Importi bassi e toni urgenti: come funziona la truffa del pedaggio autostradale

123rf

Un messaggio apparentemente innocuo, un importo minimo da saldare, una scadenza ravvicinata e il gioco è fatto: la truffa del pedaggio autostradale è pronta per ingannare coloro che passano parte del loro tempo in auto, spostandosi per lavoro o per necessità.

Si tratta di un raggiro che sfrutta la fretta e l’abitudine a comunicazioni sempre più digitali non certo per collezionare le piccole cifre richieste, ma per ottenere dati personali e bancari attraverso pagine che imitano portali ufficiali. Per fortuna, nonostante sia una trappola comune, può essere facilmente individuata e scongiurata.

• Cos'è la truffa del pedaggio autostradale?
• Il messaggio
• La pagina contraffatta
• Come si riconosce la truffa?
• I rischi

Cos’è la truffa del pedaggio autostradale?

Ma cerchiamo di spiegare bene cos’è questa truffa. Un po’ come quella di PagoPa, si tratta di un imbroglio basato sul phishing a tema, ovvero sulla simulazione di comunicazioni di enti di riscossione.

In questo caso, chiaramente, tocca a quelli legati alla viabilità, come concessionarie autostradali. Negli ultimi anni l’inganno è diventato talmente ramificato e radicato nel nostro Paese da portare Autostrade per L’Italia a lanciare l’allarme e a sensibilizzare gli utenti.

Il messaggio

Tutto comincia con un messaggio, che può arrivare via SMS o via mail. Apparentemente è tutto “in ordine”: l’oggetto del messaggio sembra verosimile (Sollecito di pagamento: Pedaggio autostradale in sospeso) e anche il mittente sembra affidabile (Servizio Riscossione Pedaggi).

Il messaggio, poi, viene costruito per risultare plausibile, sintetico e immediatamente comprensibile. La struttura è standardizzata: apertura formale, riferimento a un presunto mancato pagamento, indicazione di un importo contenuto e introduzione di una scadenza ravvicinata.

L’obiettivo, logicamente, è ridurre il tempo di valutazione di chi riceve il messaggio e favorire una risposta impulsiva. Guardato dal punto di vista tecnico, si tratta di una campagna che combina social engineering e spoofing: il contenuto replica in effetti struttura, linguaggio e identità visiva di comunicazioni ufficiali.

Dopodiché, arriva il link: un collegamento diretto a un presunto portale di pagamento, che in realtà reindirizza verso pagine contraffatte progettate per acquisire dati sensibili, in particolare credenziali di accesso e informazioni di pagamento.

La pagina contraffatta

In questo caso, la pagina di destinazione rappresenta proprio il punto più sofisticato dell’attacco: si tratta di un clone (o quasi) grafico che riproduce struttura, colori e gerarchia visiva del sito ufficiale. Va detto che queste pagine vengono realizzate effettivamente copiando layout e componenti front-end del sito legittimo,  ma sono ospitate su domini non ufficiali.

Ciò significa che l’interfaccia mostra dati apparentemente coerenti (come codice di riconoscimento, data del transito e importo) che però non derivano da un database reale, bensì sono generati staticamente o in modo casuale per aumentare la credibilità.

Un elemento ricorrente è la presenza di una sezione riepilogativa con un totale da versare e un pulsante di pagamento ben visibile. Questo pulsante conduce a un form in cui vengono richiesti, come già abbondantemente ribadito, dati sensibili tra cui numero di carta di debito o credito, data di scadenza e codice CVV.

Come si riconosce la truffa?

Per individuare una truffa di questo tipo, dunque, è necessario analizzare sia il messaggio ricevuto, che sia email o SMS, sia la pagina di atterraggio a cui rimanda il link: è proprio dall’insieme di questi elementi che emergono le incongruenze, perché il tentativo di replica è credibile solo in apparenza, ma presenta sempre dettagli tecnici e formali che non coincidono.

Cosa guardare nella mail

Nel messaggio il primo elemento da osservare è l’indirizzo da cui arriva se si tratta di una mail, il numero se è un sms. L’indirizzo non corrisponde mai a un mittente verificato. In alcuni casi (come quello che riportiamo nello screenshot a seguire) è davvero palese, in altri casi occorre fare attenzione alle piccole incongruenze.

La seconda cosa da osservare  è il livello di personalizzazione: le comunicazioni fraudolente non includono dati verificabili come targa, tratta o data del transito, e si aprono con formule generiche che permettono l’invio massivo.

Infine, anche il link rappresenta un indicatore decisivo, perché spesso rimanda a domini che imitano quelli ufficiali ma presentano variazioni evidenti, mentre il linguaggio alterna formalità e pressione, introducendo riferimenti a sanzioni o costi aggiuntivi.

Cosa guardare nella pagina di atterraggio

Una volta aperta la pagina, il controllo deve spostarsi sull’URL e sulla struttura del sito: il dominio non coincide con quello ufficiale e può includere estensioni insolite o combinazioni di parole poco credibili. Inoltre, basta fare una verifica online con la pagina ufficiale per riscontrare le differenze, che sono spesso molto, molto evidenti.

Inoltre, la richiesta di inserire direttamente informazioni sensibili, come i dati della carta, senza passaggi intermedi o autenticazioni reali, rappresenta un segnale tecnico molto chiaro della natura fraudolenta della pagina.

I rischi

Concludiamo parlando dei rischi reali di questa truffa. Come dicevamo all’inizio, il danno non si limita alla perdita di pochi euro, perché i dati inseriti nella pagina contraffatta possono essere utilizzati per effettuare altri addebiti non autorizzati, anche in momenti successivi, fino ad arrivare nei casi più gravi a svuotare il conto.

Le informazioni della carta, una volta acquisite, possono essere sfruttate rapidamente oppure conservate e riutilizzate nel tempo, rendendo meno immediato collegare le operazioni fraudolente all’origine. A questo si aggiunge un’esposizione più ampia, perché email, numero di telefono e altri dati personali possono essere utilizzati per costruire tentativi di truffa successivi, più credibili e mirati.