Il CSIRT Italia, la struttura operativa dell'Agenzia per la Cybersicurezza Nazionale, ha messo in guardia su due campagne di phishing che in queste settimane stanno prendendo di mira utenti e imprese del nostro Paese. Entrambe condividono la stessa strategia: travestirsi da comunicazioni provenienti da canali considerati affidabili — la posta elettronica certificata e i servizi pubblici digitali — per abbassare la soglia di sospetto della vittima.
Fatture false dalle caselle PEC compromesse
La prima campagna viaggia via PEC e gioca sul tema della "Fattura Elettronica". I messaggi partono apparentemente da caselle legittime ma in realtà compromesse, il che rende l'inganno molto più convincente: il destinatario vede un mittente certificato e tende a fidarsi. In allegato c'è un archivio ZIP che contiene una pagina HTML dal nome studiato per richiamare documentazione fiscale o amministrativa. Aprendola, l'utente si trova davanti un'interfaccia dall'aspetto credibile, con tanto di intestazione "Fattura Elettronica" e un pulsante "Scarica Fattura" pensato per condurre verso la fase successiva dell'attacco.
L'uso della PEC è il dettaglio che rende questa campagna particolarmente insidiosa. La posta certificata gode in Italia di una reputazione di affidabilità quasi assoluta, soprattutto in ambito professionale e nei rapporti con la pubblica amministrazione. Sfruttare caselle reali violate significa aggirare buona parte dei filtri reputazionali e della diffidenza che gli utenti riservano alle e-mail ordinarie.
SMS con i loghi di SEND e pagoPA
La seconda campagna corre invece via SMS e abusa dei riferimenti grafici e testuali a SEND – Servizio Notifiche Digitali e a pagoPA. Il messaggio prospetta una sanzione, tipicamente una multa stradale, e spinge l'utente a saldarla con urgenza attraverso un link. La pagina di pagamento è ovviamente fraudolenta: l'obiettivo è sottrarre denaro e dati delle carte facendo leva sulla familiarità con piattaforme che molti cittadini associano a notifiche e versamenti del tutto legittimi verso lo Stato.
Come difendersi
Le contromisure suggerite dal CSIRT puntano in primo luogo sui gateway PEC: configurare controlli di sicurezza adeguati e implementare gli indicatori di compromissione (IoC) diffusi negli alert permette di intercettare e bloccare i messaggi malevoli prima che raggiungano gli utenti. Sul fronte individuale, valgono le regole di sempre, qui ancora più importanti perché il messaggio arriva da un canale che si è abituati a considerare sicuro: diffidare di allegati ZIP inattesi anche se provenienti da una PEC, non aprire file HTML ricevuti via e-mail e non inserire dati di pagamento in pagine raggiunte tramite link contenuti in SMS. Né l'Agenzia delle Entrate né pagoPA o SEND chiedono di saldare importi cliccando su collegamenti recapitati via messaggio: in caso di dubbio, conviene sempre verificare accedendo ai portali ufficiali in modo autonomo.
