Una pyme italiana recibe lo que parece un email de la agencia tributaria titulado 'Reembolso F24 retenido - acción requerida en 24h'. El logotipo es perfecto, el tono formal, el enlace lleva a 'agenziaentrate-rimborsi.servizi-fiscali.cloud'.
El contable sigue el enlace, escribe las credenciales del portal fiscal corporativo y un OTP por SMS. En 12 horas los delincuentes emiten cuatro delegaciones a un intermediario falso y exfiltran los registros de IVA. El CERT nacional había marcado el dominio 72 horas antes.
El análisis forense mostró que el dominio se registró cinco días antes del ataque en un registrador offshore, las cabeceras mostraban SPF fail y DKIM ausente, y la IP de envío provenía de un hosting blindado conocido. Mythos reconstruyó la cadena de pruebas para la denuncia penal.