Fuga di dati della CSDD in Lettonia: come evitare le multe false

Nel fine settimana la Direzione lettone per la sicurezza stradale (CSDD, l'ente che immatricola le auto e rilascia le patenti) è stata violata. Il 18 agosto è emersa la portata: gli aggressori hanno estratto lo storico delle ricevute di pagamento, i dati di circa 1,2 milioni di persone e 200.000 aziende in 18 anni. Login e password sono intatti, non serve alcuna azione sull'account. Ma per ciò che è stato rubato, arriva un'ondata di messaggi falsi a nome della CSDD, e conviene prepararsi.

Cosa è uscito e perché è pericoloso

Nelle ricevute c'erano un codice personale o numero di registrazione, nome o ragione sociale, importo e data del pagamento, la targa e un indirizzo. Telefono ed e-mail non sono stati toccati, l'indirizzo a volte è incompleto. Sembra un noioso archivio di pagamenti, ma per un truffatore è un copione pronto: conosce il tuo nome, il tuo codice personale, la tua auto dalla targa e che hai pagato la CSDD. Un messaggio che ti saluta per nome e cita la tua targa batte il solito spam.

CERT.LV ha lanciato un avviso a parte sul codice personale. In Lettonia ti identifica in molti sistemi, perciò i criminali possono provare ad accedere con il tuo codice e sul telefono ti arriva una richiesta di conferma. Se non l'hai avviata tu, non confermarla.

Quali messaggi e telefonate arriveranno

I raggiri gireranno attorno alla tua auto e ai tuoi soldi, perché è questo che sanno. Varianti probabili:

• Multa falsa. "Hai una multa non pagata, salda tramite il link entro questa data, altrimenti more."
• Reintestazione. "La tua auto sta per essere intestata ad altri. Se non sei tu, annulla con urgenza tramite il link." La paura di perdere l'auto ti fa correre.
• Bollo annuale. "Scade il bollo annuale, paga online tramite il link con lo sconto di oggi."
• Revisione o patente. "Sta scadendo la revisione, prenota e paga tramite il link."
• Rimborso. "La CSDD ti rimborsa un pagamento in eccesso, inserisci i dati della carta." I rimborsi non si fanno mai così.
• Chiamata "dalla CSDD". Citano i tuoi dati reali per fiducia, poi chiedono un codice via SMS o un clic sul link.

Come proteggerti, passo per passo

1. Controlla ogni messaggio su multa, tassa, reintestazione o rimborso da solo su e.csdd.lv o nell'app CSDD. Non tramite un link, ma digitando l'indirizzo o aprendo l'app. La CSDD consiglia lo stesso.
2. Non aprire link nelle e-mail o negli SMS "dalla CSDD" e non inserirvi dati della carta o codici. Una multa vera è nel tuo account; un link non serve mai.
3. Non confermare un accesso o una firma se la richiesta arriva mentre non hai avviato nulla. Vale per Smart-ID, eParaksts e i push della banca: confermare su richiesta altrui fa entrare un estraneo.
4. Non dettare codici da SMS o push, anche se chi chiama conosce il tuo nome, il codice e la targa. Questi dati ora li hanno in molti e non provano chi chiama.
5. Nel dubbio riaggancia e chiama tu la CSDD, al numero da csdd.lv. Non richiamare mai il numero di un messaggio sospetto.
6. Attiva le notifiche di accessi e pagamenti nell'account e in banca. Così vedi per primo un addebito reale, non dall'e-mail di un estraneo.

Cosa è stato fatto e cosa non annulla

Il team IT della CSDD e CERT.LV hanno fermato l'attacco, la polizia indaga. Le prime informazioni parlano di un attacco pianificato e di un punto debole in un sistema raggiungibile da internet; si verifica se erano rispettati i requisiti per tali sistemi, compresi i test di penetrazione e l'autenticazione a più fattori. Per ora non risulta un uso dei dati. Ma restano per sempre agli aggressori, quindi la prudenza deve diventare un'abitudine, non una settimana: codice personale, nome e targa non cambiano, e i messaggi falsi costruiti su di essi possono arrivare tra mesi.