Come ogni anno il pagamento degli oneri fiscali coincide con un netto incremento delle truffe online, che mettono in pericolo la sicurezza dei contribuenti.
Il periodo in cui si pagano le tasse è un momento importante dell’anno, anche a causa dell’incremento delle truffe online.
Mentre infatti le autorità si occupano dei versamenti, i criminali informatici sfruttano questo momento per lanciare attacchi mirati. Le persone che si occupano di questioni fiscali diventano un facile bersaglio per chi cerca di rubare informazioni personali e finanziarie.
Durante la stagione fiscale, l’aumento delle frodi online e delle truffe di phishing rappresenta una sfida significativa sia per i singoli utenti che per le organizzazioni. Poiché i cybercriminali sfruttano le attività legate alle tasse per colpire gli utenti più vulnerabili. Rendendo quindi essenziale rimanere informati sulle ultime tattiche di attacco e tendenze di cybersicurezza.
Qualche esempio di truffa in Italia
Lo scorso settembre, l’Agenzia delle Entrate ha segnalato una campagna malevola veicolata tramite una serie di false comunicazioni via e-mail.
Le truffe online sono è articolate in differenti fasi
Invio di una e-mail generica nella quale viene chiesto alla vittima di esaminare un documento in allegato contenente i dettagli di una presunta irregolarità fiscale.
Sia l’e-mail che il documento ad essa allegato sono a firma di un fantomatico “Capo del Servizio Accertamenti Fiscali”, che non risulta presente nei ruoli dell’amministrazione finanziaria.
Nel documento inviato, che contiene loghi e riferimenti dell’Agenzia, vengono elencate le presunte “infrazioni”. Viene, quindi, chiesto di mettersi in contatto entro 5 giorni con l’Agenzia inviando un’e-mail ad un indirizzo non appartenente all’Agenzia ma al dominio @outlook.com.
Qualora la vittima desse seguito alla richiesta presente nel documento, scrivendo quindi ai malfattori all’indirizzo da loro indicato, verrebbe contattata nuovamente tramite e-mail con una ulteriore comunicazione strutturata diversamente, in cui si chiede un pagamento.
Dando seguito a quanto richiesto nel pdf allegato all’e-mail, potrebbe accadere di essere contattati telefonicamente o tramite SMS e di ricevere ulteriori false comunicazioni con istruzioni per il pagamento.
L’Agenzia delle Entrate disconosce questa tipologia di messaggi, rispetto ai quali si dichiara totalmente estranea e raccomanda di non cliccare sui link in e-mail. Ma anche di non fornire dati personali in occasione di eventuali telefonate legate a questo tipo di fenomeni. E di non ricontattare assolutamente il mittente delle comunicazioni.
Sempre in Italia, negli ultimi mesi il CERT-AGID (Computer Emergency Response Team AGID) sta continuando a rilevare numerose campagne di smishing che prendono di mira gli utenti INPS. Nel corso del monitoraggio giornaliero di queste minacce ne è stata individuata una che si distingue dalle precedenti per l’approccio intimidatorio adottato. Invece di promettere benefici o rimborsi, come avveniva in passato, i truffatori minacciano gli utenti con presunte conseguenze penali per omissioni nella dichiarazione dei redditi.
Dettagli della truffa
Tramite SMS che appaiono provenire dall’Ente, le vittime sono indotte a cliccare un link che le conduce ad una pagina finalizzata al furto delle informazioni.
Sul sito malevolo viene mostrato all’utente un pop-up contenente un messaggio relativo a una presunta mancanza nella dichiarazione dei redditi e minaccia conseguenze penali in caso di inadempienza: “Gentile utente, la sua dichiarazione dei redditi risulta mancante. È necessario verificare con urgenza i documenti. Si ricorda che l’omessa dichiarazione dei documenti richiesti può comportare conseguenze di natura penale, ai sensi della normativa vigente.”
Questa pagina è aggiornata rispetto alle versioni precedenti, presentando un design più sofisticato e convincente. Con loghi e immagini che ricalcano quelle ufficiali e una struttura simile al portale autentico. All’interno della pagina fraudolenta si richiede l’inserimento delle generalità e del codice IBAN ma, soprattutto, il caricamento di alcuni documenti:
Carta d’identità
Tessera sanitaria
Patente di guida
Copia delle ultime buste paga
Inoltre, rispetto alle precedenti campagne malevole, in questa si richiede il caricamento di un “video di riconoscimento“:
“Realizza un breve video in cui muovi la testa verso l’alto, verso il basso, poi a destra e a sinistra assicurandoti di NON coprire il viso.”
Altri esempi di minacce
Da febbraio, Check Point Research (CPR) ha monitorato decine di domini di nuova registrazione legati al servizio fiscale britannico, His Majesty’s Revenue and Customs (HMRC). Il 46% è classificato come dannoso o sospetto. Uno di questi domini è hmrcnoticecenter[.]com. Gli aggressori utilizzano questo indirizzo per tentare schemi di phishing, attirando gli utenti a rivelare le loro informazioni personali.
CPR ha identificato anche altri siti web fraudolenti che utilizzavano “HMRC” nei loro nomi di dominio per far far credere che si trattasse di siti legittimi.
Inoltre, si è scoperta una campagna di phishing a sfondo fiscale che utilizzava il marchio HMRC. Le e-mail di phishing sembravano provenire da “HMRC digital” e tentavano di convincere gli utenti a cliccare su un link che sembrava collegato a un sito web governativo legittimo (tax[.]service[.]gov[.]uk). Tuttavia, cliccando sul link, gli utenti sono reindirizzati a un sito malevolo (attualmente inattivo), compromettendo i loro dati.
Come proteggersi dalle truffe
Le soluzioni avanzate di prevenzione delle minacce monitorano e bloccano continuamente i siti web fraudolenti e le campagne di phishing. Sfruttando l’intelligenza artificiale e l’apprendimento automatico, le attività sospette possono essere rilevate in tempo reale bloccando i criminali informatici prima di causare danni. Che si tratti di filtraggio del web, protezione della posta elettronica o sicurezza del cloud, queste misure aiutano a garantire la sicurezza. Soprattutto nei periodi ad alto rischio come la stagione fiscale.
Consigli per rimanere al sicuro
Controllate sempre due volte l’URL prima di fare clic su qualsiasi link nelle e-mail relative alle tasse.
Essere cauti con le e-mail non richieste che richiedono informazioni personali.
Utilizzare password forti e uniche per gli account fiscali.
Attivare l’autenticazione a più fattori quando possibile.
Durante la stagione fiscale, è bene essere ancora più vigili. I criminali informatici sono sempre alla ricerca di opportunità per sfruttare i contribuenti. Ma con le giuste pratiche di sicurezza informatica è possibile proteggersi da queste minacce.
