campagna sfrutta impropriamente riferimenti grafici e testuali riconducibili a “SEND – Servizio Notifiche Digitali” e a pagoPA, con l’obiettivo di rendere la richiesta credibile e spingere l’utente a effettuare il pagamento di una falsa sanzione. Con il nome di un generico “Comune” come mittente, la campagna simula una procedura amministrativa di consultazione e pagamento di una presunta sanzione stradale.
La vittima viene inizialmente invitata a verificare la targa del veicolo; successivamente, la risorsa malevola mostra il dettaglio di una presunta violazione del Codice della Strada, comprensiva di importo dovuto, spese di notifica e riduzione per pagamento entro i termini. I messaggi, apparentemente inviati da un generico mittente “Comune”, invitano la vittima a verificare una presunta infrazione tramite un collegamento esterno, e la falsa violazione contiene dettagli costruiti ad arte tra cui velocità rilevata, limite consentito, margine di tolleranza applicato, data dell’infrazione, importo della sanzione con riduzione per pagamento rapido e spese di notifica. La procedura prosegue con la richiesta dei dati dell’intestatario del veicolo e si conclude con il reindirizzamento a una pagina di pagamento.
L’uso combinato dei loghi di SEND e pagoPA — due strumenti ormai familiari a milioni di cittadini italiani per le comunicazioni con la pubblica amministrazione — rende questa campagna particolarmente insidiosa: la fiducia accumulata verso queste piattaforme istituzionali viene sfruttata per abbassare le difese degli utenti. Il CSIRT Italia raccomanda di verificare e implementare, sui propri sistemi di sicurezza, gli eventuali Indicatori di Compromissione (IoC) associati alla campagna. La regola pratica resta sempre la stessa: nessun ente pubblico richiede pagamenti di multe tramite link ricevuti via SMS.
Fonte: CSIRT Italia / ACN / CyberSecurity Italia – (https://www.cybersecitalia.it/phishing-nuove-campagne-a-tema-send-servizio-notifiche-digitali-lallarme-del-csirt-italia-come-proteggersi/66039/)
