🛡️ Executive Summary
- Un sito contraffatto del Portale dell’Automobilista è comparso come secondo risultato nella ricerca Google dedicata al servizio.
- Il dominio usa il typosquatting e sottrae codice fiscale, numero della patente e data di scadenza attraverso un falso controllo.
- CERT-AGID ha chiesto la dismissione del dominio, segnalato il risultato a Google e informato il Ministero dei Trasporti.
Un sito di phishing che riproduce Il Portale dell’Automobilista è riuscito a posizionarsi tra i primi risultati di Google, comparendo immediatamente sotto il servizio ufficiale del Ministero delle Infrastrutture e dei Trasporti. Il dominio contraffatto modifica lievemente il nome originale e sostituisce l’estensione italiana con .org, offrendo una copia credibile del portale pubblico. La pagina invita gli utenti a verificare alcune patenti e sottrae codice fiscale, numero del documento e data di scadenza. Il caso mostra come la visibilità ottenuta su un motore di ricerca possa trasformare un semplice clone in una trappola credibile anche per utenti prudenti.
Cosa leggere
Il sito falso compare subito sotto quello del Ministero
Il CERT-AGID ha individuato il dominio illportaledelautomobilista[.]org, costruito per imitare il legittimo ilportaledellautomobilista.it. La differenza consiste in una lettera aggiuntiva nel nome e nell’uso dell’estensione .org, elementi che possono sfuggire durante una consultazione rapida. Al momento della segnalazione, cercando su Google “il portale dell’automobilista”, il sito fraudolento compariva come secondo risultato, subito dopo quello ufficiale. La posizione elevata rappresenta il principale fattore di rischio della campagna: molti utenti considerano implicitamente affidabili i primi collegamenti restituiti dal motore di ricerca, soprattutto quando cercano un servizio pubblico già conosciuto. Non risulta che il clone fosse promosso attraverso un annuncio sponsorizzato; la pagina era invece riuscita a entrare nei risultati organici, probabilmente sfruttando contenuti, struttura e parole chiave coerenti con il portale originale. Il caso dimostra che il ranking non costituisce una verifica di autenticità e che anche un sito malevolo può ottenere temporaneamente una forte esposizione.
Il clone copia quasi interamente il portale ufficiale
La pagina fraudolenta riproduce layout, loghi, menu e impostazione grafica del sito istituzionale. La maggior parte dei collegamenti presenti rimanda realmente alle pagine del Portale dell’Automobilista, una scelta studiata per ridurre gli elementi anomali: chi prova a consultare una voce del menu viene trasferito su contenuti autentici e può convincersi che l’intero dominio appartenga al Ministero.
Un solo riquadro svolge la funzione malevola. Il box propone la “Verifica Patenti Rilasciate dal 22 al 26 Aprile 2021”, richiamando un servizio effettivamente offerto in passato e quindi plausibile agli occhi dell’utente. La tecnica non punta sulla quantità di pagine false, ma sulla costruzione di una cornice quasi completamente legittima intorno a un unico modulo di raccolta. Una strategia simile era stata osservata nel falso portale del Ministero dell’Interno utilizzato per sottrarre dati sui permessi di soggiorno, dove l’imitazione dell’autorità pubblica riduceva la diffidenza e aumentava la disponibilità a inserire informazioni personali.
Il modulo sottrae i dati della patente
Il falso servizio richiede codice fiscale, numero della patente e data di scadenza. Dopo l’invio, la pagina visualizza il messaggio “Dati non trovati. Verifica i campi inseriti”, simulando un normale errore di consultazione e impedendo alla vittima di comprendere immediatamente che le informazioni sono state registrate. Il set sottratto non consente automaticamente di accedere a ogni servizio pubblico, ma possiede un valore operativo significativo. Codice fiscale e dati della patente possono essere utilizzati per costruire frodi più credibili, superare controlli identificativi deboli o preparare comunicazioni successive relative a rinnovi, punti, multe e pratiche automobilistiche.
Gli aggressori possono inoltre combinare le informazioni con numeri telefonici, indirizzi email o dati provenienti da precedenti violazioni, trasformando una scheda incompleta in un profilo utilizzabile per impersonare la vittima. Il CERT-AGID segnala anche il possibile impiego contro servizi di autoscuole, agenzie di pratiche automobilistiche e applicazioni regionali che adottano questi dati come forma di verifica secondaria.
Il typosquatting sfrutta una lettura superficiale del dominio
La campagna utilizza una forma classica di typosquatting, basata sulla registrazione di un dominio quasi identico a quello autentico. In questo caso l’aggiunta di una seconda “l” nella parola “il” produce illportale, differenza poco evidente quando l’indirizzo viene letto velocemente o mostrato su uno schermo mobile. Il passaggio da .it a .org contribuisce ulteriormente alla confusione perché entrambe le estensioni possono apparire compatibili con un servizio informativo o istituzionale. Il problema non riguarda soltanto gli utenti inesperti: quando il collegamento è collocato subito sotto il risultato ufficiale e la pagina riproduce correttamente marchio e navigazione, anche una persona abituata a riconoscere email sospette può abbassare l’attenzione. La dinamica conferma quanto descritto nell’approfondimento sul typosquatting come strumento per imitare domini, marchi e servizi legittimi: l’efficacia non dipende dalla perfezione tecnica del sito, ma dalla capacità di inserire una variazione minima in un contesto che l’utente considera già affidabile.
I dati possono alimentare una seconda frode più credibile
Il furto non deve essere valutato soltanto sulla base del modulo iniziale. Chi possiede numero e scadenza della patente, insieme al codice fiscale, può inviare successivamente SMS o email personalizzate che citano dati reali e quindi appaiono molto più convincenti. La vittima potrebbe ricevere una falsa comunicazione sul rinnovo, sulla perdita di punti, su una sanzione o su una verifica richiesta dal Ministero, venendo indirizzata verso un secondo sito destinato a sottrarre credenziali SPID, dati bancari o pagamenti. Il primo phishing funziona quindi come una fase di raccolta e qualificazione delle vittime, non necessariamente come il momento conclusivo della frode. Lo stesso meccanismo è visibile nelle campagne di smishing INPS che utilizzano importi e messaggi differenti per misurare la reazione degli utenti: una comunicazione costruita intorno a informazioni plausibili o già note aumenta la probabilità che il destinatario completi il passaggio successivo senza verificare il mittente.
CERT-AGID chiede la rimozione del dominio e del risultato
Il CERT-AGID ha distribuito gli indicatori di compromissione alle pubbliche amministrazioni accreditate, richiesto al registrar la dismissione del dominio, segnalato a Google la natura fraudolenta del sito e informato il Ministero delle Infrastrutture e dei Trasporti. La segnalazione dedicata al falso Portale dell’Automobilista non attribuisce la campagna a uno specifico gruppo e non indica quante persone abbiano inviato i propri dati prima dell’intervento. Chi ha utilizzato il modulo dovrebbe considerare compromesse le informazioni inserite, conservare eventuali schermate, prestare attenzione alle comunicazioni successive e verificare direttamente sui portali ufficiali qualsiasi richiesta relativa alla patente. La vicenda mostra soprattutto un limite pratico della ricerca online: un risultato collocato in alto su Google può essere pertinente alla query senza essere autentico, mentre la somiglianza grafica e i collegamenti verso pagine legittime possono rendere inefficace una verifica basata soltanto sull’aspetto del sito.
Iscriviti alla Newsletter
Non perdere le analisi settimanali: Entra nella Matrice Digitale.
Matrice Digitale partecipa al Programma Affiliazione Amazon EU. In qualità di Affiliato Amazon, ricevo un guadagno dagli acquisti idonei. Questo non influenza i prezzi per te.
