Attenti al finto Portale dell'Automobilista: vi ruba lo SPID

Un lavoro di fino, questa volta i truffatori si sono impegnati e il risultato è veramente notevole. Peccato solo che sono stati scoperti troppo presto e il loro lavoro, un finto Portale dell’Automobilista ricreato in maniera certosina, ha ora molte meno probabilità di accalappiare malcapitati utenti.

Tutto è stato studiato nel dettaglio, dall’indirizzo Web praticamente identico alla sezione news del portale, ma ancora nulla è realmente funzionante tranne la parte utile per la truffa: la schermata di login. Il finto portale dell’automobilista, infatti, è stato messo in piedi dai truffatori per carpire con l’inganno le credenziali d’accesso degli utenti al vero portale o, meglio ancora, lo SPID. Il potenziale di un sito del genere, per chi vuole mettere a segno delle truffe, è elevatissimo ma per capire perché dobbiamo prima spiegare cos’è il Portale dell’Automobilista. Quello vero, naturalmente.

Cos’è il vero Portale dell’Automobilista

Il vero Portale dell’Automobilista (https://www.ilportaledellautomobilista.it) è un sito Web ufficiale del Ministero dei Trasporti, con oltre 7 milioni di utenti registrati. Tramite questo sito è possibile interrogare i database del Ministero per sapere, ad esempio, se l’auto usata che volete comprare ha fatto tutte le revisioni, se ha l’assicurazione in regola, se ha carichi pendenti.

Ma non solo: registrandosi al portale (o accedendo con lo SPID) è possibile sapere quanti punti abbiamo sulla patente di guida, vedere quali sono i veicoli a noi intestati e i loro dati tecnici (ad esempio la classe ambientale EURO) e la data di scadenza della revisione di ognuno di essi.

Nell’area utenti registrati è anche possibile inserire la propria email per ricevere notifiche sulla scadenza della revisione o le variazioni di punteggio della patente, direttamente via posta elettronica. Insomma: una montagna di dati utili per mettere a segno truffe e phishing di ogni tipo.

Cos’è il finto Portale dell’Automobilista

Il finto Portale dell’Automobilista (https://www.ilportaledellautomobilista.net) è un sito truffa praticamente identico a quello vero: la home page è replicata in modo certosino, compresa la sezione “Comunicazioni e normative” e tutto il footer (il menu in fondo alla home, con tutti i collegamenti ad altri siti istituzionali).

Ad essere così finemente replicata, però, è solo la home page: quando l’utente clicca su qualunque sezione o link presente sul sito non succede nulla. L’unica sezione perfettamente funzionante, invece, è quella per registrarsi o per accedere con il proprio account già registrato o con lo SPID. Entrambi i metodi portano al furto dell’account/SPID.

Il finto portale è stato scoperto da D3Lab, azienda di cybersicurezza italiana. C’è da chiedersi come mai il Ministero dei Trasporti non abbia proceduto, sin dall’inizio, a registrare anche il dominio .net e tutti gli altri possibili domini che potrebbero essere usati, come in questo caso, dai truffatori per ingannare gli utenti e sottrarre i loro preziosi dati.

Ma, d’altronde, sappiamo già che la cultura della sicurezza informatica non è affatto ancora radicata nella Pubblica Amministrazione italiana che ha, non a caso, oltre 13 mila siti non sicuri.