TOSCANA — Promette un rimborso Irpef, arriva direttamente sul cellulare e invita a cliccare su un link. Ma dietro quel messaggio non c’è l’Agenzia delle Entrate: c’è una nuova campagna di phishing pensata per sottrarre ai cittadini i dati delle carte di pagamento.
Gli sms stanno raggiungendo in queste ore anche numerosi utenti in Toscana. Il meccanismo è quello ormai collaudato delle truffe online: sfruttare un’apparente comunicazione ufficiale, creare un motivo per agire rapidamente e condurre la vittima su una pagina internet costruita per sembrare autentica.
Il messaggio ricevuto sul telefono fa riferimento a una presunta comunicazione dell’Agenzia delle Entrate e contiene un collegamento. Il link conduce a un sito che riproduce graficamente elementi riconducibili all’ente pubblico, con l’obiettivo di convincere l’utente che la procedura sia legittima.
Una volta entrati nella pagina, però, arriva la richiesta più delicata: fornire i dati della propria carta di credito.
Il falso sito costruito per sembrare ufficiale
La truffa non si limita a un semplice messaggio ingannevole. I malviventi hanno realizzato una pagina web che cerca di imitare l’aspetto di un sito istituzionale, utilizzando loghi, impostazione grafica e testi studiati per trasmettere affidabilità.
Per rendere ancora più credibile la richiesta, nella pagina compare anche una spiegazione sul motivo per cui dovrebbe essere inserito il numero della carta.
È proprio questo uno degli elementi più insidiosi della frode: non viene chiesto soltanto un dato, ma viene fornita anche una presunta motivazione per convincere l’utente che quella richiesta sia normale.
La tecnica del “pretexting”
In questo caso entra in gioco una tecnica conosciuta come pretexting, una forma di manipolazione psicologica utilizzata nelle truffe informatiche.
Il principio è semplice: anticipare i dubbi della potenziale vittima e offrire una spiegazione apparentemente plausibile. In questo modo si cerca di ridurre il sospetto e aumentare la probabilità che la persona completi la procedura.
Nel falso sito viene sostenuto, in sostanza, che la carta collegata all’Iban sarebbe necessaria per verificare le coordinate sulle quali effettuare il rimborso.
Ma è proprio qui che si trova uno dei segnali più evidenti della truffa. Il numero della carta di credito non è necessario per verificare un Iban né per disporre un normale bonifico su un conto corrente.
La carta di pagamento e il conto corrente sono strumenti distinti e la richiesta dei relativi dati non è una normale procedura per ricevere un rimborso fiscale.
L’obiettivo sono i dati della carta
La richiesta del numero della carta, della scadenza e soprattutto del codice di sicurezza può consentire ai truffatori di utilizzare i dati ottenuti per effettuare operazioni a danno della vittima.
È il meccanismo del phishing: la persona viene attirata con una comunicazione apparentemente credibile, indirizzata verso un sito falso e indotta a consegnare volontariamente informazioni che non dovrebbe mai fornire attraverso quel canale.
La promessa di un rimborso rende il messaggio particolarmente efficace perché fa leva sulla prospettiva di ricevere denaro. A questo si aggiunge il senso di urgenza, che può portare a cliccare senza verificare attentamente il mittente e l’indirizzo del sito.
Come riconoscere la truffa
Il primo campanello d’allarme è proprio l’sms inatteso che invita a cliccare su un collegamento per ottenere o sbloccare un rimborso.
Di fronte a messaggi di questo tipo è fondamentale non cliccare sul link e non inserire dati personali, bancari o della carta.
Anche un sito apparentemente identico a quello di un ente pubblico non costituisce una garanzia. L’indirizzo della pagina deve essere controllato con attenzione e, soprattutto, le eventuali pratiche fiscali vanno verificate accedendo direttamente ai canali ufficiali dell’Agenzia delle Entrate, senza utilizzare i collegamenti contenuti negli sms.
Una regola resta valida più di tutte le altre: se per ricevere un presunto rimborso viene chiesto di comunicare i dati della carta di credito attraverso un link ricevuto via sms, bisogna fermarsi.
La promessa di soldi, in questo caso, è proprio l’esca utilizzata per farli sparire.
