Trenitalia, la truffa dello pseudo-rimborso: anche la nostra redazione tra i bersagli degli SMS falsi

Un SMS che sembra arrivare da Trenitalia, al cui interno troviamo un rimborso pronto da riscattare ed il solito link da aprire. Bastano tre elementi per far scattare una delle truffe più insidiose dell’estate, basata sul reale disagio provocato da ritardi e problemi dell’ultimo periodo, e che per questo suona plausibile. Lo sappiamo per esperienza diretta, visto che anche i cellulari della nostra redazione hanno ricevuto, nei giorni scorsi, messaggi identici a quelli di cui stiamo parlando, come potete che vedere nello screenshot sottostante:

Una truffa accertata

Il CERT-AGID (acronimo che sta per Computer Emergency Response Team dell’Agenzia per l’Italia Digitale, la struttura che si occupa di sicurezza informatica e cybersecurity per la pubblica amministrazione) ha individuato una campagna di smishing che sfrutta il nome Trenitalia per sottrarre dati personali agli utenti. Gli SMS ingannevoli invitano a cliccare su un link con il pretesto di un falso rimborso legato al ritardo di un treno. L’obiettivo degli attaccanti è impossessarsi del numero di telefono e dei dettagli della carta di credito degli utenti. Il link, spiega l’ente, conduce a una pagina che riproduce fedelmente le grafiche ufficiali di Trenitalia e informa la vittima che, a causa del presunto ritardo, è disponibile il recupero di un importo di 15 euro. A rendere il raggiro credibile contribuisce il typosquatting, ossia domini che imitano quello ufficiale con una lettera aggiunta o un’estensione anomala, pensati per ingannare gli sguardi meno attenti. Una volta entrati nel meccanismo, agli utenti vengono richiesti prima il numero di telefono, poi i dati completi della carta di credito e infine il pagamento di una piccola “quota di verifica” (nelle varianti individuate, appena 1,50 euro) presentata come necessaria per sbloccare l’accredito.

Il bollettino settimanale del CERT-AGID relativo al periodo 4-10 luglio inquadra il fenomeno in un contesto più ampio, visto che nella sola settimana monitorata l’ente ha contato 130 campagne malevole a livello nazionale, quasi tre quarti delle quali (98) costruite specificamente per colpire utenti e aziende italiane. Sul fronte del contrasto, il CERT-AGID ha già richiesto al registrar la dismissione del dominio malevolo individuato e ha avvertito direttamente Trenitalia della minaccia in corso. Gli indicatori di compromissione sono stati intanto diramati alle organizzazioni accreditate al flusso IoC dell’ente, così da rendere più rapido il blocco delle repliche della campagna.

Come riconoscere il falso

Trenitalia non invia mai comunicazioni di rimborso tramite link SMS che rimandano a domini diversi dal proprio sito ufficiale o dall’app aziendale. Le indennità per ritardo, quando spettano, si richiedono esclusivamente attraverso i canali ufficiali, come il sito trenitalia.com, l’app FS, o gli sportelli fisici.

Nessun ente richiede mai una “quota di verifica” per erogare un rimborso, fattispecie che di per sé già rappresenta un chiaro indizio della truffa in corso. Chiunque riceva un messaggio sospetto dovrebbe evitare di cliccare, ignorare il testo e segnalarlo attraverso il portale della Polizia Postale (commissariatodips.it), che raccoglie le segnalazioni dei cittadini e alimenta le indagini in corso, oppure al CERT-AGID stesso. Vale la regola che vale sempre, e che troppo spesso si dimentica proprio quando il messaggio sembra innocuo: mai aprire link contenuti in SMS, messaggi o email prima di essersi accertati che portino ad un sito ufficiale verificato.