Pubblica Amministrazione, hacker rubano stipendi e tredicesime

Attacco informatico contro il portale “NoiPa”. Utilizzata la tecnica del pishing. Ancora non è chiaro quanti siano i dipendenti della Pubblica Amministrazione colpiti. E potrebbero non essere rimborsati.

Stipendi e tredicesime svaniti, senza che – al momento – si possa fare nulla per recuperarli. E’ successo ad un numero ancora imprecisato di dipendenti della pubblica amministrazione: a derubarli, ignoti hacker che hanno colpito attraverso il portale NoiPa. Che cos’è NoiPa? Si tratta di una piattaforma attraverso la quale il ministero dell’Economia e delle Finanze gestisce gli stipendi della pubblica amministrazione.

Un sistema automatizzato, attraverso il quale i dipendenti della ampia e complessa macchina amministrativa pubblica gestiscono i loro rapporti economici e fiscali con il “datore di lavoro”: cedolini, estratti conto e sopratutto lo stato dei pagamenti. La vicenda ha inizio con una segnalazione a parte della Polizia Postale: sarebbero stati letteralmente “rubati” gli account di alcuni dipendenti. La truffa è scattata attraverso una tecnica di truffa online, il “phishing”: una mail in tutto e per tutto identica a quelle originali del portale che chiedeva la modifica di dati personali o di accesso. Questa almeno è l’ipotesi degli inquirenti: una serie ancora non definibile di “mail trappola” che, in alcuni casi, sono andate a segno.

Qualche dipendente, probabilmente, ha fornito i dati di accesso e permesso ai truffatori di modificare i riferimenti personali: in particolare l’IBAN ed il numero di telefono. Se, ad esempio, un dipendente cambia banca, è proprio attraverso il portale NoiPa che comunica la modifica all’amministrazione di competenza. Tutto online, tutto automatico. La conferma dell’identità avviene, appunto, attraverso il numero di telefono: una chiamata di sicurezza, anche essa gestita da sistemi informatici.

La truffa di Natale sarebbe scattata, secondo quanto riferisce la Polizia Postale, a metà dicembre: forse non è un caso che il 19 del mese su NoiPA sia comparso l’avviso “Temporanea indisponibilità del self service Gestione modalità di riscossione”. Ad indagare sull’accaduto la Procura di Roma. E per chi ha subito la truffa, potrebbe arrivare un’ulteriore cattiva notizia: essendo lo stesso utente a fornire, pur se attraverso un raggiro, i propri dati, esiste la possibilità che non ci sia il rimborso del maltolto. E’ successo ad esempio ai possessori di PostePay: chi ha fornito i propri dati per mezzo di sms o mail fraudolente e si è visto prosciugare il conto, non ha potuto rivolgersi alle Poste. Non c’è la responsabilità diretta dell’ente che eroga il servizio: oltre il danno la beffa.

Alessio Ramaccioni