È stata individuata una nuova e insidiosa campagna di phishing che sfrutta false fatture elettroniche inviate via PEC, spesso da caselle compromesse. L’obiettivo è ingannare gli utenti e indurli a scaricare file malevoli che possono compromettere il dispositivo.
Come funziona l’attacco
Il messaggio di posta elettronica contiene un allegato compresso che, una volta aperto, mostra un file in formato HTML.
- Su sistemi Windows, viene visualizzata una schermata apparentemente legittima con un pulsante “Scarica fattura”.
- Su altri sistemi operativi, invece, compare un messaggio di errore, rendendo l’attacco meno evidente.
Cliccando sul pulsante, l’utente viene reindirizzato a un sito malevolo da cui viene avviato il download di script PowerShell in grado di compromettere il computer.
Le tecniche utilizzate dai cybercriminali
Questa campagna si distingue per l’uso combinato di diverse tecniche di ingegneria sociale e offuscamento:
- Utilizzo della PEC compromessa, per aumentare la credibilità del messaggio;
- Allegati compressi, che nascondono il contenuto dannoso;
- Attivazione selettiva su Windows, per massimizzare l’efficacia dell’attacco;
- Link invisibili nel file HTML, generati dinamicamente solo al passaggio del mouse;
- Finta interfaccia di download, progettata per indurre l’utente al click.
Questi elementi rendono il phishing particolarmente difficile da riconoscere a una prima analisi.
Il rischio per gli utenti
Una volta eseguiti, gli script possono consentire ai cybercriminali di:
- compromettere il sistema informatico;
- ottenere accesso a dati sensibili;
- installare ulteriori malware;
- controllare da remoto il dispositivo infetto.
Le raccomandazioni dell’Agenzia delle Entrate
L’Agenzia delle Entrate, completamente estranea a queste comunicazioni, ribadisce alcune buone pratiche fondamentali:
- non aprire allegati sospetti;
- eliminare immediatamente le email dubbie;
- verificare sempre le comunicazioni sui canali ufficiali;
- consultare la sezione “Focus sul phishing” del sito istituzionale;
- contattare l’assistenza o gli uffici competenti in caso di dubbi.
La prudenza resta la prima difesa contro questo tipo di attacchi informatici sempre più sofisticati.