PEC e SPID sono strumenti essenziali, ma possono diventare esche per i truffatori. Tra link ingannevoli, messaggi urgenti e pagine contraffatte, riconoscere i segnali e adottare semplici precauzioni aiuta a proteggere i propri dati a Città di Castello.
TRG Media ha segnalato a Città di Castello tentativi di truffa che sfruttano PEC e SPID per raggiungere gli utenti e sottrarre informazioni di accesso. Il raggiro parte da un messaggio contraffatto, ma punta soprattutto a ottenere password e codici temporanei. Se la vittima li inserisce in una pagina falsa, i truffatori possono provare a usare l’identità digitale o la casella di posta per accedere ai servizi collegati.
Il rischio dietro PEC e SPID
La posta elettronica certificata attesta l’invio e la consegna di un messaggio. L’indirizzo visualizzato come mittente può però non corrispondere all’identità del titolare. Anche una comunicazione dall’aspetto formale, dunque, può contenere una richiesta fraudolenta di credenziali o dati personali. AgID, l’Agenzia per l’Italia Digitale, raccomanda di diffidare dalle comunicazioni che invitano a inserire informazioni sensibili in moduli raggiunti tramite link inattesi.
Con SPID, il Sistema Pubblico di Identità Digitale, si accede ai servizi online usando le credenziali rilasciate da un gestore. La procedura cambia in base al livello di autenticazione richiesto: può prevedere una password insieme a un codice temporaneo, oppure l’uso di un’app. Chi consegna questi elementi a una pagina fraudolenta espone le proprie credenziali ai truffatori, che possono tentare di completare l’accesso prima che il codice scada. Se riescono a entrare, possono vedere dati personali o compiere le operazioni consentite dal servizio utilizzato.
Il CERT-AgID, il gruppo che monitora e contrasta le minacce informatiche rivolte alla Pubblica amministrazione, ha documentato campagne che imitano portali istituzionali e schermate di login SPID per raccogliere password, documenti o altri dati. Le pagine contraffatte riproducono marchi e grafiche familiari.
Link, urgenza e pagine contraffatte
Nel messaggio può comparire l’avviso che la casella è in scadenza, che c’è un problema con l’identità digitale o che occorre aggiornare alcuni documenti. Il tono urgente spinge a decidere in fretta; il link conduce a un sito costruito per somigliare a quello di un gestore o di un ente. Chi inserisce la password nella pagina la consegna ai responsabili della frode. La richiesta può includere anche un codice OTP o una conferma nell’app, con cui i truffatori cercano di convalidare un accesso in corso.
Un collegamento inatteso, un dominio diverso da quello ufficiale, errori o formulazioni insolite sono segnali d’allarme. Lo è anche una richiesta urgente di password o codici. L’indirizzo del mittente può essere falsificato e una casella legittima può essere abusata. Per raggiungere il servizio è più sicuro digitare l’indirizzo abituale oppure aprire l’app ufficiale, senza passare dal link ricevuto.
PEC e SPID vengono usati ogni giorno per comunicare con amministrazioni, imprese e servizi online. Le credenziali sottratte possono quindi essere sfruttate anche oltre la singola casella: una PEC compromessa, per esempio, può servire a inviare messaggi fraudolenti ai contatti della vittima. Le conseguenze dipendono dai dati consegnati e dagli accessi che i truffatori sono riusciti a effettuare.
Come contenere il rischio
La risposta cambia a seconda di quanto è successo. Chi ha ricevuto il messaggio e non ha interagito deve seguire indicazioni diverse da chi ha inserito le credenziali o approvato una richiesta nell’app. In caso di dubbio, è utile ricostruire quali dati siano stati comunicati e quali passaggi siano stati completati.
- Non cliccare e non rispondere al messaggio; evitare di aprire gli allegati e non fornire password, codici OTP o documenti.
- Contattare il gestore SPID o PEC tramite l’app, il numero o l’area di assistenza individuati autonomamente sui canali ufficiali, senza usare i recapiti contenuti nel messaggio.
- Se sono state inserite credenziali, cambiarle subito attraverso il servizio ufficiale, controllare gli accessi e chiedere al gestore la sospensione o la revoca dell’identità o della casella, se necessario.
- Se sono stati comunicati dati bancari o autorizzati pagamenti, avvisare immediatamente la banca attraverso i suoi recapiti ufficiali e chiedere il blocco delle operazioni o degli strumenti coinvolti.
- Conservare il messaggio e i dettagli dell’accaduto per segnalarli alla Polizia Postale, la specialità della Polizia di Stato che si occupa dei reati informatici.
Chi non ha cliccato, inserito dati o approvato accessi ha ridotto il rischio. Se invece c’è stata un’interazione, cambiare rapidamente le credenziali e avvisare il gestore può limitare l’uso improprio di PEC e SPID.
