Una mail arriva sull’indirizzo aziendale o sulla PEC. Ha il logo del Registro Imprese. Il mittente finisce in registroimprese.it. L’oggetto dice che c’è una pratica amministrativa da firmare, e che ci sono 72 ore prima che scattino le sanzioni.
Non è vera. È una campagna di phishing in corso da settimane, e diverse Camere di Commercio hanno pubblicato avvisi ufficiali per fermarla: Messina il 30 luglio, la Camera Toscana Nord Ovest a fine mese, e prima ancora Padova, Trapani, Sassari.
Vale la pena parlarne per una ragione precisa: qui non c’è nessun errore da parte di chi ci casca.
Perché questa funziona meglio delle altre
Le regole che ci hanno insegnato tutti — guarda il mittente, controlla gli errori di ortografia, diffida di chi ti scrive dal nulla — in questo caso non servono a niente.
Il mittente sembra istituzionale perché è costruito per esserlo: gli avvisi camerali riportano indirizzi come support@pminnovative.registroimprese.it e fattura@dire.registroimprese.it, e un finto “InfoCamere S.C.p.A.” come firma. L’italiano è corretto. Il logo è quello autentico, preso dal sito vero.
E soprattutto: la richiesta è plausibile. Le pratiche camerali esistono davvero. Le scadenze esistono davvero. Firmare digitalmente un documento inviato dalla Camera di Commercio è una cosa che in azienda si fa. Non c’è niente di anomalo nella richiesta, solo nel mittente.
Una casella email compromessa serve a leggere la corrispondenza e a mandare altre truffe. Le credenziali della firma digitale valgono molto di più: consentono di sottoscrivere atti con lo stesso valore legale della firma autografa. Con quelle in mano si possono presentare pratiche al Registro Imprese, sottoscrivere contratti e modulistica, e in generale impegnare l'azienda verso terzi. È la differenza tra rubare la posta di qualcuno e rubargli la mano che firma.
Le due varianti in circolazione
Gli avvisi camerali ne descrivono due, con oggetti diversi.
La prima è una finta notifica di documento elettronico: oggetto sul tipo “Documento elettronico — Camera di Commercio”, con una richiesta di firma che imita l’interfaccia di un servizio di firma remota noto. Il messaggio chiede di accedere per visualizzare e sottoscrivere.
La seconda è più aggressiva: oggetto “richiesta firma pratica amministrativa”, tono formale, riferimento a un procedimento in corso e un termine di 72 ore, con la minaccia di sanzioni in caso di mancata risposta. È la variante costruita per far agire prima di pensare.
In entrambi i casi il percorso è lo stesso: un link porta a una pagina che chiede le credenziali di accesso, quelle della firma digitale o quelle dei servizi camerali.
La regola unica da dare in ufficio
Non serve insegnare a nessuno a riconoscere una mail falsa, perché questa non si riconosce. Serve una regola sola, secca, che vale sempre:
Nessuna pratica camerale si firma o si paga partendo da un link ricevuto via email.
Si apre il browser e si digita a mano l’indirizzo del Registro Imprese, oppure si accede dal portale che si usa di solito, oppure si telefona alla propria Camera di Commercio. Se la pratica esiste, la si trova lì. Se non c’è, non esiste.
La regola va data esplicitamente a chi gestisce la PEC e a chi sta in amministrazione, cioè alle persone che ricevono queste mail per prime e che sono abituate a evaderle in fretta perché è il loro lavoro.
E una seconda regola, altrettanto corta: le credenziali della firma digitale e dello SPID non si inseriscono mai su una pagina raggiunta da un’email. Mai, per nessun motivo, nemmeno se la pagina sembra quella giusta.
Se qualcuno le ha già inserite
Qui conta la velocità, non la ricostruzione di cosa è successo.
Cambiare subito la password dell’utenza usata, e di ogni altro servizio dove quella stessa password era stata riutilizzata. È il punto in cui il riutilizzo delle password presenta il conto.
Bloccare o revocare il dispositivo di firma digitale contattando il certificatore che l’ha rilasciato. Il numero è quello del fornitore del certificato, non della Camera di Commercio.
Avvisare la propria Camera di Commercio, che sta raccogliendo le segnalazioni sulla campagna, e conservare la mail ricevuta senza cancellarla: serve se occorrerà dimostrare cosa è arrivato e quando.
Controllare le visure della propria impresa nei giorni successivi, per verificare che non siano state presentate pratiche non richieste.
In breve
È in corso una campagna di phishing che imita il Registro Imprese e InfoCamere, con loghi autentici, mittenti costruiti per sembrare istituzionali e due varianti: una finta notifica di documento da firmare e una richiesta di firma di pratica amministrativa con termine di 72 ore. Diverse Camere di Commercio hanno pubblicato avvisi ufficiali, tra cui Messina il 30 luglio.
Il bersaglio non è la posta elettronica: sono le credenziali della firma digitale, che permettono di sottoscrivere atti a nome dell’impresa.
La regola da diffondere in ufficio è una sola: nessuna pratica camerale si firma partendo da un link ricevuto via mail. Si digita l’indirizzo a mano o si telefona alla Camera di Commercio.
Chi ha già inserito le credenziali deve cambiare la password, far bloccare il dispositivo di firma dal certificatore che l’ha rilasciato e controllare le visure nei giorni successivi.