Da qualche settimana in Italia è scattato l’allarme per una nuova campagna di phishing online che usa una falsa email apparentemente inviata dall’Agenzia delle Entrate, simulando la notifica di un file condiviso tramite il popolare servizio WeTransfer.
Come si presenta la falsa email
L’email contiene un allegato chiamato “FatturaAgenziaEntrate.pdf” e un invito urgente a scaricare il file con la dicitura “Scade oggi”. Tuttavia, cliccando sul pulsante “Scarica i file”, la vittima viene reindirizzata a una pagina malevola controllata dagli hacker, che mirano a sottrarre le credenziali di posta elettronica del destinatario, mettendo a rischio la privacy e la sicurezza dei dati sensibili.
L’email in questione sembra provenire da un indirizzo che imita un dominio istituzionale (amministrazione@cert.gov.it), ma non è collegata in alcun modo alla Pubblica Amministrazione. Gli autori della truffa sfruttano il layout delle notifiche vere di WeTransfer per rendere il messaggio più convincente e indurre l’utente a scaricare l’allegato malevolo.
Come evitare di essere truffati
Per difendersi da questa truffa si consiglia di non cliccare mai su link o pulsanti contenuti in email sospette, di non scaricare file allegati da mittenti non verificati, e in caso di dubbio di contattare direttamente l’Agenzia delle Entrate o controllare tramite canali ufficiali. Non bisogna fornire mai credenziali o dati personali in risposta ad email non richieste.
Dunque si tratta di una truffa informatica che punta a rubare le credenziali email attraverso un falso messaggio che sembra ufficiale, con un falso file da scaricare che distribuisce il malware o porta a una pagina di phishing.
Come proteggere i propri dati online
Per proteggere efficacemente le credenziali di posta elettronica dagli hacker, è importante seguire alcune misure di sicurezza fondamentali:
- Usare password forti e uniche: la password deve essere lunga e complessa, includendo lettere maiuscole e minuscole, numeri e simboli, evitando informazioni personali facili da indovinare. È consigliato anche cambiare la password periodicamente e non riutilizzarla su più servizi.
- Abilitare l’autenticazione a due fattori (2FA): questo sistema richiede un secondo elemento di verifica oltre alla password, come un codice temporaneo inviato via SMS, un’app di autenticazione, o una chiave hardware (U2F). La 2FA rende molto più difficile per un hacker accedere anche se entra in possesso della password
- Evitare phishing e link sospetti: non cliccare mai su link o allegati in email sospette o non verificate. Gli hacker spesso usano email di phishing per sottrarre credenziali con falsi siti di login.Utilizzare un password manager: questo strumento aiuta a generare, memorizzare e gestire password complesse senza doverle ricordare manualmente, riducendo il rischio di usare password deboli o duplicate.
- Mantenere aggiornata la protezione del sistema e i filtri antispam: aggiornare antivirus e sistemi operativi e utilizzare filtri antispam avanzati per bloccare email malevole prima che arrivino nella casella di posta.
Il phishing in Italia
In Italia, secondo il Rapporto Clusit 2025, il phishing rappresenta una delle forme di attacco informatico più diffuse e cresce significativamente ogni anno. Nel 2024, gli attacchi informatici gravi nel paese sono stati 357, con un incremento del 15,2% rispetto all’anno precedente, e il phishing è una delle tipologie predominanti.
Il phishing e il social engineering costituiscono oltre l’11% di tutti gli attacchi informatici registrati in Italia. Ancora il phishing è risultata essere la forma di attacco più diffusa nel Paese, spesso veicolata tramite email, SMS e PEC compromesse. Dunque le vittime ogni anno sono migliaia, considerando che quasi un attacco su tre in Italia è di tipo phishing, colpendo sia cittadini che organizzazioni.
Un ulteriore dato significativo ed oltremodo allarmante è che meno del 20% degli italiani sa riconoscere un sito falso o un link sospetto, il che alimenta la riuscita di queste truffe.
