Un SMS apparentemente innocuo, ma in realtà una truffa
Arriva sul cellulare un messaggio breve, scritto in modo credibile: avvisa di un pedaggio non pagato sull’autostrada Pedemontana, con un importo contenuto — appena 6,95 euro — e l’invito a saldare entro 24 ore per evitare sanzioni. C’è anche un link che sembra rimandare al sito ufficiale della concessionaria. Tutto sembra plausibile, tutto sembra reale.
In realtà non lo è. Quello che molti automobilisti stanno ricevendo in queste ore — tra cui potenzialmente anche conducenti ticinesi che hanno transitato sulla Pedemontana Lombarda, l’autostrada senza caselli che collega le province di Como e Varese — è un tentativo di phishing particolarmente elaborato. L’obiettivo non è incassare quei pochi euro, ma ben altro.
Cos’è la Pedemontana e perché proprio questa autostrada
La Pedemontana Lombarda è un’infrastruttura autostradale che attraversa il territorio a nord di Milano, collegando l’area varesina con quella bergamasca, passando per Como. È una tratta utilizzata anche da molti frontalieri e da viaggiatori svizzeri che si spostano verso il capoluogo lombardo o verso altri centri della regione.
Il sistema di pedaggiamento è elettronico e privo di caselli fisici, il che rende in teoria plausibile ricevere una comunicazione successiva al transito nel caso in cui il pagamento non fosse andato a buon fine. È proprio questa caratteristica — la plausibilità del contesto — che i truffatori sfruttano per aumentare le probabilità che l’utente abbocchi.
Come funziona la truffa: il sito clone e il furto di dati
Il meccanismo del raggiro è strutturato in più fasi e risulta più sofisticato rispetto a molte altre campagne di phishing viste negli ultimi anni. Ecco come si articola:
- L’utente riceve un SMS con un testo convincente, che cita un importo modesto e una scadenza ravvicinata per il pagamento.
- Nel messaggio è presente un link cliccabile che porta a una pagina web costruita appositamente per imitare il portale ufficiale di Pedemontana.
- Il sito clone riproduce loghi, grafica e sezioni tipiche del sito reale, risultando difficile da smascherare a un primo sguardo.
- Una volta sulla pagina falsa, l’utente viene guidato verso un modulo di pagamento dove viene invitato a inserire i propri dati bancari o quelli della carta di credito.
- Quei dati, una volta immessi, finiscono direttamente nelle mani dei cybercriminali.
La somma richiesta è volutamente bassa: abbastanza da non destare sospetti, ma abbastanza concreta da spingere a pagare senza pensarci troppo. L’importo, in ogni caso, è solo il pretesto. Il vero bottino è l’accesso ai dati di pagamento dell’utente, che possono essere riutilizzati per transazioni fraudolente ben più onerose.
Come riconoscere il tentativo di phishing
Distinguere un SMS truffaldino da una comunicazione legittima non è sempre immediato, ma ci sono alcune precauzioni che possono fare la differenza.
- Non cliccare mai direttamente sul link contenuto nell’SMS, anche se l’indirizzo sembra corretto a prima vista.
- Se si ritiene di aver effettivamente transitato sulla Pedemontana e si vuole verificare la propria posizione debitoria, è consigliabile digitare manualmente l’indirizzo del sito ufficiale nel browser oppure contattare direttamente i canali ufficiali della concessionaria.
- Confrontare l’URL presente nel messaggio con quello che appare sui motori di ricerca cercando il sito ufficiale: spesso nei casi di phishing ci sono piccole variazioni nell’indirizzo web — una lettera diversa, un dominio alternativo, un suffisso insolito — che tradiscono la natura fraudolenta della pagina.
- Diffidare sempre dei messaggi che impongono scadenze urgenti e che combinano importi bassi con toni allarmistici.
Cosa fare se si è già inseriti i propri dati
Se per qualsiasi motivo si è già proceduto a cliccare sul link e a compilare il modulo con i dati della propria carta o del conto corrente, è fondamentale agire con rapidità. Ogni ora di ritardo può aggravare le conseguenze.
- Contattare immediatamente la propria banca o l’istituto emittente della carta di credito, spiegando l’accaduto.
- Valutare con l’operatore il blocco preventivo della carta o della modalità di pagamento compromessa.
- Monitorare con attenzione i movimenti sul conto nelle ore e nei giorni successivi.
- Segnalare l’episodio alla Polizia Postale o alle autorità competenti nel proprio Paese di residenza.
Un fenomeno in crescita che colpisce anche oltre confine
Episodi di questo tipo si stanno moltiplicando su scala europea, con campagne phishing sempre più mirate e tecnicamente raffinate. L’utilizzo di infrastrutture autostradali — spesso gestite con sistemi di telepedaggio — come pretesto per raggiri informatici è una tendenza già documentata in diversi Paesi.
Il fatto che il messaggio possa aver raggiunto anche utenti svizzeri non sorprende: la Pedemontana è frequentata da chi vive nel Canton Ticino o nelle aree di confine e si sposta regolarmente verso Milano e la Lombardia. L’incrocio tra mobilità transfrontaliera e criminalità informatica rende questa tipologia di truffa particolarmente insidiosa per chi vive e lavora tra Italia e Svizzera.
La regola d’oro: nel dubbio, non pagare e non fornire dati
La sintesi di tutta la vicenda si può racchiudere in un principio semplice ma efficace: di fronte a qualsiasi richiesta di pagamento non attesa ricevuta via SMS, è sempre meglio fermarsi e verificare prima di agire. Nessun ente serio impone pagamenti urgenti tramite link inviati per messaggio, e nessuna cifra è abbastanza bassa da giustificare la condivisione dei propri dati bancari su una pagina di dubbia provenienza.
La prudenza, in questo caso, è davvero la miglior forma di tutela.
