Phishing SMS per ATAC: come evitare pagamenti di 1,50 euro senza timbrare il biglietto

Una nuova campagna di phishing sta prendendo di mira gli utenti del servizio di trasporto pubblico gestito da ATAC S.p.A., avverte ACN, utilizzando messaggi SMS per indurre le vittime a inserire i dati della carta di pagamento. La pagina iniziale malevola simula una verifica di navigazione automatizzata e reindirizza gli utenti a pagine che mostrano dettagli su presunte irregolarità, chiedendo poi dati sensibili come il numero della carta e il codice CVV/CVC.

Una recente campagna di phishing, veicolata tramite messaggi SMS, sta prendendo di mira gli utenti del servizio di trasporto pubblico gestito da ATAC S.p.A. avverte l’Agenzia per la Cybersicurezza Nazionale. L’obiettivo della campagna malevola, è indurre le vittime a credere che ci sia una irregolarità relativa alla mancata timbratura del biglietto e quindi ad inserire i dati della propria carta di credito.

La pagina iniziale del sito è progettata per assomigliare alle pagina legittima ceh vuole far credere di dover verificare la correttezza della persona. Dopo un controllo da parte del sito malevolo, gli utenti vengono reindirizzati a una pagina che mostra dettagli su una “uscita non registrata”, che riporta informazioni su una mancata registrazione, estremi del viaggio e data di validazione, oltre a un importo dovuto di 1,50 euro.

C’è anche un messaggio minaccioso che avverte delle possibili sanzioni in caso di mancato pagamento.

L’importo basso abbatte la soglia di attenzione degli utenti, rendendo questa richiesta credibile e meno sospetta. Successivamente, gli utenti sono indirizzati a una pagina di “Pagamento Sicuro”, nella quale vengono richiesti dati sensibili come il nome del titolare della carta, il numero della carta stessa e la data di scadenza e codice di sicurezza (CVV/CVC).

Se l’utente prosegue con il pagamento, la pagina si chiude e la sessione viene reindirizzata verso una pagina esterna legittima.

Se invece viene scelta dell’utente è PayPal, si viene indirizzati verso un form di accesso che, dopo l’inserimento delle credenziali, mostra un messaggio di errore e una nuova form che richiede i dati della carta di pagamento.

L’avviso è stato emesso da ACN che riporta attenzione su questo genere di attacchi. Nello specifico, per mitigare la minaccia, si consigliano periodiche sessioni di formazione per riconoscere il fenomeno del phishing e diffidare dalle comunicazioni inattese che richiedono pagamenti urgenti.

È sempre fondamentale verificare che un sito internet sia legittimo prima di inserire i dati personali o finanziari, occorre controllrlo attentamente  attraverso gli elementi identificativi della pagina come la correttezza del dominio sul quale si è atterrati. 

Luigi Zullo

Ricercatore di sicurezza informatica con esperienza nell’analisi delle vulnerabilità, nella mitigazione del rischio cyber, nelle attività di red teaming ed ethical hacking e nella protezione di sistemi complessi. Specializzato in penetration testing e Threat Intelligence, contribuisce al rafforzamento della resilienza digitale di infrastrutture e reti aziendali.

Aree di competenza: Penetration Testing, Threat Intelligence, Red Teaming, Vulnerability Assessment, Incident Response