Un phishing ai danni del Portale dell’Automobilista sta colpendo migliaia di utenti italiani. I cybercriminali hanno clonato il portale ufficiale del Ministero delle Infrastrutture e dei Trasporti. Il sito falso appare tra i primi risultati di ricerca su Google, ingannando gli utenti in buona fede.
Come funziona l’attacco: il sito clone del Portale dell’Automobilista
La campagna sfrutta una tecnica nota come clone phishing. I truffatori replicano fedelmente l’interfaccia grafica del sito ufficiale. Il risultato è quasi indistinguibile dall’originale a un occhio non esperto.
Il dominio ingannevole e il certificato HTTPS
Il sito malevolo utilizza domini come ilportaledellautomobilista.net. Questi differiscono dal dominio ufficiale solo per l’estensione, che è .it. Inoltre, il sito falso dispone di un certificato HTTPS valido. Questo dettaglio induce l’utente a ritenere la connessione sicura. Tuttavia, la presenza del lucchetto verde non garantisce l’autenticità del sito.
La homepage del clone è praticamente identica all’originale. La maggior parte dei link interni non funziona. Fanno eccezione le aree di login e registrazione, progettate appositamente per catturare le credenziali inserite.
L’indicizzazione su Google come vettore di diffusione
Vale la pena sottolineare un aspetto particolarmente insidioso di questa campagna. Il sito clone risulta indicizzato tra i primi risultati organici di Google. Gli utenti cercano il portale tramite il motore di ricerca e cliccano sul primo risultato disponibile. In questo contesto, la fiducia nell’algoritmo di Google diventa un punto di vulnerabilità.
Segnalazioni pubbliche di questa attività risalgono almeno a inizio 2023. La campagna è tuttora attiva e periodicamente vengono individuati nuovi domini clone.
Quali dati rubano i criminali e quali rischi comporta
L’obiettivo primario dell’attacco è il furto di username e password. In particolare, i criminali mirano alle credenziali SPID, il Sistema Pubblico di Identità Digitale italiano.
Le conseguenze del furto di credenziali SPID
Il Portale dell’Automobilista conta milioni di utenti registrati. Con le credenziali sottratte, un attaccante può accedere al portale legittimo. Di conseguenza, può visualizzare e sfruttare dati personali e burocratici delle vittime. Tra questi figurano patenti, libretti di circolazione e informazioni anagrafiche.
Parallelamente, le credenziali SPID rubate aprono scenari di rischio ben più ampi. Lo SPID consente l’accesso a decine di servizi della Pubblica Amministrazione italiana. Un criminale potrebbe quindi compiere frodi, richiedere documenti o accedere a benefici fiscali in nome della vittima. Il danno potenziale va ben oltre il semplice furto di password.
Chi c’è dietro l’attacco
Al momento non esiste un’attribuzione pubblica a specifici gruppi criminali. Le fonti descrivono genericamente i responsabili come cybercriminali specializzati nel furto di credenziali. L’assenza di attribuzione non deve far abbassare la guardia. Campagne di questo tipo richiedono competenze tecniche moderate ma producono impatti significativi sulle vittime.
Come proteggersi dal phishing sul Portale dell’Automobilista
La prevenzione è la difesa più efficace contro attacchi di questo tipo. Esistono alcune regole pratiche che ogni utente dovrebbe seguire.
Verificare sempre il dominio prima di inserire le credenziali
La prima regola è controllare manualmente la barra degli indirizzi del browser. Il dominio ufficiale è esclusivamente ilportaledellautomobilista.it. Qualsiasi variante, anche minima, deve insospettire immediatamente. Inoltre, è preferibile accedere al sito digitando direttamente l’URL, evitando i risultati dei motori di ricerca per siti della PA.
Segnalare i domini falsi e aggiornare le credenziali
Se si sospetta di aver inserito le proprie credenziali su un sito falso, è necessario agire subito. Bisogna cambiare immediatamente la password sul portale ufficiale. In parallelo, se le credenziali SPID sono state compromesse, è essenziale contattare il proprio Identity Provider SPID.
I domini clone possono essere segnalati tramite Google Safe Browsing. Questo contribuisce a rimuovere i siti malevoli dall’indicizzazione. Il CERT-AGID fornisce canali ufficiali per segnalare campagne phishing di questo tipo.
In questo contesto, la consapevolezza degli utenti rimane lo strumento di difesa più importante. Le organizzazioni dovrebbero formare regolarmente il personale sul riconoscimento del phishing. I CISO devono monitorare eventuali esposizioni di credenziali aziendali legate a servizi pubblici digitali.
Fonti
- CERT-AGID – Falso sito Il Portale dell’Automobilista online cattura le password inserite
- Libero Tecnologia – Attenti al finto Portale dell’Automobilista, vi ruba lo SPID
- Al Volante – Portale dell’Automobilista, sito clone cattura credenziali
- Reddit r/ItalyInformatica – Phishing Portale Automobilista
- Fonte originale CERT-AGID
Fonte: Articolo originale
Campagne di phishing come quella ai danni del Portale dell’Automobilista evidenziano quanto sia critica la condivisione tempestiva di threat intelligence tra organizzazioni pubbliche e private. IsacChain permette alle ISAC e agli enti della Pubblica Amministrazione di condividere in modo sicuro indicatori di compromissione e domini malevoli, con tracciabilità garantita da verifica blockchain e workflow di compliance NIS2 automatizzata. Una piattaforma di questo tipo avrebbe potuto accelerare la segnalazione e la rimozione dei domini clone, riducendo l’impatto sulle vittime. Scopri come IsacChain può aiutare la tua organizzazione su www.isacchain.com