Una nuova campagna di phishing sta sfruttando il tema del bonus sociale idrico per ingannare gli utenti italiani e sottrarre dati sensibili. Secondo gli esperti del CERT-AgID, i cybercriminali hanno messo online un sito falso che imita ARERA e spinge le vittime a inserire informazioni personali e bancarie.
La truffa si basa su un meccanismo ormai collaudato: un messaggio inviato via email invita a cliccare su un link apparentemente legittimo, ma in realtà porta a una pagina controllata dai criminali. Qui viene mostrata una procedura credibile solo in apparenza, studiata per sembrare un servizio ufficiale e aumentare la fiducia dell’utente.
Phishing bonus sociale idrico: la truffa che imita ARERA
Il sito malevolo utilizza una tecnica di typosquatting, cioè un dominio molto simile a quello reale. Basta una piccola differenza nell’indirizzo per finire su una piattaforma fraudolenta, spesso quasi indistinguibile da quella autentica a uno sguardo superficiale. Nel caso segnalato, la pagina proponeva informazioni sul bonus idrico e chiedeva prima un numero di telefono per una presunta verifica dell’agevolazione.
Dopo questa fase, il portale mostrava un importo da accreditare e alcuni dettagli della pratica, inducendo l’utente a proseguire. A quel punto compariva la richiesta di inserire i dati della carta di credito: nome dell’intestatario, numero della carta, data di scadenza e codice di sicurezza CVV. Un insieme di informazioni sufficiente per permettere ai criminali di compiere frodi e transazioni non autorizzate.
Come funziona la falsa procedura e perché è pericolosa
La pagina fraudolenta è costruita per sembrare attendibile, ma contiene elementi che dovrebbero insospettire subito. Il bonus sociale idrico, infatti, non viene erogato con una verifica online che richiede i dati della carta di credito. La procedura corretta prevede la presentazione della Dichiarazione Sostitutiva Unica (DSU) all’INPS, mentre lo sconto viene applicato direttamente in bolletta secondo le regole previste.
Il vero obiettivo della campagna è raccogliere più dati possibile, dalle informazioni di contatto fino agli estremi del pagamento. Una volta inviati, questi dati finiscono su server gestiti dai truffatori e possono essere usati per altri tentativi di frode o rivenduti ad altri gruppi criminali. Per questo è fondamentale non fidarsi di richieste improvvise e controllare sempre con attenzione l’indirizzo del sito prima di inserire qualsiasi informazione.
Come difendersi dalle truffe online sui bonus pubblici
Per proteggersi da campagne di phishing come questa, il primo passo è verificare con calma il dominio del sito e diffidare dei link ricevuti via email, soprattutto se invitano a inserire dati personali o bancari. È utile controllare anche la presenza di errori nel testo, richieste insolite e passaggi poco coerenti con i servizi ufficiali. In caso di dubbio, conviene raggiungere il sito dell’ente digitando l’indirizzo manualmente nel browser.
Il CERT-AgID ha già chiesto e ottenuto la chiusura del dominio malevolo, ma il rischio resta alto perché schemi simili possono riapparire con nomi diversi. Restare aggiornati e adottare un approccio prudente è il modo migliore per evitare di cadere in trappola. Quando una presunta agevolazione economica richiede dati della carta di credito, è sempre bene fermarsi e verificare: spesso si tratta di una frode ben confezionata.
