L’ultimo attacco malware passa per una finta mail del Ministero delle Finanze

E’ in corso in questi giorni l’ennesimo o attacco malware che passa per una finta mail del Ministero delle Finanze (MEF).  Migliaia di account italiani sono oggetto di un attacco malware sotto forma di una falsa email del ministero delle Finanze che, se aperta, installa nel computer infettato un software che estrae informazioni sensibili, dalle coordinate bancarie alle credenziali della posta elettronica. Queste azioni avvengono in genere per carpire le credenziali di accesso ai sistemi e, attraverso ciò, porre in essere azioni fraudolente.

E tutto ciò dopo appena un mesa dall’analogo tentativo di un’altra email phishing allo scopo di estorcere informazioni sensibili ai malcapitati. L’oggetto delle email attualmente in circolazione è “debito fiscale e tributario”. Ad agosto l’email, a firma “Agenzia delle entrate”, aveva per oggetto la dicitura “L’ufficio delle imposte d’Italia ti avvisa del debito” e invitava, nel testo della stessa, a cliccare su un link per prendere visione di una notifica. E’ stata la stessa Agenzia delle Entrate ad avvisare: “È l’ennesimo tentativo messo in atto con lo scopo di acquisire informazioni riservate dei destinatari” prendendo le distanze da queste mail e invitando gli utenti a segnalare e cestinare questi messaggi.

Con il comunicato stampa del 30 giugno 2020, l’Agenzia delle Entrate aveva dunque invitato gli utenti a “cestinare immediatamente messaggi di posta elettronica che riportano nell’oggetto la dicitura “IL DIRETTORE DELL’AGENZIA” e che nel testo invitavano a prendere visione di documenti Office contenuti in un archivio.zip allegato per verificare la conformità dei propri pagamenti. Le email, infatti, pur riportandone falsamente il logo, non provengono dall’Agenzia, ma costituiscono il tentativo di acquisire informazioni riservate dei destinatari”.

Infine, l’Agenzia ribadisce ancora una volta che “non vengono mai inviate per posta elettronica comunicazioni contenenti dati personali dei contribuenti e che sono invece consultabili dai diretti interessati esclusivamente nel cassetto fiscale, accessibile tramite l’area riservata sul sito internet istituzionale”.

In genere gli oggetti delle mail malevole in circolazione, che fingono di essere state inviate dal “Ministero dell’Economia e delle Finanze”, hanno infatti di regola oggetti che possono trarre facilmente in inganno quali “Codici Tributo Acconti” e “F24 Acconti-Codice Tributo 4034”. Ciò dimostrerebbe che il responsabile dell’attacco ha una buona conoscenza dell’anno fiscale italiano, dato che tali oggetti si riferiscono a scadenze relative al periodo in corso.

L’email chiede di scaricare un pdf ma in realtà il documento contiene un malware altamente pericoloso per i dati contenuti nel computer. Una volta autoinstallato, il software invia le credenziali rubate al server di comando e controllo (ovvero al responsabile dell’attacco che gestisce la botnet).

Questa email è la versione più sofisticata di quella che era già circolata a marzo e che aveva preso di mira anche la Camera dei deputati, il ministero dell’Interno, i comuni di Brescia e Bologna, le regioni Basilicata, Toscana e Veneto; Trenitalia, Fastweb, Tiscali, Vodafone e Wind. In quel caso un link nel messaggio di posta, apparentemente diretto verso il sito del Mef, conduce, se cliccato, allo scaricamento di un file eseguibile contenente il malware, paragonabile al trojan GootKit, una versione più sofisticata e pericolosa del “Banker Malware” di un paio d’anni fa.

Nelle email di marzo il mittente non risultava però il Mef, bensì gli indirizzi info@amber-kate.com e info@fallriverproductions.com. Questa volta, invece, la email risulta più difficilmente individuabile in quanto l’indirizzo apparente è “amministrazione@mef.gov.it”. Tuttavia a destare sospetto è la presenza di frasi in spagnolo nel testo:

1. Il mittente apparente: “Servicio de Administracion Tributaria”
2. La frase “Hemos identificado que tienes pendiente de presentar

Il numero di telefono è poi chiaramente inventato (“+39 1308 808500”)

Il contenuto dell’email dimostra che i truffatori sono abbastanza esperti del sistema fiscale italiano e della psicologia dei potenziali truffati, ma quasi certamente non sono europei in quanto non colgono tutte le differenze tra l’italiano e lo spagnolo.

Già in passato la Ragioneria Generale dello Stato aveva dato notizia di una pericolosa campagna di phishing relativa ad un finto aggiornamento del “certificato webmail MEF”.Secondo tale mail truffa, che conteneva al suo interno il logo RGS, il destinatario viene invitato a fornire le informazioni di accesso alla mail istituzionale per poter continuare a ricevere mail importanti di lavoro. La Ragioneria di stato aveva fatto presente, al fine di prevenire furti di identità e, più in generale, per evitare di condividere involontariamente informazioni riservate, che  non era in corso nessuna raccolta di dati personali e nessun aggiornamento di certificati webmail.

Si raccomanda, pertanto:

1. di controllare sempre con la massima attenzione le mail ricevute, verificando l’attendibilità del mittente (nel caso di specie chiaramente fraudolenta), dell’oggetto e del testo del messaggio;
2. di non inviare, in nessun caso, dati personali o credenziali di accesso, compilando form ricevuti via posta elettronica o seguendo link di accesso a siti esterni;
3. di non scaricare documenti contenuti in email sospette

In caso di dubbio, si invita a segnalare prontamente al Nucleo Informatico e Supporto Tecnologico (NISuT) dell’IGICS la ricezione di contenuti sospetti. Non appena fatto è opportuno cancellare l’email dal computer.

A dicembre del 2019 era stata segnalata un’attività di phishing su utenze NoiPA sempre attraverso finte email del MEF.

In effetti sono stati rilevati limitati e circoscritti casi (15 su un totale di oltre due milioni di amministrati) di modifiche dell’IBAN non confermati dal dipendente beneficiario. Tali casi sono stati prontamente gestiti, anche grazie all’intervento della Polizia Postale. Sogei, la società in house del MEF che ha in conduzione il sistema NoiPA, dopo aver analizzato e monitorato i dati al fine di garantire un puntuale presidio, ha assicurato che non sono riscontrabili violazioni del sito NoiPA.

Si coglie l’occasione per raccomandare ulteriormente agli utenti di proteggere con la massima cura i dati di accesso al sistema NoiPA, non comunicandoli a terzi, evitando di rispondere a e-mail la cui provenienza o il cui mittente non siano riconosciuti e verificabili e che richiedano l’inserimento di dati sensibili.

Il Ministero dell’economia e delle finanze assicura sicurezza e riservatezza dei dati degli oltre due milioni di dipendenti amministrati confidando in una corretta gestione delle credenziali da parte degli utenti che devono utilizzarle unicamente per accedere al Portale e alla App ufficiale del sistema NoiPA.

Alla fine i malintenzionati hanno rubato stipendi e pensioni a una manciata di dipendenti pubblici  compromettendo alcuni account utente attraverso la modifica del codice IBAN del conto corrente e del numero di telefono associato. In particolare, una nota della Polizia Postale dello scorso 20 dicembre diffusa dall’Ufficio di Gabinetto della Questura di Milano aveva precisato che “l’attività criminosa è consistita nell’accesso abusivo al profilo del singolo dipendente della P.A. sul portale NoiPa e nella successiva sostituzione del codice IBAN del conto corrente e del numero telefonico associato al fine di distrarre l’accredito degli emolumenti”. Si è trattato quindi di una vera e propria truffa online che ha consentito ai malintenzionati di “sostituire” i conti correnti dei dipendenti pubblici con altri su cui sono state indebitamente accreditate somme relative agli stipendi di dicembre e alle tredicesime.

NoiPa, lo ricordiamo, è il portale che consente ai dipendenti pubblici, tra le altre cose, di gestire i propri cedolini e verificare lo stato dei pagamenti. Sullo stesso portale, inoltre, il dipendente pubblico può appunto modificare il proprio IBAN per l’accredito dello stipendio mediante un sistema automatizzato che richiede di effettuare una chiamata di sicurezza dal numero di telefono impostato nel sistema, così da verificare l’identità del dipendente. Una chiamata di sicurezza che viene gestita da sistemi informatici (la chiamata viene chiusa dopo uno squillo, senza alcuna risposta). In alcuni casi, questo sistema di sicurezza potrebbe aver consentito ai dipendenti pubblici vittime della truffa di segnalare prontamente l’accaduto e mettere in sicurezza il proprio account.