“Hai diritto a un rimborso della TARI”: la nuova truffa per rubare i dati della carta di credito

Il gancio è una mail istituzionale che comunica un pagamento in eccesso della TARI, la tassa sui rifiuti. Nel messaggio è presente un link che porta al portale PagoPA, dove il cittadino può effettuare la richiesta di rimborso. Prima però occorre una serie di dati personali, tra cui le credenziali della carta di credito. Qui scatta la trappola. Il sito è infatti una copia creata ad hoc per ingannare gli utenti e una volta terminata la procedura, i cybercriminali si trovano tra le mani le informazioni personali e gli accessi ai sistemi di pagamento delle vittime.

A lanciare l'allarme sull'ennesima campagna di phishing è CERT-AGID, l'agenzia che si occupa del supporto per la cybersicurezza all'interno della Pubblica Amministrazione. "Il CERT-AGID ha individuato siti malevoli che utilizzano nome, logo e grafica di PagoPA per sottrarre dati personali e informazioni relative alle carte di pagamento delle vittime", si legge nella nota diramata dall'ente.

Come funziona la truffa del finto rimborso TARI

Come in tutte le frodi che fanno leva sull'ingegneria sociale, la truffa punta su una leva credibile per abbassare le difese della vittima. In questo caso la pagina fake – la cui grafica è apparentemente identica a quella originale – comunica un errore nel conteggio del tributo e sfrutta la curiosità dell'utente per indurlo cliccare sull'icona "Continua con la richiesta". Una volta attratto nella rete, l'utente deve quindi inserire il proprio codice fiscale o il numero della carta d'identità. Dopo la verifica, il sito comunica puntualmente che l'utente può richiedere un rimborso di 95 euro, collegato a una pratica TARI del 2025 e a un pagamento indicato come effettuato il 28 agosto 2026.

A questo punto, invogliato a proseguire per ricevere la piccola somma, alla vittima comincia ad essere richiesti una serie di dati necessari al completamento dell'iter burocratico: nome, cognome, indirizzo, CAP, Comune, provincia, regione, numero di cellulare ed email. Una volta lavorati ai fianchi, ecco però l'ultima richiesta per mettere le mani sul bottino più prezioso. Prima di inviare la richiesta di pagamento è infatti necessario aggiungere al form il numero della carta di credito, con nome e cognome del titolare, e il codice CVV.

Cosa succede una volta inseriti i dati

Nel momento in cui l'utente termina la procedura e preme "Invio", i cyber-criminali si trovano in possesso di tutte le informazioni utili per poter effettuare pagamenti online usando la carta di credito della vittima. Non solo. Tutti i dati personali inseriti possono esser venduti o sfruttati dagli stessi malviventi per orchestrare nuove frodi usando l'identità e i riferimenti dei truffati.

Come evitare di farsi ingannare dalla truffa del rimborso fake

I messaggi e le mail inviate alle potenziali vittime sono costruiti per apparire credibili e affidabili. Ci sono però alcuni accorgimenti che possono aiutare a non essere tratti in inganno. Innanzitutto, è importante non inserire mai  credenziali, dati bancari o informazioni della carta su pagine raggiunte attraverso link contenuti in email o messaggi sospetti e verificare sempre la comunicazione attraverso i canali ufficiali dell'ente.

Inoltre è bene ricordarsi che i Comuni non effettuano automaticamente il rimborso della TARI pagata in eccesso o non dovuta. La richiesta deve essere presentata dal cittadino entro cinque anni dal pagamento, tramite raccomandata A/R, PEC o consegna a mano. Niente mail standard o messaggi via WhatsApp o simili. Il rimborso inoltre quindi avvenire tramite bonifico oppure mediante compensazione con pagamenti successivi.