Un rimborso legato a un’agevolazione reale è un’esca potente. Non ha bisogno di inventare una storia straordinaria: basta prendere un tema conosciuto, vestirlo con l’identità di un’autorità e accompagnare la persona, un passaggio alla volta, fino alla richiesta che conta davvero.
Una truffa costruita attorno a qualcosa di vero
Il 5 agosto 2026 CERT-AGID ha segnalato una campagna di phishing ai danni di ARERA, l’Autorità di Regolazione per Energia Reti e Ambiente. Il sito malevolo riproduceva l’aspetto di una pagina istituzionale e sfruttava il tema del bonus sociale idrico per sottrarre informazioni personali e finanziarie.
La credibilità nasceva dall’accostamento di elementi familiari: un’autorità reale, un’agevolazione esistente e un indirizzo web costruito con una variazione ingannevole del nome legittimo. È la tecnica del typosquatting: un dominio abbastanza simile da passare inosservato a una lettura veloce.
Prima il telefono, poi il falso rimborso
La pagina chiedeva inizialmente il numero di telefono per verificare il diritto al beneficio. Solo dopo mostrava un esito positivo, accompagnato da un importo preciso di 100,93 euro e da un riepilogo della pratica. A quel punto il rimborso sembrava già approvato: per riceverlo restava soltanto la cosiddetta “verifica” della carta.
Quell’ultimo passaggio richiedeva intestatario, numero, scadenza e codice di sicurezza. Non era una procedura di accredito, ma il vero obiettivo della campagna. La sequenza è importante: ogni piccola azione rende la successiva più naturale e riduce il tempo dedicato a chiedersi perché quei dati siano necessari.
Il segnale d’allarme non è soltanto un errore grafico
Cercare refusi e loghi imperfetti può aiutare, ma non è una difesa sufficiente. Le imitazioni migliorano e una pagina ben realizzata può essere comunque fraudolenta. È più affidabile osservare la richiesta e il percorso.
- Un beneficio pubblico va verificato raggiungendo autonomamente il sito ufficiale, senza seguire il collegamento ricevuto.
- Un accredito non giustifica la richiesta del CVV o di tutti i dati utilizzati per effettuare pagamenti.
- Un importo molto preciso non prova che la pratica esista: può essere scelto proprio per farla sembrare autentica.
- Il nome visibile nella pagina non certifica il dominio. L’indirizzo va letto per intero, prima di inserire informazioni.
In azienda, segnalare deve essere più facile che rischiare
Campagne come questa possono raggiungere caselle personali e aziendali, telefoni di servizio o collaboratori che gestiscono utenze e amministrazione. La risposta non può limitarsi a dire alle persone di “stare più attente”. Servono un canale di segnalazione semplice, procedure note e simulazioni che insegnino a interrompere il percorso senza trasformare l’errore in una colpa.
CERT-AGID ha comunicato di avere ottenuto la disattivazione del dominio malevolo, informato ARERA e condiviso gli indicatori di compromissione con le organizzazioni accreditate. È un risultato importante, ma una singola infrastruttura può essere sostituita. La capacità duratura è riconoscere il meccanismo, non memorizzare un indirizzo.
La domanda giusta arriva prima dei dati
Quando una pagina promette denaro e chiede informazioni finanziarie, fermarsi non significa perdere un’opportunità. Significa verificare chi sta chiedendo cosa, attraverso quale canale e con quale necessità. Pochi minuti di controllo sul sito raggiunto autonomamente possono interrompere una catena progettata per non lasciarci il tempo di pensare.