Un attacco hacker a una casella di posta elettronica di Villa Casati, per poi truffare cittadini, professionisti e imprese chiedendo pagamenti fraudolenti e non dovuti.
L’allarme è stato lanciato martedì dallo stesso Comune di Muggiò, che ha diramato una nota ufficiale rispetto ad «un accesso abusivo verificatosi fra le ore 12.14 e le ore 12.46 del 28/09/2026 ad una casella di posta elettronica istituzionale dell’Ente», in seguito al quale «è stato accertato l’invio di e-mail fraudolente verso destinatari esterni».
Muggiò, attacco hacker alla mail del Comune: cos’è successo
Si tratta di mail inviate dall’indirizzo finotti@comune.muggio.mb.it alle ore 12.28, avente come oggetto “Avviso di pagamento” e riportavano, appunto, un presunto avviso di pagamento relativo a una fattura, con l’indicazione di un importo e di un riferimento bancario, e con cui contestualmente invitavano il destinatario a consultare un altrettanto presunta ricevuta di pagamento mediante collegamento ipertestuale. I messaggi, inoltre, riportavano il logo del Comune di Muggiò, oltre alle generalità del Funzionario Responsabile del Servizio Tributi, «utilizzati indebitamente per conferire credibilità alla comunicazione».
Dagli accertamenti che sono stati effettuati, è emerso che l’hacker ha acquisito una sessione di accesso alla casella di posta in questione e che ha inoltre configurato una regola di posta elettronica, finalizzata a deviare i messaggi di risposta verso una cartella diversa da quella di arrivo dell’account violato.
«Il Comune – si legge nella nota ufficiale – precisa che tali e-mail non sono state inviate nell’ambito di una legittima comunicazione istituzionale e devono pertanto essere considerate fraudolente».
Muggiò, attacco hacker alla mail del Comune: chi rischia?
Ma quali cittadini o aziende rischiano maggiormente il tentativo di truffa? In particolare, tutti coloro che hanno intrattenuto scambi di messaggi con la Responsabile del Servizio Tributi, nonché i professionisti, i centri di assistenza, i familiari e gli altri soggetti che hanno trasmesso documentazione alla medesima per lo svolgimento delle attività istituzionali connesse al Servizio.
Da questo punto di vista l’ambito temporale potenzialmente interessato è di circa sei anni, tra il 28 novembre 2020 e il 28 settembre 2026, corrispondente al periodo di operatività della casella di posta elettronica coinvolta: dalla verifica della documentazione allegata ai messaggi presenti nella casella di posta elettronica violata, risultano presenti copie di documenti di identità, coordinate bancarie (Iban), riferimenti catastali, dichiarazioni, istanze di rimborso e di rateizzazione, ricevute di pagamento. Le conseguenze potrebbero essere molteplici: da ulteriori tentativi di phishing o comunicazioni fraudolente, fino alla sottrazione delle credenziali eventualmente inserite nella pagina raggiunta attraverso il collegamento contenuto nel messaggio fraudolento, oltre a possibili tentativi di frode, anche economica.
Muggiò, attacco hacker alla mail del Comune: l’intervento di contenimento
Il Comune ha subito avviato gli interventi di contenimento e gli accertamenti tecnici, ha bloccato l’account, revocato le sessioni attive, ha disattivato la regola illecitamente creata nella casella e ha analizzato la postazione di lavoro interessata. L’attacco, inoltre, è stato oggetto di notifica al Garante per la protezione dei dati personali, di segnalazione volontaria all’Agenzia per la cybersicurezza nazionale (Csirt Italia) e di querela presso le competenti forze dell’ordine.
Il Comune ricorda, infine, che «le comunicazioni ufficiali inviate per il pagamento dei tributi comunali non contengono link a collegamenti ipertestuali» e nel dubbio di «verificarne la provenienza contattando il Comune di Muggiò, servizio Tributi attraverso i recapiti reperibili sul sito istituzionale, senza utilizzare numeri telefonici, indirizzi o collegamenti contenuti nel messaggio sospetto».
Muggiò, attacco hacker alla mail del Comune: cosa fare?
Cosa fare? Chi ha ricevuto il messaggio ma non ha aperto il collegamento deve semplicemente cancellarlo. A chi invece ha interagito cliccando sul link inserendo credenziali è raccomandato “di modificarle immediatamente, a partire da quelle dell’account di posta elettronica interessato, e di modificare anche eventuali password uguali o analoghe utilizzate per altri servizi“. Chi dovesse avere fornito dati bancari o effettuato pagamenti deve contattare “tempestivamente” la propria banca e le forze dell’ordine.