Il CERT-AgID ha segnalato una campagna di phishing che sfrutta il nome del Portale dell’Automobilista attraverso un sito clone creato per ingannare gli utenti e sottrarre informazioni.
La campagna utilizza il dominio illportaledelautomobilista[.]org, un indirizzo molto simile a quello ufficiale ilportaledellautomobilista.it. La somiglianza tra i due domini è stata studiata per confondere gli utenti meno attenti e rientra nella tecnica del typosquatting, una pratica con cui i criminali registrano domini simili a quelli legittimi per intercettare gli utenti.
Il falso portale nei risultati di ricerca
L’aspetto più rilevante della campagna è che il sito fraudolento è stato indicizzato nei motori di ricerca, arrivando tra i primi risultati di Google per ricerche relative al Portale dell’Automobilista. Questa tecnica (avvelenamento SEO) aumenta notevolmente l’efficacia dell’attacco, perché molti utenti tendono a fidarsi dei primi risultati mostrati dal motore di ricerca e potrebbero accedere al sito senza verificare attentamente l’indirizzo web.
La raccolta dei dati personali degli utenti
Il falso portale non si limita a replicare graficamente il servizio istituzionale, ma punta alla raccolta di informazioni personali degli utenti. Durante la procedura fraudolenta vengono richiesti dati come codice fiscale, numero della patente e data di scadenza della patente.
Queste informazioni, pur non rappresentando direttamente credenziali bancarie, hanno un valore elevato per i cybercriminali perché possono essere utilizzate per costruire profili dettagliati delle vittime e alimentare ulteriori attività fraudolente.
I dati raccolti possono infatti essere impiegati per realizzare campagne di phishing mirato, con messaggi personalizzati che sfruttano le informazioni ottenute per aumentare la credibilità della truffa. Un attaccante potrebbe, ad esempio, utilizzare i dati relativi alla patente o all’identità della vittima per creare comunicazioni apparentemente provenienti da enti pubblici, assicurazioni o servizi legati alla mobilità.
Le informazioni personali sottratte possono inoltre contribuire a tentativi di furto d’identità, soprattutto quando vengono incrociate con altri dati già disponibili provenienti da precedenti violazioni o fughe di informazioni. In alcuni casi, dataset contenenti informazioni personali vengono anche scambiati o venduti all’interno di forum e mercati clandestini presenti negli ambienti underground del cybercrime.
La campagna contro il Portale dell’Automobilista evidenzia quindi come il phishing moderno non sia finalizzato esclusivamente al furto immediato di password o dati finanziari, ma anche alla raccolta sistematica di informazioni personali utilizzabili per successive attività criminali.
Come difendersi
Si raccomanda di prestare particolare attenzione agli indirizzi web raggiunti tramite i motori di ricerca e di verificare sempre il dominio prima di inserire informazioni personali.
La campagna dimostra come il phishing continui ad evolversi non solo attraverso messaggi fraudolenti inviati via e-mail o SMS, ma anche attraverso la manipolazione dei risultati di ricerca, sfruttando tecniche di indicizzazione per portare siti malevoli direttamente davanti agli utenti.
Elementi tecnici rilevati
- Il dominio è stato registrato il 9 gennaio 2026.
- È ospitato su un’infrastruttura OVH con geolocalizzazione in Polonia.
- Utilizza un certificato HTTPS rilasciato da Let’s Encrypt un’autorità di certificazione gratuita.
- Il registrant del dominio è nascosto tramite un servizio di privacy WHOIS
Differenze nel nome del dominio
Dominio ufficiale: ilportaledellautomobilista.it
Dominio falso: illportaledelautomobilista[.]org
È stata aggiunta una “l” all’inizio (ill…), tolta una “l” sull’articolo partitivo (…delautomolibista) ed è stata cambiata l’estensione da .it a .org.
