«Hai visitato un sito Web che non dovevi»: così inizia una nuova truffa phishing sulla posta elettronica

Se doveste ritrovarvi un messaggio sulla posta elettronica che vi intima di mettere in “regola” la vostra posizione entro 48 ore, scaricando un allegato e/o pagando una certa somma di denaro in Bitcoin o in una qualche altra criptovaluta. Tutto questo per nascondere la visita che, a detta dei criminali informatici, avreste fatto a un non ben specificato «sito web che non dovevi»: è con queste testuali parole che viene definito il corpo del reato che avrebbe fatto scattare la sanzione a vostro carico. In realtà dietro queste comunicazioni – apparentemente del Ministero dell'Interno – non c’è alcuna sanzione reale, ma è solo l’ennesimo tentativo di phishing orchestrato da un gruppo di cybercriminali per sottrarre dati o denaro agli internauti meno accorti. Per difendersi bisogna ignorare il messaggio e non interagire con ciò che contiene, che si tratti di link, allegati o istruzioni di qualche tipo da seguire.

Come funziona il raggiro

Il testo simula una comunicazione ufficiale del Ministero dell'Interno o del Tribunale di Roma, rivolgendosi alla vittima come «Intestatario della connessione» e citando la violazione di una fantomatica Legge 231/2025 (ovviamente inesistente). Per consultare il presunto verbale, il messaggio invita ad aprire un link che rimanda a un file PDF caricato su Google Drive.

Ed è qui che scatta la trappola tesa dai malintenzionati. La scelta di Google Drive come mezzo per veicolare il tentativo di hacking non è casuale. Trattandosi di un dominio familiare ai più e che gode di un'ottima reputazione, riesce a bypassare i filtri antispam, che difatti non lo bloccano, e soprattutto può abbattere il pregiudizio delle potenziali vittime dell’attacco che, giudicando l’indirizzo come sicuro, abbassano la guardia.

Ma che succede se, presi dalla paura di aver “combinato qualcosa” ci si precipita a scaricare gli allegati presenti nella cartella? È molto probabile che in questo modo si vada a installare sul dispositivo un infostealer, un software spia capace di rubare automaticamente le password salvate nel browser, i dati bancari e i portafogli di criptovalute. In altri casi, si potrebbe venire in contatto con una pagina Web costruita ad arte, che potrebbe spingere la vittima a fornire dati personali, come quelli della carta d’identità o della carta di credito, oppure le credenziali SPID, perpetrando così un vero e proprio furto d'identità.

Fatto interessante, i truffatori, fingendo di essere l’autorità preposta dal Ministero per trovare i trasgressori della norma in questione, richiedono in modo esplicito di rispondere al messaggio usando esclusivamente la funzione “Rispondi” e non telefonando o recandosi a uno sportello. Ovviamente, una qualsiasi autorità pubblica non può impedire a un libero cittadino di presentarsi di persona, di inviare una raccomandata, etc. E questo rappresenta un grosso campanello d’allarme.

Ci sono altri segnali che dovrebbero farvi insospettire. Tra questi la mancanza di un riferimento specifico alla vostra persona (nell’e-mail non viene indicato alcun nome e cognome, ma è una mail inviata a una persona generica), l’indirizzo del mittente arriva dal dominio greco @sch.gr e non da un dominio di tipo @giustizia.it o @gov.it, come ci si aspetterebbe in questi casi. E poi, un illecito come quello segnalato nella finta mail in questione, non può essere recapitato tramite la posta elettronica ordinaria ma, per forza di cose, necessita dell’invio con PEC (Posta Elettronica Certificata).

Il Cert-AgID, il centro di risposta alle emergenze informatiche dell'Agenzia per l'Italia Digitale, ha individuato anche una variante ancora più aggressiva della truffa, basata sulla sextortion: una forma di estorsione digitale in cui la vittima viene ricattata con la minaccia di diffondere presunti contenuti intimi o imbarazzanti. In questa versione, i criminali sostengono di aver infettato il computer della vittima con un malware e di aver registrato la sua cronologia su siti per adulti insieme ai filmati della webcam, intimando la potenziale vittima a pagare 2.000 dollari in Bitcoin per porre rimedio alla situazione.

Cosa fare se ricevete un messaggio del genere

Ora che è chiaro in cosa consiste la truffa potreste già aver capito come dovreste difendervi. Ignorando il messaggio, quindi non cliccando su alcun link e non scaricando alcun allegato. Punto. Non dovreste nemmeno rispondere alla mail (ad esempio per dire ai truffatori che denuncerete l’accaduto), visto che il semplice fatto di rispondere confermerebbe ai malintenzionati che la casella è attiva e monitorata, dando loro l’incentivo di ritentare in futuro nuove truffe, magari cambiando la natura dei messaggi con qualche argomento che potrebbe cogliervi alla sprovvista.

E se foste già caduti nella trappola e l’aveste scoperto solo ora, leggendo questo articolo? In questo caso, fate subito una scansione antivirus per verificare che non abbiate installato un malware, cambiate la password degli account che potrebbero essere stati compromessi a causa dell’accaduto (es. quella della vostra casella e-mail, quella dello SPID, etc.) e denunciate l’accaduto alla Polizia Postale.

non perderti questo video

Sextortion è la truffa per estorsione basata su contenuti espliciti: come funziona e come difendersi