Il CERT-AGID ha individuato una nuova campagna di phishing che sfrutta il nome e le grafiche de “Il Portale dell’Automobilista“, il portale ufficiale del Ministero delle Infrastrutture e dei Trasporti che permette di gestire servizi per patenti e veicoli. Il sito fraudolento è ospitato sul dominio illportaledelautomobilista[.]org, un typosquat del dominio legittimo, abbinato a un cambio di estensione: .org al posto del corretto .it. La campagna risulta particolarmente insidiosa perché al momento compare come secondo risultato effettuando una ricerca su Google per “il portale dell’automobilista“, subito dopo il sito ufficiale.

Caratteristiche della campagna malevola

La pagina fraudolenta riproduce fedelmente il layout, i loghi e i menu del portale reale e tutti i link di navigazione presenti rimandano al sito ufficiale, una tecnica che rende il clone più credibile. Solo un singolo elemento della pagina è malevolo: il riquadro “Verifica Patenti Rilasciate dal 22 al 26 Aprile 2021“.

Questo box riprende un servizio realmente offerto in passato e richiede all’utente:

• codice fiscale
• numero patente
• data di scadenza della patente

Una volta inviato il modulo, la pagina restituisce, per non non destare allarme, il messaggio “Dati non trovati. Verifica i campi inseriti“, mentre in realtà le informazioni sono state sottratte. Questi dati possono essere sfruttati per:

• Furto d’identità: codice fiscale, numero patente e scadenza costituiscono un set di informazioni spesso sufficiente per superare controlli di identità “leggeri”, permettendo ai criminali di impersonare la vittima.
• Spear-phishing di secondo livello: disporre di dati reali e specifici consente di costruire comunicazioni (SMS, email) molto più convincenti su temi come rinnovo patente o punti residui, aumentando l’efficacia di attacchi successivi.
• Rivendita underground: pacchetti di dati identificativi verificati hanno un mercato nei forum criminali, dove vengono acquistati da altri gruppi per altre tipologie di frodi, come quelle assicurative.
• Bypass di verifiche secondarie: alcuni sistemi di autoscuole, agenzie pratiche auto o app regionali utilizzano CF e numero patente come fattore di controllo aggiuntivo; conoscerli può facilitare accessi non autorizzati a nome della vittima.

Azioni di contrasto intraprese

Il CERT-AGID, oltre a diramare gli Indicatori di Compromissione alle PA accreditate, ha provveduto a richiedere la dismissione del dominio al registrar, ha segnalato a Google il sito come phishing per ottenere la sua rimozione dai risultati di ricerca e ha informato il Ministero delle Infrastrutture e dei Trasporti della problematica in corso.