Phishing sulle criptovalute, nuova truffa sfrutta il nome dell’Agenzia delle Entrate
Sono in corso campagne di phishing a tema criptovalute che sfruttano il nome, il logo e la grafica dell’Agenzia delle Entrate e integrano tecniche di vishing: la vittima viene indotta a un contatto telefonico che completa il raggiro. L’allerta di CERT-AGID che spiega come funziona
Phishing a tema criptovalute (Immagine CERT-AGID)
Sono in corso campagne di phishing a tema criptovalute che sfruttano in modo fraudolento il nome, il logo e la grafica dell’Agenzia delle Entrate. L’obiettivo è sempre quello di sottrarre informazioni finanziarie e patrimoniali alle vittime. Il tema comune, segnalano CERT-AGID e Agenzia delle Entrate, è la presunta obbligatorietà di una dichiarazione di possesso di cripto-asset digitali, talvolta accompagnata da richiami a scadenze imminenti per indurre urgenza nella vittima.
Il phishing si adatta alle risposte
Fra le campagne di phishing individuate ce n’è una particolarmente articolata che integra tecniche di phishing e vishing e si adatta dinamicamente alle risposte fornite dalla vittima. Il vishing (contrazione di voice phishing) indica infatti una tecnica di frode in cui il malintenzionato induce la vittima, tramite una comunicazione vocale, a rivelare dati sensibili, codici di sicurezza o a effettuare pagamenti. E alla fine della truffa, se la vittima ha risposto a tutte le sollecitazioni che ha ricevuto, finisce per contattare telefonicamente un sedicente “ufficio di verifica patrimoniale” che completerà il raggiro.
La campagna, spiega dunque la struttura dell’Agenzia per l’Italia digitale, “si distingue per l’adattività del flusso: il modulo modifica dinamicamente i campi richiesti in base al profilo finanziario dichiarato dalla vittima, massimizzando la raccolta di dati sensibili sia in ambito crypto che bancario tradizionale. L’escalation verso il vishing tramite una schermata di “errore tecnico” con numero di telefono rappresenta un elemento di evoluzione tattica rispetto alle campagne phishing classiche sul medesimo tema”.
Il falso modulo
Ma come si articola la truffa? La campagna conduce la vittima su un sito che imita il portale istituzionale dell’Agenzia delle Entrate. In una prima fase, la vittima viene invitata a inserire il proprio codice fiscale e numero di telefono cellulare tramite un modulo che richiama i sistemi di autenticazione dell’Agenzia. In seguito, l’utente accede a un modulo di dichiarazione adattivo in cui compare un codice fiscale inserito e uno stato “In attesa di verifica patrimoniale“, a simulare una pratica già aperta a suo carico.
Il modulo chiede quindi se la vittima utilizzi wallet o exchange di criptovalute. A seconda della risposta, il flusso si biforca:
- se risponde Sì, vengono richiesti il wallet/exchange utilizzato, la data dell’ultimo deposito e il valore stimato del patrimonio in criptovalute;
- se risponde No, vengono richiesti il nome dell’istituto bancario (es. Intesa Sanpaolo, Unicredit) e l’ultimo saldo del conto corrente in euro.
Il falso errore e la richiesta di telefonare
Dopo l’invio, la vittima visualizza una schermata che simula un errore di sincronizzazione, con la motivazione che i dati forniti risulterebbero incongruenti con l’anagrafe tributaria. La pagina avverte del rischio di “emissione automatica di un avviso di accertamento” e di “blocco cautelativo degli asset“, e invita la vittima a chiamare un numero presentato come “Ufficio Verifiche di Milano“.
È in questo momento che il phishing si trasforma in vishing: la vittima, già in stato di allerta, viene spinta a contattare telefonicamente l’attore malevolo per completare la truffa.
Focus sul phishing
L’Agenzia delle Entrate ha disconosciuto queste comunicazioni rispetto alle quale è del tutto estranea. E raccomanda di prestare la massima attenzione e a cestinare immediatamente email analoghe. In caso di dubbi sulla veridicità di una comunicazione ricevuta dall’Agenzia, il consiglio è di effettuare una verifica preliminare consultando la pagina “Focus sul phishing” del portale istituzionale dell’Agenzia, oppure rivolgendosi ai contatti reperibili sempre sul portale istituzionale www.agenziaentrate.gov.it o direttamente all’Ufficio territorialmente competente.
About The Author
