È in circolazione una nuova campagna di phishing che prende di mira SPID e gli utenti italiani che lo usano per accedere ai servizi pubblici. La segnalazione arriva dal CERT-AGID, che invita a prestare massima attenzione a messaggi e pagine contraffatte costruite per sembrare ufficiali.
Il trucco sfrutta un tema credibile: la presunta necessità di pagare un canone annuale per mantenere attivo il servizio. In realtà si tratta di un inganno pensato per sottrarre dati personali e informazioni di pagamento, approfittando della scarsa attenzione o della fretta di chi riceve l’avviso.
Phishing SPID: la falsa richiesta di pagamento
La campagna inizia con un messaggio che invita a cliccare su un link. La pagina raggiunta riproduce loghi, colori e impostazione grafica dei portali legittimi, così da sembrare attendibile. Tra gli indirizzi segnalati compare anche un dominio non riconducibile ad alcun ente ufficiale, usato per portare l’utente su un finto sito di pagamento.
Una volta aperta la pagina, viene richiesto di inserire il codice fiscale per proseguire con il versamento di una piccola somma, di solito pochi euro. Il passaggio successivo è l’inserimento dei dati della carta di credito, che finiscono direttamente nelle mani dei truffatori. Da lì in poi, le informazioni possono essere usate per acquisti non autorizzati o altre attività fraudolente.
Il meccanismo non è nuovo, ma continua a funzionare perché fa leva su un dubbio concreto: molti utenti sanno che alcuni provider hanno introdotto costi per determinati servizi legati allo SPID e possono quindi credere che l’avviso sia autentico. Proprio per questo il messaggio appare credibile e può ingannare anche chi normalmente presta attenzione.
Come riconoscere un sito falso
Il primo controllo da fare riguarda sempre l’indirizzo web. Se il dominio non appartiene al provider ufficiale o presenta anomalie, è bene fermarsi subito. Anche piccoli dettagli, come nomi strani, estensioni insolite o grafica poco curata, possono indicare una truffa. In caso di dubbio, non inserire mai credenziali, documenti o dati della carta.
Come difendersi dal phishing
La regola più utile è non aprire link contenuti in email o SMS sospetti e raggiungere invece il sito ufficiale del proprio gestore SPID digitando l’indirizzo nel browser o usando i canali già noti. Se arriva una comunicazione sul rinnovo o sul pagamento, conviene verificare direttamente con il provider prima di compiere qualsiasi azione. Bastano pochi secondi di controllo per evitare una perdita di dati e denaro.
