Il phishing che conosciamo funziona così: arriva una mail, contiene un link, tu sei bravo e non ci clicchi. La campagna segnalata oggi da CERT-AGID, il team di risposta agli incidenti dell’Agenzia per l’Italia Digitale, salta interamente quel passaggio. Non c’è nessuna email da riconoscere. Ci arrivi da solo, cercando su Google il nome del sito che ti serve.
Il bersaglio è «Il Portale dell’Automobilista», il sito del Ministero delle Infrastrutture e dei Trasporti da cui passano visure sui veicoli, pratiche sulle patenti e verifiche sui punti. Un clone attivo su un dominio con estensione .org — al posto del legittimo .it — risulta indicizzato come secondo risultato quando si cerca il portale per nome.
Perché non te ne accorgi
Il clone non è fatto male. Riproduce fedelmente layout, loghi e menu di navigazione dell’originale, e — questo è il dettaglio che frega anche gli attenti — tutti i link di navigazione portano davvero al sito ufficiale. Se clicchi in giro per controllare, ti ritrovi sulle pagine vere del Ministero. È una tecnica precisa per costruire fiducia: chi verifica in modo superficiale trova conferme, non anomalie.
L’unico elemento malevolo di tutta la pagina è un solo riquadro, dedicato alla verifica delle patenti rilasciate in un certo intervallo di date del 2021. Tutto il resto è autentico, o rimanda all’autentico.
Il clone rimanda al sito ufficiale del Ministero da ogni link di navigazione. La verifica istintiva — cliccare qua e là per vedere se il sito risponde — restituisce risposte legittime. L'unico punto malevolo e il modulo di verifica patenti: e li che i dati vengono raccolti.
Cosa raccoglie davvero
Qui c’è una differenza che vale la pena capire, perché cambia le contromisure. Questa campagna non chiede nome utente e password. Il modulo domanda tre cose: codice fiscale, numero della patente e data di scadenza della patente. Dopo l’invio compare un messaggio rassicurante del tipo «dato non trovato, controlla i valori inseriti» — mentre le informazioni sono già state sottratte.
Non essendoci credenziali di mezzo, non basta «cambiare la password» per chiudere la faccenda. Quei tre dati insieme valgono per il furto d’identità, per costruire il phishing successivo (molto più credibile, perché chi ti scrive conosce già il numero della tua patente) e per superare le verifiche secondarie usate da autoscuole, agenzie di pratiche auto e app regionali.
Il precedente noto a CERT-AGID girava su un dominio .net e catturava nome utente e password del portale. La campagna segnalata il 28 luglio 2026 gira su .org e raccoglie invece codice fiscale, numero e scadenza della patente. Stesso marchio imitato, bottino diverso, contromisure diverse.
Perché chi ha dei mezzi è più esposto
Non è una questione di ingenuità. È una questione di frequenza d’uso. Un artigiano con due furgoni, un’impresa edile, un impiantista, un’agenzia con le auto degli agenti: tutti aprono quel portale poche volte l’anno, quando serve una visura o scade una revisione. Proprio perché ci si va di rado, non è nei preferiti di nessuno, e il gesto naturale diventa cercarlo. È esattamente il comportamento su cui questa campagna è costruita.
Lo stesso schema — il risultato di ricerca come vettore, al posto della mail — sta diventando ricorrente: lo abbiamo visto poche settimane fa con il malware distribuito dai primi risultati sponsorizzati per il download di programmi comuni.
Se qualcuno in azienda ha già inserito i dati
CERT-AGID ha già diffuso gli indicatori di compromissione alle amministrazioni accreditate, chiesto al registrar la dismissione del dominio e segnalato il sito a Google per la rimozione dai risultati. Sono procedure che funzionano, ma richiedono giorni: fino ad allora quel secondo risultato resta lì, e nel frattempo l’unica difesa che dipende da te è il segnalibro.
Contenuto informativo di servizio. Per la gestione di un eventuale incidente che coinvolga dati di dipendenti, valuta con il tuo consulente privacy gli obblighi applicabili.