Negli ultimi giorni i Threat Intelligence Team di D3Lab hanno rilevato diverse campagne di phishing che sfruttano illecitamente il brand EasyPark, nota applicazione per il pagamento e la gestione della sosta tramite smartphone, disponibile in oltre 20 Paesi.

Le campagne non colpiscono l’infrastruttura del servizio, ma utilizzano il marchio EasyPark per truffare gli utenti, inducendoli a fornire dati di pagamento e informazioni personali sensibili.

Come si presenta la truffa

La frode viene veicolata tramite email che simulano comunicazioni ufficiali del servizio.

I messaggi informano l’utente di un presunto pagamento mensile non riuscito, invitandolo ad aggiornare il metodo di pagamento per evitare sanzioni o l’interruzione del servizio.

Il layout grafico riprende colori, logo e stile comunicativo del servizio, aumentando la credibilità del messaggio.

Infrastruttura della campagna

Tra il 6 e il 10 marzo sono state rilevate almeno 6 campagne distinte, caratterizzate da:

• utilizzo di domini typosquatting creati ad-hoc (es. varianti del brand EasyPark)
• uso di short URL differenti per ogni invio
• impiego di sottodomini dinamici

Questa tecnica consente ai criminali di:

• aggirare più facilmente blocklist e sistemi di sicurezza email
• prolungare la durata della campagna
• aumentare il numero di potenziali vittime.

La catena di phishing: cosa succede dopo il click

Cliccando sul pulsante “Aggiorna Metodo di Pagamento”, l’utente viene reindirizzato su un sito fraudolento che simula l’area personale EasyPark.

La truffa si sviluppa in più fasi, progettate per raccogliere progressivamente informazioni sempre più sensibili.

Fase 1: furto dei dati della carta di pagamento

La vittima viene informata che:

• i metodi di pagamento associati all’account sono stati rimossi
• risulta un presunto importo da saldare pari a 3,99 euro

Per regolarizzare la situazione, l’utente viene invitato ad inserire:

• numero della carta
• data di scadenza
• CVV
• nome del titolare.

In realtà, i dati non vengono utilizzati per saldare il piccolo importo indicato, ma vengono raccolti dai criminali per effettuare successivi addebiti fraudolenti, spesso di importo ben superiore.

Fase 2: raccolta dei dati personali e dei documenti

Successivamente la campagna introduce una seconda leva psicologica.

All’utente viene proposta una verifica dell’identità con promessa di un bonus di 35 euro accreditato nel wallet EasyPark.

In questa fase vengono richiesti:

• nome e cognome
• data di nascita
• indirizzo email
• numero di cellulare

Segue poi una simulazione di procedura KYC con richiesta di caricamento del documento di identità.

Per rendere la pagina più credibile, i criminali sfruttano anche il brand di Veriff, società internazionale specializzata nella verifica dell’identità digitale.

Perché questa campagna è particolarmente pericolosa e come difendersi

Questa campagna di phishing risulta particolarmente efficace perché combina diverse leve psicologiche e tecniche di social engineering. Da un lato viene generata una sensazione di urgenza legata alla presenza di un presunto debito da saldare, dall’altro viene proposta una ricompensa economica sotto forma di bonus, mentre la richiesta di verifica dell’identità viene presentata come un obbligo necessario per continuare ad utilizzare il servizio. Questo approccio consente ai criminali di accompagnare progressivamente la vittima lungo un percorso strutturato, durante il quale vengono raccolti dati sempre più sensibili.

Attraverso le diverse fasi della frode, gli attaccanti riescono infatti ad ottenere informazioni complete sulle carte di pagamento, dati anagrafici, numeri di telefono e persino copie dei documenti di identità. Un insieme di informazioni così ampio può essere successivamente sfruttato per effettuare frodi finanziarie, realizzare furti di identità, attivare servizi in modo fraudolento o pianificare ulteriori attacchi di social engineering mirati.

Per ridurre il rischio di cadere in truffe di questo tipo è fondamentale mantenere sempre un approccio prudente. È buona norma verificare attentamente il dominio dei siti visitati, evitare di inserire dati personali o bancari dopo aver cliccato su link ricevuti via email e accedere ai servizi solo tramite l’app ufficiale o digitando manualmente l’indirizzo nel browser. Occorre inoltre diffidare di comunicazioni che creano un senso di urgenza o che promettono vantaggi economici immediati, poiché spesso rappresentano uno degli indicatori più comuni delle campagne di phishing.

IoC

Alcuni Indicatori di Compromissione sfruttati per veicolare la frode:

1. it-easypaga[.]com
2. easypark[.]it[.]factura-cdn[.]com
3. easypark[.]inicia-paga[.]com
4. it-easypago[.]com
5. it-agency[.]anasbabachebri[.]workers[.]dev
6. vh15340[.]vh[.]net[.]pl