Attenzione a una nuova campagna di phishing che sfrutta il nome
dell'Agenzia delle Entrate per colpire i possessori di criptovalute.
Da Dubbio:
L'allarme arriva dal CERT-AGID
(Computer Emergency Response Team dell'Agenzia per l'Italia Digitale), che
segnala una sofisticata truffa informatica capace di combinare phishing e
vishing per sottrarre dati personali, informazioni bancarie e patrimoni
digitali.
I
criminali informatici utilizzano in modo fraudolento il logo, la
grafica e il nome dell'Agenzia delle Entrate, inducendo le vittime a
credere che sia obbligatorio dichiarare il possesso di cripto-asset. Le
comunicazioni fanno leva su presunte scadenze imminenti e sul rischio di
sanzioni fiscali, creando un forte senso di urgenza.
La
campagna conduce gli utenti su un sito web che riproduce fedelmente il portale
istituzionale dell'Agenzia delle Entrate.
In
una prima fase viene richiesto di inserire il codice fiscale e
il numero di telefono cellulare attraverso un modulo che richiama
i sistemi di autenticazione dell'Amministrazione finanziaria.
Successivamente
compare una falsa schermata con una pratica già aperta a nome della vittima,
indicata come "In attesa di verifica patrimoniale",
per rendere più credibile il raggiro.
A
questo punto il sistema domanda se l'utente possieda wallet o utilizzi
piattaforme di scambio di criptovalute.
·
Se
la risposta è "Sì", vengono richiesti il wallet o
l'exchange utilizzato, la data dell'ultimo deposito e il valore stimato del
patrimonio in criptovalute.
·
Se
la risposta è "No", vengono invece richiesti il nome
della banca e il saldo del conto corrente.
Secondo
il CERT-AGID, il modulo è in grado di adattarsi dinamicamente alle risposte
fornite dalla vittima, massimizzando così la raccolta di informazioni sensibili
sia sui patrimoni in criptovalute sia sui tradizionali rapporti bancari.
La
particolarità della campagna è rappresentata dall'integrazione tra phishing
e vishing (voice phishing).
Dopo
l'invio dei dati, il falso portale mostra un presunto errore di
sincronizzazione con l'Anagrafe Tributaria, sostenendo che le
informazioni inserite non coincidano con quelle presenti negli archivi fiscali.
Il
messaggio avverte la vittima del rischio di un avviso di accertamento
automatico e persino del blocco cautelativo degli asset,
invitandola a telefonare a un numero indicato come "Ufficio
Verifiche di Milano".
È
proprio in questo momento che la truffa entra nella fase finale: la vittima,
ormai convinta della legittimità della comunicazione, viene spinta a contattare
direttamente i truffatori, che cercano di ottenere ulteriori dati riservati,
codici di sicurezza o autorizzazioni per sottrarre denaro e criptovalute.
L'allerta
dell'Agenzia delle Entrate
L'Agenzia
delle Entrate ha preso ufficialmente le distanze da queste comunicazioni,
precisando di essere completamente estranea alla campagna
fraudolenta.
L'invito
rivolto ai cittadini è di non rispondere alle email, non
cliccare sui collegamenti contenuti nei messaggi e cancellare immediatamente le
comunicazioni sospette.
In
caso di dubbi, è consigliabile verificare sempre l'autenticità delle
comunicazioni consultando la sezione "Focus sul phishing"
presente sul portale istituzionale dell'Agenzia delle Entrate oppure
contattando direttamente gli uffici attraverso i recapiti ufficiali. Nessun
ente pubblico richiede infatti, tramite email o telefono, dati bancari,
informazioni sui wallet di criptovalute o patrimoni finanziari con modalità
come quelle descritte nella campagna fraudolenta.
