Phishing pagoPA: come riconoscere le truffe via SMS ed email 

La digitalizzazione dei servizi pubblici in Italia ha raggiunto traguardi fondamentali grazie alla diffusione della piattaforma pagoPA, l’ormai famosissimo sistema nazionale che consente a cittadini ed imprese di effettuare pagamenti verso la Pubblica Amministrazione in modo semplice, accentrato e sicuro.

Tuttavia, l’ampia adozione di questo strumento e la fiducia riposta dagli utenti nei marchi istituzionali hanno attirato l’attenzione di organizzazioni criminali informatiche dedite alla creazione di truffe digitali su larga scala. Le campagne di phishing e smishing a tema pagoPA rappresentano una minaccia costante e complessa, strutturata per sottrarre dati personali, credenziali d’accesso ai servizi bancari e numeri di carte di credito a ignari cittadini.

Per proteggersi in modo efficace occorre conoscere a fondo le tecniche operative utilizzate dai malintenzionati, gli indicatori di anomalia e le procedure ufficiali di verifica raccomandate dall’Agenzia per l’Italia Digitale e dalla Polizia Postale.

Le dinamiche operative e le modalità d’attacco maggiormente diffuse

I tentativi di truffa informatica che sfruttano illecitamente il nome e la grafica di pagoPA si sviluppano prevalentemente attraverso due canali di comunicazione immediata: la posta elettronica e i messaggi di testo su rete cellulare.

Nel caso delle email ingannevoli, note appunto come phishing, la vittima riceve una comunicazione dall’aspetto formalmente accurato, impreziosita dai loghi ufficiali di pagoPA, dei Ministeri o dei Comuni italiani. I messaggi fanno quasi sempre leva su leve psicologiche primarie quali l’urgenza, la paura di sanzioni o, al contrario, la falsa promessa di un rimborso economico.

Tra gli scenari più ricorrenti vi è la notifica di un presunto sollecito di pagamento per una sanzione amministrativa mai contestata prima, come una multa per violazione del Codice della Strada o un arretrato relativo alla tassa sui rifiuti. Il testo avverte il cittadino che, in caso di mancato saldo entro un termine ridottissimo, spesso pari a ventiquattro o quarantotto ore, verranno applicate penali gravissime, fermi amministrativi sui veicoli o conseguenze amministrative o economiche particolarmente gravi.

In un altro scenario speculare, i cybercriminali inviano comunicazioni relative a presunti conguagli a favore dell’utente, invitandolo a completare una procedura online per incassare un rimborso fiscale. In entrambe le situazioni, la comunicazione contiene un collegamento ipertestuale o un codice bidimensionale che indirizza la vittima verso un portale web falso perfettamente identico a quello istituzionale.

La falsificazione dei siti web e la cattura dei dati sensibili

Il nucleo centrale della truffa risiede nel sito web malevolo realizzato dai truffatori, progettato per clonare fedelmente le interfacce grafiche della piattaforma pagoPA o dell’applicazione IO. Quando l’utente clicca sul link presente nell’email o nel messaggio SMS, viene condotto su una pagina che richiede l’inserimento di dati identificativi personalissimi, quali il codice fiscale, l’indirizzo di residenza o il numero di telefono. In alcuni casi il sito contraffatto simula anche le pagine di autenticazione SPID o CIE nel tentativo di sottrarre le credenziali dell’utente.

Successivamente, il sistema fraudolento guida la vittima verso una schermata di pagamento fasulla. A questo punto, per saldare la finta sanzione o per autenticare l’incasso del rimborso, viene richiesto di digitare gli estremi completi della propria carta di credito o di debito, inclusi la data di scadenza e il codice di sicurezza CVV.

In alcuni schemi di attacco più avanzati, le pagine malevole simulano l’invio di un codice di autorizzazione temporaneo OTP, spingendo la persona a inserire anche le chiavi dispositive inviate dalla propria banca tramite notifiche push o SMS. Nel momento stesso in cui questi dati vengono inseriti sul portale falso, i truffatori ne entrano in possesso in tempo reale, utilizzandoli immediatamente per effettuare prelievi non autorizzati o per accedere ai servizi di home banking della vittima.

Gli elementi chiave per individuare la comunicazione fraudolenta

Nonostante la cura visiva impiegata dai cybercriminali nel riprodurre loghi e grafiche istituzionali, esistono diversi indicatori tecnici e formali che permettono di riconoscere con certezza una comunicazione di phishing.

Il primo elemento da analizzare con attenzione è l’indirizzo del mittente dell’email o la provenienza dell’SMS. Le comunicazioni autentiche provengono da domini riconducibili all’ente che richiede il pagamento o ai servizi ufficiali utilizzati dalla Pubblica Amministrazione. Prima di fidarsi di un messaggio è sempre opportuno verificare attentamente il mittente.

Un secondo elemento rivelatore riguarda l’URL del collegamento ipertestuale presente nel messaggio.

Prima di cliccare su qualunque link, è fondamentale posizionare il cursore del mouse sopra il testo o verificare con attenzione il dominio visualizzato nel browser. I servizi ufficiali utilizzano domini riconducibili a PagoPA, all’app IO o agli Enti della Pubblica Amministrazione. Qualsiasi variazione nel nome del dominio, come l’aggiunta di trattini, parole secondarie o estensioni estere inconsuete, deve essere considerata una chiara manifestazione di un sito malevolo.

Inoltre, il tono comunicativo utilizzato nei messaggi di phishing presenta quasi sempre un carattere di perentorietà e drammaticità del tutto estraneo al linguaggio formale della Pubblica Amministrazione. L’uso di termini allarmistici, la presenza di errori grammaticali, la sintassi imperfetta derivante da traduzioni automatiche e l’assenza di riferimenti specifici al pagamento, come il Codice Avviso o altri dati identificativi dell’avviso stesso, costituiscono ulteriori prove della natura ingannevole del messaggio.

Le azioni da intraprendere in caso di sospetto o di truffa subita

Qualora un utente individui un messaggio o una mail di phishing a tema pagoPA, è importante che non si limiti a eliminare la comunicazione, ma contribuisca alla protezione dell’intera collettività inviando una segnalazione all’Agenzia per la Cybersicurezza Nazionale (ACN) oppure alla Polizia Postale.

La condivisione tempestiva degli indirizzi malevoli consente alle autorità competenti di disattivare rapidamente i server utilizzati dai truffatori.

Se purtroppo la truffa è già stata portata a compimento e l’utente ha inserito i propri dati finanziari o personali sul sito falso, occorre agire con la massima tempestività. La prima misura da adottare è il blocco immediato delle carte di credito o di debito compromesse contattando il numero verde di emergenza del proprio istituto di credito. Successivamente, è indispensabile modificare o revocare le credenziali eventualmente compromesse (ad esempio SPID) e contattare il gestore del servizio di identità digitale qualora si sospetti un utilizzo fraudolento.

Infine, la vittima deve sporgere formale denuncia presso le forze dell’ordine, fornendo documentazione che potrà essere utile per eventuali procedure di contestazione delle operazioni e per la richiesta di rimborso secondo le procedure previste dal proprio istituto di credito.