La Polizia Postale ha lanciato un nuovo avviso di sicurezza informatica riguardo a una campagna di phishing che sta circolando in queste ore in tutta Italia. I messaggi incriminati si spacciano per comunicazioni ufficiali delle aziende di trasporto pubblico — in particolare Atm di Milano e Atac di Roma — e tentano di spingere gli utenti a cliccare su link malevoli, facendo leva sulla paura di ricevere una sanzione pecuniaria. Lo schema seguito dai truffatori ricalca quello già visto in occasioni analoghe, come le frodi legate al mancato pagamento del pedaggio autostradale o alle false notifiche di PagoPa.
Il pretesto utilizzato questa volta riguarda il servizio Tap&Go, il sistema che consente di salire su metro, autobus e tram pagando direttamente con la propria carta di credito o tramite smartphone, avvicinando il dispositivo al lettore all’ingresso. Nei messaggi truffa si sostiene che la corsa in uscita (il cosiddetto tap-out) non sarebbe stata registrata correttamente, lasciando la posizione dell’utente irregolare. Per rimediare, il testo invita a seguire un link e completare una procedura di pagamento online, pena l’applicazione di una sanzione.
Come funziona la truffa
Il meccanismo si basa su tecniche di ingegneria sociale rodate: i cybercriminali scelgono nomi di enti con cui molte persone hanno un rapporto quotidiano, costruiscono un messaggio credibile e aggiungono l’urgenza di una multa per accelerare la reazione impulsiva della vittima. Il Commissariato di P.S. Online, il portale della Polizia Postale dedicato alla sicurezza informatica, ha chiarito senza margini di dubbio che questi messaggi sono completamente falsi e non hanno nessun collegamento con le aziende di trasporto citate. Anche Atac ha confermato ai propri utenti che si tratta di tentativi di phishing, distanziandosi esplicitamente da qualsiasi comunicazione di questo tipo. Nelle ipotesi più gravi, oltre al furto di dati personali, la truffa può portare la vittima a effettuare un pagamento diretto verso i truffatori.
Il consiglio della Polizia Postale è perentorio: le aziende di trasporto pubblico e il servizio Tap&Go non richiedono mai sanatorie tramite sms. Di conseguenza, chiunque riceva messaggi del genere non deve in nessun caso procedere con pagamenti o inserire i propri dati, tantomeno quelli bancari o delle carte di credito.
Come difendersi dal phishing
Le regole per proteggersi da questo tipo di attacchi sono semplici ma vanno applicate con costanza. Non bisogna mai cliccare sui link contenuti nei messaggi sospetti, nemmeno quando l’indirizzo web sembra autentico o riconducibile a un ente reale. Non si devono mai fornire dati personali o finanziari attraverso moduli raggiungibili tramite questi link. La Polizia Postale raccomanda di cancellare immediatamente il messaggio senza rispondere, evitando così qualsiasi forma di interazione con i truffatori. Se si nutrono dubbi sulla propria posizione rispetto a un abbonamento o a una corsa, la strada corretta è contattare direttamente l’azienda di trasporto attraverso i suoi canali ufficiali — sito web, numero verde, app — oppure rivolgersi alla Polizia Postale per una segnalazione formale.
