Il Cert-AgID, il Computer Emergency Response Team dell’Agenzia per l’Italia Digitale, lancia l’allarme su una nuova campagna di phishing che sfrutta il nome dello Spid per sottrarre dati personali e bancari a milioni di italiani. La truffa punta dritto alle credenziali che decine di milioni di cittadini utilizzano quotidianamente per accedere ai servizi della Pubblica Amministrazione, e lo fa chiedendo il pagamento del canone annuale.
Indice
Come funziona la truffa
Negli ultimi anni diversi gestori di identità digitale, tra cui Poste Italiane, hanno introdotto un costo annuale per il mantenimento dello Spid. La truffa ruota infatti su questo. Tutto parte da un messaggio, solitamente via email o Sms, che invita l’utente ad aprire un link per verificare la propria posizione. Il sito conduce a una pagina intitolata “Pagamento del canone annuale“, costruita per riprodurre fedelmente loghi e grafica ufficiali di AgID e Spid.
Per aumentare la credibilità, i truffatori si sono affidati a domini che contengono nel nome i termini “spid” e “gov”, proprio per simulare un’appartenenza istituzionale che in realtà non esiste. Uno degli indirizzi individuati, ad esempio, è spidgov.click/pay, oggi già disattivato ma con la possibilità che ne circolino altri con nomi simili.
Una volta arrivati sulla pagina, alla vittima viene chiesto di inserire il proprio codice fiscale per procedere a una presunta verifica del pagamento. Superato questo primo passaggio, il sito mostra un finto numero di riferimento della pratica e richiede il versamento di una somma di pochi euro, in linea con l’importo effettivamente richiesto da alcuni gestori Spid. Digitando i dati della propria carta di credito, le informazioni bancarie finiscono direttamente nelle mani dei criminali, che possono utilizzarle per operazioni fraudolente.
Come riconoscere e segnalare il tentativo di phishing
Il Cert-AgID ricorda che AgID non gestisce direttamente le identità Spid. Ogni operazione, compresi accessi, verifiche ed eventuali pagamenti, avviene esclusivamente attraverso il gestore di identità digitale, l’unico soggetto con cui l’utente intrattiene un rapporto operativo. Di conseguenza, come scrivono sul loro sito ufficiale:
eventuali richieste che invitano a inserire dati personali su pagine esterne o non riconducibili al proprio gestore Spid devono essere considerate sospette.
In caso di dubbi sulla propria posizione Spid, la raccomandazione è di non interagire in alcun modo con il messaggio ricevuto e di verificare direttamente sul sito ufficiale del gestore. Chi riceve comunicazioni sospette può inoltre segnalarle al Cert-AgID scrivendo all’indirizzo malware@cert-agid.gov.it, contribuendo così a individuare e neutralizzare più rapidamente nuove ondate della campagna.
Le azioni già messe in atto
Per contenere la diffusione della truffa, il Cert-AgID ha già richiesto la disattivazione dei domini che ospitavano le pagine di phishing individuate. Parallelamente, gli Indicatori di Compromissione (IoC) legati alla campagna sono stati diffusi attraverso il feed dedicato a tutte le organizzazioni accreditate, permettendo un monitoraggio più ampio e coordinato del fenomeno a livello nazionale.
Resta comunque alta l’attenzione da parte degli esperti di sicurezza informatica, che sottolineano come questo tipo di campagne tenda a ripresentarsi periodicamente con varianti sempre più differenti nei nomi di dominio e nei testi utilizzati.
