Una PMI di Brescia riceve un'email apparentemente dall'Agenzia delle Entrate con oggetto 'Rimborso F24 trattenuto - azione richiesta entro 24h'. Il logo è perfetto, il tono è formale, il link punta a 'agenziaentrate-rimborsi.servizi-fiscali.cloud'.
L'amministrativa segue il link, inserisce le credenziali aziendali del cassetto fiscale e un OTP ricevuto via SMS. Entro 12 ore i criminali emettono 4 deleghe a un intermediario fittizio e accedono ai dati IVA. La CERT-AGID aveva già segnalato il dominio nelle 72 ore precedenti.
L'analisi forense ha rivelato che il dominio era registrato 5 giorni prima dell'attacco su un registrar offshore, lo header mostrava SPF fail e DKIM assente, e l'IP di invio era riconducibile a un'infrastruttura bulletproof già nota. Mythos ha ricostruito la chain of evidence per la denuncia penale.