“Non hai pagato l’autostrada”: la nuova truffa di WhatsApp ruba i dati e svuota i conti correnti

Prima arriva un messaggio su WhatsApp che comunica il mancato pagamento di un pedaggio autostradale. Il mittente è sconosciuto, ma il link allegato riporta a una pagina che sembra appartenere ad Autostrade per l'Italia. A questo punto si viene indotti a compilare un form per saldare il debito e, soprattutto, evitare una multa che aumenterebbe notevolmente l'importo da pagare. Una volta completata l'operazione però, tutti i dati inseriti, incluse le credenziali bancarie, vengono rubati e i malintenzionati possono saccheggiare il conto corrente prima che la vittima possa accorgersi del raggiro. Funziona così la nuova truffa segnalata dalla Polizia Postale che ricorre ai più classici metodi di phishing per sottrarre soldi e dati sensibili a chi casca nella trappola.

Le subdole strategie della truffa del pedaggio

La dinamica segue uno schema preciso. La vittima riceve un messaggio con un testo che avvisa di un mancato pagamento e utilizza formule allarmistiche – come "regolarizza subito" oppure "evita sanzioni" – pensate proprio per stimolare una risposta impulsiva. Chi riceve una simile comunicazione viene così persuaso a pagare subito per sfuggire a ulteriori sanzioni, senza pensarci troppo.

Nel messaggio compare anche un link che conduce a un sito contraffatto, progettato per imitare in ogni dettaglio il portale ufficiale di Autostrade per l'Italia. Qui si consuma la truffa in due passaggi: inizialmente viene chiesta la targa del veicolo, un elemento che rende più credibile la comunicazione. In un secondo momento il sistema invita a inserire i dati della carta di credito, compresi numero, data di scadenza e codice CVV. A quel punto le credenziali finiscono direttamente nelle mani dei criminali informatici, che possono utilizzarle immediatamente o rivenderle sui circuiti illegali.

Anche la scelta di WhatsApp non è casuale. La chat di messaggistica consente infatti di eludere i filtri anti-spam applicati alle mail o ai vari operatori telefonici. Non solo. Poiché WhatsApp viene usata quotidianamente da milioni di persone, il fatto di ricevere un messaggio attraverso questo canale suggerisce istintivamente un mix tra familiarità e urgenza che abbassa l'allerta della vittima e la spinge ad acconsentire alla richiesta per levarsi rapidamente di torno la scocciatura.

Come evitare di cadere nella trappola

Sia la Polizia di Stato che Autostrade per l'Italia ricordano che le comunicazioni ufficiali relative a pedaggi non pagati non avvengono mai inviate tramite WhatsApp, SMS o email con link per un pagamento immediato. Eventuali verifiche devono essere effettuate esclusivamente attraverso il sito o l'app ufficiale dell'azienda. Preso atto di ciò, è ben più facile ricordarsi di non compiere azioni avventate quando veniamo contattati con queste modalità, anche se il messaggio sembra credibile.

Ci sono  poi alcuni segnali che aiutano a fiutare il pericolo prima che sia troppo tardi. Il primo riguarda ovviamente il mittente: i messaggi provengono spesso da numeri esteri o comunque sconosciuti. Il secondo elemento è poi la forma stessa del messaggio. Al di là del tono perentorio, è sempre bene prendersi qualche momento per osservare con attenzione i link e le vesti grafiche delle comunicazioni. Link troncati o domini che presentano numeri e/o segni strani sono sempre molto sospetti.

Cosa fare se si è caduti nella frode

Se il link è stato aperto ma non sono stati inseriti dati personali, non è successo nulla di male. La Polizia Postale raccomanda di bloccare immediatamente il numero, non rispondere più al messaggio e segnalare l'accaduto tramite il portale del Commissariato di P.S. Online. Se invece sono stati comunicati dati bancari o è stato effettuato un pagamento, è molto importante  contattare subito la propria banca per bloccare la carta, modificare le password degli account collegati e sporgere denuncia presso la Polizia Postale. Le credenziali rubate possono infatti essere utilizzate o rivendute nel giro di poche ore. La velocità di reazione può impedirci di trovarci con il conto svuotato e i nostri dati diffusi chissà dove.