Multe da pagare tramite SMS, è una truffa: perché non aprire il link

iStock

• Una campagna di smishing sfrutta messaggi che fingono di essere dall'amministrazione comunale per indurre al pagamento di false multe.
• I malviventi rimandano a portali clone ottimizzati per mobile che richiedono i dati della carta, permettendo prelievi fraudolenti successivi.
• Per difendersi occorre riconoscere segnali sospetti, non cliccare i link e, se necessario, bloccare la carta e denunciare alla Polizia Postale.

Non è una novità e, per dirla tutta, questo è proprio il momento in cui fioccano. Cosa? I messaggi relativi a multe e sanzioni stradali. D’altro canto, con l’avanzare della bella stagione sempre più persone si mostrano di frequente, dunque non è strano pensare di aver commesso, anche involontariamente, un’infrazione.

E quindi eccolo lì: il mittente è il Comune, si parla della “nostra” targa, di una registrazione e poi c’è un link che sembra la soluzione più veloce per risolvere il problema. Peccato che non c’è nessuna infrazione, nessuna multa: è solo l’ennesima truffa.

• L'avviso di Roma Capitale e l'SMS
• Come funziona la truffa?
• I rischi e come riconoscere la truffa
• Cosa fare se hai ricevuto il messaggio?

L’avviso di Roma Capitale e l’SMS

Ebbene sì e, per la precisione, la truffa tramite SMS al momento è particolarmente attiva su Roma, tanto che proprio Roma Capitale ha diffuso una segnalazione ai cittadini. Come spiega l’ente, la campagna malevola utilizza indebitamente il nome dell’Amministrazione per comunicare presunte violazioni del Codice della strada e invitare al pagamento di false sanzioni attraverso un collegamento che porta a siti fraudolenti.

La tecnica si chiama smishing, il phishing che sceglie la messaggistica al posto della posta elettronica. Il meccanismo ricalca quello delle campagne via email, con un vantaggio in più per chi le allestisce: su uno schermo da sei pollici il mittente si legge di sfuggita, il link appare accorciato e controllare l’indirizzo richiede qualche passaggio che nessuno fa mentre cammina.

Chiaramente, il nome del mittente è la parte costruita a tavolino: i sistemi di invio massivo permettono di sostituire il numero con un’etichetta testuale, così il messaggio si presenta con una dicitura istituzionale e finisce archiviato accanto alle comunicazioni vere ricevute in passato.

Come funziona la truffa?

Come in molti di questi casi, il testo lavora su due leve: da una parte c’è l’idea che sia in qualche modo avvenuto un controllo da parte delle autorità, dall’altra parte  c’è un collegamento che conduce su un portale clone, una pagina che riproduce grafica e loghi del sito istituzionale e chiede i dati della carta per chiudere la pratica. Va aggiunto che in questi casi c’è anche una chicca in più: il sito chiede di verificare di essere delle persone reali prima di procedere con il pagamento.

Una volta fatto questo controllo, si va al sito clone di cui parlavamo. C’è però da dire che a differenza di altri malintenzionati, gli autori di questa truffa si sono impegnati… meno. Infatti, lo sforzo di emulazione è stato fatto solo per essere verosimile da mobile (d’altro canto il link arriva via SMS), mentre da desktop il sito diventa palesemente poco credibile:

Sia come sia, chi riceve il messaggio ed è in ansia, dato il presunto “controllo già avvenuto” e dopo aver cliccato, penserà che la scadenza di pagamento sia ravvicinata dato che il testo spinge verso il pagamento immediato. Digitando una targa, in effetti si va verso il modulo di pagamento… peccato, però che la targa possa essere anche del tutto inventata e il risultato rimarrà lo stesso:

Interessantissimi i ganci: si parla di un limite di velocità superato di pochissimo, del fatto che non c’è rischio di perdere punti sulla patente e, soprattutto, di un comodissimo sconto del 50% che rende ancora più piccola la (già irrisoria) cifra della sanzione. Tutti questi elementi, messi insieme, portano a pensare di pagare e via. Ed è proprio così che si cade nel tranello.

I rischi e come riconoscere la truffa

Una volta inserite le credenziali della carta, infatti, non si perderanno solo le 6,99 euro della multa: dopo la condivisione dei dati della carta, i malviventi potranno prelevare qualsiasi cifra, in qualsiasi momento. Un vero e proprio pericolo per i propri risparmi, che porta ovviamente a chiedersi come ci si difende.

Ecco, in modo semplice: imparando a leggere i segnali. Le informazioni contenute nel messaggio, per esempio: una comunicazione vera identifica il verbale con numero, data, luogo dell’accertamento e riferimenti dell’ente che lo ha emesso. Nei falsi SMS quei dati mancano quasi sempre, sostituiti da formule generiche sulla targa e sull’infrazione.

E poi, l’indirizzo della pagina: i domini utilizzati imitano quelli istituzionali con variazioni minime (parole aggiuntive, trattini, estensioni diverse da .it o .gov.it), e il lucchetto accanto all’indirizzo certifica soltanto la cifratura della connessione, senza dire nulla su chi gestisce il sito.

Cosa fare se hai ricevuto il messaggio?

Se non si è fatto niente, basta cancellare e dimenticare il messaggio. Se invece i dati della carta sono già stati inseriti, bisogna agire subito bloccando la carta dall’app della banca o dal numero verde dedicato e sporgenddo denuncia alla Polizia Postale, che raccoglie le segnalazioni anche attraverso il portale del commissariato online.

Per togliersi il dubbio su una sanzione reale il percorso resta quello ordinario: le posizioni aperte si consultano sui servizi online del proprio Comune di appartenenza con l’identità digitale, oppure rivolgendosi agli uffici e ai numeri pubblicati sul sito istituzionale, raggiunto digitando l’indirizzo invece di seguire un collegamento ricevuto.