Finto portale SPID su Google Sites: l'ennesima truffa

SPID è protagonista di una nuova campagna di phishing che prende di mira i cittadini. I cybercriminali stanno provando a rubare dati personali e bancari inviando email con titoli come Importante: Conferma i tuoi dati SPID oppure Verifica richiesta per la tua identità digitale. L’invito è a cestinarle immediatamente, per non correre il rischio di cadere nella trappola.

Un’altra campagna di phishing a tema SPID

Il messaggio si apre con Gentile utente o altre introduzioni simili, chiedendo di visitare un sito su cui controllare ed eventualmente aggiornare le informazioni fornite. Attenti a non farsi ingannare dai riferimenti a Identità Digitale Pubblica, Agenzia Digitale per l’Italia, Portale SPID ufficiale e a riferimenti normativi inseriti solo per rendere il raggiro più credibile.

C’è un link che rimanda a un falso portale ospitato su Google Sites. Nel momento in cui scriviamo e pubblichiamo questo articolo è ancora online, ecco uno screenshot che abbiamo appena catturato.

Questi i dati richiesti. Ovviamente, compilando e inviando il modulo le informazioni finiscono nelle mani dei cybercriminali.

• Nome completo;
• data di nascita;
• indirizzo;
• CAP;
• email;
• numero di cellulare;
• telefono fisso;
• IBAN;
• banca.

Come riconoscere la truffa

Sono diversi gli indicatori che possono aiutare a identificare la truffa. Il primo è l’indirizzo del modulo: sites[.]google[.]com/view/spidit/spid. Non ha nulla a che fare con SPID (il sito ufficiale è spid.gov.it), né con uno dei gestori dell’identità digitale.

C’è poi il riferimento a IBAN e banca. Nessuno degli identity provider (Poste Italiane e gli altri) chiederà mai di inviare questo tipo di informazioni, nemmeno se il servizio è stato reso a pagamento. È probabile che l’obiettivo sia quello di raccogliere i dati per poi utilizzarli in campagne di phishing ancora più mirate o per i furti di identità.

CERT-AGID di Agenzia per l’Italia Digitale ha chiesto la disattivazione del modulo. Non fatichiamo comunque a immaginare che una volta messo offline ne spuntino altri analoghi.