Ils sont en cours Campagnes de phishing sur le thème des cryptomonnaies qui exploitent frauduleusement le nom, le logo et les graphiques de l'Agence des revenus. Le but est toujours de voler des informations financières et patrimoniales aux victimes. Le fil rouge, rapportent le CERT-AGID et l'Agence du revenu, est le caractère obligatoire présumé d'une déclaration de possession de crypto-actifs numériques, parfois accompagnée de rappels d'échéances imminentes pour induire l'urgence chez la victime.
Le phishing s'adapte aux réponses
Parmi les campagnes de phishing identifiées, il en existe une particulièrement complexe qui intègre des techniques hameçonnage Et vishing Et il s'adapte dynamiquement aux réponses fournies par la victime. Vishing (contraction de phishing vocal) indique une technique de fraude dans laquelle l'attaquant incite la victime, via une communication vocale, à révéler des données sensibles, des codes de sécurité ou à effectuer des paiements. Et à la fin de l'arnaque, si la victime répondait à toutes les sollicitations qu'elle recevait, il finit par contacter par téléphone un soi-disant « bureau de vérification des actifs » qui achèvera l’arnaque.
La campagne, explique donc la structure de l'Agence pour l'Italie Numérique, « se distingue par l'adaptabilité du flux : le formulaire modifie dynamiquement les champs obligatoires en fonction du profil financier déclaré par la victimemaximiser la collecte de données sensibles à la fois dans la portée crypto que les banques traditionnelles. L'escalade vers vishing via un écran « erreur technique » avec numéro de téléphone représente un élément d'évolution tactique par rapport aux campagnes de phishing classiques sur le même thème ».
La fausse forme
Mais comment est structurée l’arnaque ? La campagne amène la victime vers un site qui imite le portail institutionnel de l'Agence du revenu. Dans un premier temps, la victime est invitée à saisir son propre Code d'identification fiscale Et numéro de téléphone téléphone portable via un module qui appelle les systèmes d'authentification de l'Agence. Par la suite, l'utilisateur accède à un formulaire de déclaration adaptatif dans lequel un code fiscal renseigné et un statut «En attente de vérification des actifs», pour simuler un dossier déjà ouvert contre lui.
Le formulaire demande ensuite si la victime utilise portefeuille ou échange de crypto-monnaie. En fonction de la réponse, le flux bifurque :
- s'il répond Ouile portefeuille/échange utilisé, la date du dernier dépôt et la valeur estimée des actifs de crypto-monnaie sont demandés ;
- s'il répond Nonle nom de l'institution bancaire (par exemple Intesa Sanpaolo, Unicredit) et le dernier solde du compte courant en euros sont demandés.
La fausse erreur et la demande d'appel
Après l'envoi, la victime voit un écran qui simule un erreur de synchronisationau motif que les données fournies ne seraient pas cohérentes avec le registre fiscal. La page met en garde contre le risque de «émission automatique d'un avis de cotisation » et « gel préventif des avoirs« , Et invite la victime à appeler un numéro présenté comme «Bureau de vérification de Milan« .
C'est à ce moment-là que le phishing se transforme en vishing: la victime, déjà en état d'alerte, est incitée à contacter par téléphone l'acteur malveillant pour finaliser l'arnaque.
Focus sur le phishing
L'Agence du revenu a désavoué ces communications par rapport auquel il est complètement étranger. Et il recommande d’accorder une attention maximale et de supprimer immédiatement les e-mails similaires. En cas de doute sur la véracité d'une communication reçue de l'Agence, il est conseillé d'effectuer une vérification préalable en consultant la page « Focus sur le phishing » du portail institutionnel de l'Agence, ou en contactant les contacts toujours disponibles sur le portail institutionnel www.agenziaentrate.gov.it ou directement au bureau territorialement compétent.
Voir l’article original en italien
