Le truffe informatiche sono sempre in agguato. Durante l’anno gli utenti ricevono tentativi di estorsione da parte dei cybercriminali, ma ci sono alcuni periodi che sono più “caldi” rispetto ad altri. Il periodo in cui si pagano le tasse, ad esempio, è un momento importante dell’anno, non solo per le autorità fiscali ma anche per i criminali informatici che colgono l’opportunità di lanciare attacchi mirati. Le persone che si occupano di questioni fiscali diventano un facile bersaglio per chi cerca di rubare informazioni personali e finanziarie.
Durante la stagione fiscale, l’aumento delle frodi online e delle truffe informatiche, come il phishing, rappresenta una sfida significativa sia per i singoli utenti che per le organizzazioni. Poiché i cybercriminali sfruttano le attività legate alle tasse per colpire gli utenti più vulnerabili, diventa essenziale rimanere informati sulle ultime tattiche di attacco e tendenze di cybersicurezza.
Qualche esempio di minaccia in Italia
Lo scorso settembre, l’Agenzia delle Entrate ha segnalato una campagna malevola veicolata tramite una serie di false comunicazioni via e-mail. La truffa si è articolata in differenti fasi:
Fase 1 – Invio di una e-mail generica nella quale viene chiesto alla vittima di esaminare un documento in allegato contenente i dettagli di una presunta irregolarità fiscale.
Sia l’e-mail che il documento ad essa allegato sono a firma di un fantomatico “Capo del Servizio Accertamenti Fiscali”, che non risulta presente nei ruoli dell’amministrazione finanziaria.
Nel documento inviato, che contiene loghi e riferimenti dell’Agenzia, vengono elencate le presunte “infrazioni”. Viene, quindi, chiesto di mettersi in contatto entro 5 giorni con l’Agenzia inviando un’e-mail ad un indirizzo non appartenente all’Agenzia ma al dominio @outlook.com.
Fase 2 – Qualora la vittima desse seguito alla richiesta presente nel documento, scrivendo quindi ai malfattori all’indirizzo da loro indicato, verrebbe contattata nuovamente tramite e-mail con una ulteriore comunicazione strutturata diversamente, in cui si chiede un pagamento.
Fase 3 – Dando seguito a quanto richiesto nel pdf allegato all’e-mail, potrebbe accadere di essere contattati telefonicamente o tramite SMS e di ricevere ulteriori false comunicazioni con istruzioni per il pagamento.
L’Agenzia delle Entrate disconosce questa tipologia di messaggi, rispetto ai quali si dichiara totalmente estranea e raccomanda rimanere in guardia su eventuali truffe informatiche, di non cliccare sui link in e-mail, di non fornire dati personali in occasione di eventuali telefonate legate a questo tipo di fenomeni e di non ricontattare assolutamente il mittente delle comunicazioni.
Truffe informatiche agli utenti INPS
Sempre in Italia, negli ultimi mesi il CERT-AGID (Computer Emergency Response Team AGID) sta continuando a rilevare numerose truffe informatiche, soprattutto campagne di smishing che prendono di mira gli utenti INPS. Nel corso del monitoraggio giornaliero di queste minacce ne è stata individuata una che si distingue dalle precedenti per l’approccio intimidatorio adottato. Invece di promettere benefici o rimborsi, come avveniva in passato, i truffatori minacciano gli utenti con presunte conseguenze penali per omissioni nella dichiarazione dei redditi.
Dettagli della frode:
Tramite SMS che appaiono provenire dall’Ente, le vittime sono indotte a cliccare un link che le conduce ad una pagina finalizzata al furto delle informazioni.
Sul sito malevolo viene mostrato all’utente un pop-up contenente un messaggio relativo a una presunta mancanza nella dichiarazione dei redditi e minaccia conseguenze penali in caso di inadempienza:
“Gentile utente, la sua dichiarazione dei redditi risulta mancante. È necessario verificare con urgenza i documenti. Si ricorda che l’omessa dichiarazione dei documenti richiesti può comportare conseguenze di natura penale, ai sensi della normativa vigente”.
Questa pagina è stata aggiornata rispetto alle versioni precedenti, presentando un design più sofisticato e convincente, con loghi e immagini che ricalcano quelle ufficiali e una struttura simile al portale autentico. All’interno della pagina fraudolenta viene richiesto l’inserimento delle generalità e del codice IBAN ma, soprattutto, il caricamento di alcuni documenti:
- carta d’identità;
- tessera sanitaria;
- patente di guida;
- copia delle ultime buste paga.
Inoltre, rispetto alle precedenti campagne malevole, in questa viene richiesto il caricamento di un “video di riconoscimento“:
“Realizza un breve video in cui muovi la testa verso l’alto, verso il basso, poi a destra e a sinistra assicurandoti di NON coprire il viso.”
Altri esempi di truffe informatiche
Da febbraio, Check Point Research (CPR) ha monitorato decine di domini di nuova registrazione legati al servizio fiscale britannico, His Majesty’s Revenue and Customs (HMRC): il 46% è stato classificato come dannoso o sospetto. Uno di questi domini è hmrcnoticecenter[.]com. Gli aggressori utilizzano questo indirizzo per tentare schemi di phishing, attirando gli utenti a rivelare le loro informazioni personali.
CPR ha identificato anche altri siti web fraudolenti che utilizzavano “HMRC” nei loro nomi di dominio per far credere che si trattasse di siti legittimi.
Inoltre, è stata scoperta una campagna di phishing a sfondo fiscale che utilizzava il marchio HMRC. Le e-mail di phishing sembravano provenire da “HMRC digital” e tentavano di convincere gli utenti a cliccare su un link che sembrava collegato a un sito web governativo legittimo (tax[.]service[.]gov[.]uk). Tuttavia, cliccando sul link, gli utenti venivano in realtà reindirizzati a un sito malevolo (attualmente inattivo), compromettendo i loro dati.
Come proteggersi
Le soluzioni avanzate di prevenzione delle minacce monitorano e bloccano continuamente i siti web fraudolenti e le campagne di phishing. Sfruttando l’intelligenza artificiale e l’apprendimento automatico, le attività sospette di truffe informatiche possono essere rilevate in tempo reale bloccando i criminali informatici prima di causare danni. Che si tratti di filtraggio del web, protezione della posta elettronica o sicurezza del cloud, queste misure aiutano a garantire la sicurezza, soprattutto nei periodi ad alto rischio come la stagione fiscale.
Consigli per rimanere al sicuro
- Controllate sempre due volte l’URL prima di fare clic su qualsiasi link nelle e-mail relative alle tasse.
- Essere cauti con le e-mail non richieste che richiedono informazioni personali.
- Utilizzare password forti e uniche per gli account fiscali.
- Attivare l’autenticazione a più fattori quando possibile.
Durante la stagione fiscale, è bene essere ancora più vigili. I criminali informatici sono sempre alla ricerca di opportunità per sfruttare i contribuenti, ma con le giuste pratiche di sicurezza informatica è possibile proteggersi da queste truffe informatiche.
