Allarme smishing con il nome di Autostrade
Il CERT-AGID ha segnalato una massiccia ondata di smishing che sfrutta il marchio Autostrade per l’Italia per indurre gli automobilisti a pagare un presunto pedaggio non saldato. Il raggiro si manifesta con un SMS che informa di un mancato pagamento e invita a “mettersi in regola” tramite un collegamento a una falsa pagina di pagamento. L’importo richiesto è volutamente modesto — spesso 6,50 euro — così da ridurre le difese dell’utente e aumentare la probabilità di clic. Oltre alla perdita immediata del denaro, l’obiettivo dei criminali è carpire i dati della carta (numero, scadenza, CVC) e le informazioni personali.
I segnali rivelatori: errori minimi, danni massimi
I messaggi sono curati e credibili, ma presentano indizi chiari per chi sa osservarli. Primo: il dominio imitato. I truffatori utilizzano indirizzi volutamente simili a quelli legittimi, con lievi errori di battitura (typosquatting) come “autostiade” al posto di “autostrade”, oppure estensioni non coerenti (ad esempio .com anziché .it). Secondo: la pressione sul tempo. L’SMS indica una scadenza imminente per spingere a pagare senza riflettere. Terzo: la richiesta di targa e dati di pagamento su una pagina che mima grafica e loghi ufficiali; l’aspetto curato non certifica l’autenticità.
Per maggiore sicurezza, occorre controllare con la massima precisione il testo del dominio, l’ortografia del mittente, l’URL completo mostrato dal browser e l’eventuale certificato visualizzato nell’area indirizzo. Anche una sola lettera alterata è indice di sito clone.
Come agiscono i criminali: lo schema tecnico
La truffa segue uno schema ricorrente:
- Invio dell’SMS con riferimento a “pedaggio non pagato” e importo contenuto (6,50 euro è ricorrente).
- Reindirizzamento a un sito-copia che replica interfacce, colori e font del servizio originale.
- Raccolta dei dati mediante formulario (targa, generalità, indirizzo) seguita da pagina di pagamento.
- Acquisizione delle credenziali di carta e, in alcuni casi, memorizzazione dei dati del dispositivo per tentativi futuri (nuovi addebiti, abbonamenti, phishing mirato).
La combinazione di bassa cifra, urgenza e autorevolezza presunta del mittente crea un contesto psicologico favorevole alla distrazione. È un attacco su larga scala: anche un tasso di successo minimo garantisce ai criminali un ritorno economico elevato.
Cosa fare se arriva l’SMS: verifiche immediate
La regola d’oro è non cliccare. In caso di dubbio:
- Aprire manualmente il sito ufficiale del servizio (digitando l’indirizzo nel browser) e verificare la presenza di avvisi o pendenze.
- Contattare i canali ufficiali del gestore senza usare numeri o link presenti nel messaggio.
- Controllare cronologia pedaggi e estratto conto per rilevare anomalie.
- Segnalare il messaggio sospetto ai canali istituzionali preposti e informare eventuali familiari o colleghi per prevenire ulteriori vittime.
Ricordare che servizi reali non chiedono via SMS l’inserimento di dati bancari o carte su pagine non verificate, né impongono pagamenti con urgenze artificiose.
Se hai cliccato o inserito i dati: interventi rapidi
Se si è già interagito con il link o inserito dati sensibili, occorre agire subito:
- Bloccare o sostituire la carta contattando l’istituto emittente e attivare il monitoraggio delle transazioni.
- Contestare eventuali addebiti non autorizzati secondo le procedure della banca.
- Cambiare le password di servizi e-mail e portali collegati, abilitando l’autenticazione a due fattori.
- Eseguire una scansione antimalware su smartphone/PC nel caso si siano scaricati contenuti o consentite installazioni.
- Conservare copie degli SMS e degli screenshot del sito falso: sono utili per le segnalazioni e per eventuali indagini.
Prevenzione pratica: strumenti e buone abitudini
La difesa più efficace resta la consapevolezza. Alcune misure concrete:
- Utilizzare carte virtuali o carte con plafond limitato per i pagamenti online.
- Attivare notifiche in tempo reale per ogni transazione.
- Impostare limiti di spesa e blocchi geografici quando disponibili.
- Tenere aggiornati sistemi operativi e browser per ridurre le vulnerabilità.
- Diffidare di messaggi che uniscono urgenza e pagamenti immediati con link esterni.
Un approccio prudente, insieme a controlli sistematici, riduce drasticamente la superficie d’attacco e rende meno probabile cadere in tranelli apparentemente innocui.
Perché l’importo è basso e l’italiano è corretto
Le campagne più recenti mostrano testi ben scritti e grafica accurata perché i criminali imitano tono e stile delle comunicazioni ufficiali. L’importo di 6,50 euro è strategico: cifra credibile, non contestata, e psicologicamente facile da pagare per “togliersi il pensiero”. Questa combinazione massimizza il tasso di conversione della truffa: pochi euro per tante vittime equivalgono a incassi ingenti, soprattutto se si ottengono anche i dati di pagamento da riutilizzare.
