Il CERT-AGID ha segnalato il 27 ottobre 2026 una serie di email di phishing che arrivano da caselle PEC vere ma compromesse e chiedono di pagare una falsa multa per violazione del Codice della Strada: 198 euro subito, 268 in caso di ritardo. Il pulsante del messaggio porta a un finto portale PagoPA su un dominio russo, che chiede dati personali e può arrivare a quelli della carta. Le false multe sono il tema di phishing più usato in Italia nelle ultime settimane.
In breve
- Chi è colpito: cittadini, professionisti e aziende con casella PEC o posta ordinaria; i messaggi partono da PEC compromesse con centinaia di destinatari in copia.
- Gravità: alta per chi inserisce dati: furto di identità e di carte di pagamento.
- Sfruttata: sì, campagne in corso.
- Cosa fare: non cliccare, verificare le multe solo da app IO, SEND o sito del Comune, segnalare il messaggio, bloccare la carta se l’avete inserita.
Come è fatto il messaggio
Negli ultimi due casi analizzati dal CERT-AGID, l’email parte da una PEC compromessa verso un indirizzo di posta ordinaria, con circa 340 indirizzi PEC in copia. Il testo è un finto provvedimento amministrativo, scritto in modo molto formale e pieno di riferimenti normativi, con una scadenza ravvicinata. Il pulsante “Accesso al portale istituzionale” apre un sito con estensione .ru che copia loghi e grafica di PagoPA, ospitato secondo il CERT-AGID presso un fornitore russo.
Il dettaglio nuovo: il truffatore vi guida in diretta
Il finto portale chiede nome, cognome, codice fiscale, data di nascita, email e telefono. Il CERT-AGID ha scoperto che la pagina interroga ogni mezzo secondo (500 millisecondi) un pannello sul server dei truffatori, in attesa di istruzioni su quale schermata mostrarvi dopo. Così l’attaccante può guidarvi passo per passo e, secondo il CERT-AGID, potenzialmente chiedere al momento giusto i dati della carta e i codici di verifica che la banca vi manda via SMS o app. È lo stesso schema delle truffe telefoniche, portato in una pagina web.
I numeri
| Dato CERT-AGID | Valore |
|---|---|
| Campagne a tema multe con PagoPA o SEND dal 21 aprile 2025 al 27 ottobre 2026 | 1.874, con 14.279 indicatori di compromissione |
| Campagne malevole settimana 17–23 ottobre | 202 (162 mirate all’Italia); 62 a tema multe |
| Campagne malevole settimana 24–30 ottobre | 121 (76 mirate all’Italia); 25 a tema multe, di cui 14 a nome PagoPA |
| Brand più imitati nella settimana 24–30 ottobre | PagoPA, SEND, Aruba, GLS, INPS, Webmail |
Nella settimana del 17–23 ottobre erano in circolazione anche 10 campagne di finti rimborsi a nome dell’Agenzia delle Entrate e 39 di finti “rinnovi” a nome del Ministero della Salute. Sul fronte malware, i più diffusi nella settimana successiva sono stati Remcos, XWorm, FormBook e AgentTesla; tra le famiglie a tema bancario il CERT-AGID cita GhostBat, Mirax e MrRobot.
Cosa fare subito
- Non cliccate sui link di email, PEC o SMS che parlano di multe da pagare. Una PEC garantisce che il messaggio è partito da quella casella, non che il mittente sia affidabile: se la casella è stata rubata, la “certificazione” lavora per il truffatore.
- Le multe vere arrivano per raccomandata o come notifica digitale tramite SEND, con avviso nell’app IO. Per controllare, aprite voi l’app IO, SEND o il sito del Comune, senza passare dal messaggio.
- Guardate l’indirizzo del sito: i servizi PagoPA non stanno su domini .ru né su indirizzi strani.
- Inoltrate il messaggio sospetto al CERT-AGID all’indirizzo [email protected] e, se siete stati truffati, denunciate alla Polizia postale.
- Se avete inserito i dati della carta, chiamate subito la banca per bloccarla e contestate eventuali addebiti. Se avete dato codice fiscale e documenti, tenete d’occhio richieste di credito a vostro nome.
- Se gestite una casella PEC, cambiate la password e attivate l’autenticazione a più fattori se il vostro gestore la offre: le PEC rubate sono la materia prima di queste campagne.
Verifica: davanti a una “multa” via email fatevi una sola domanda: me l’ha notificata SEND o l’app IO? Se la risposta è no, non è una notifica valida e non va pagata da quel link.
La nostra lettura
Il salto di qualità sta in due elementi: la PEC, che in Italia viene percepita come un canale ufficiale, e il pannello che guida la vittima in tempo reale. Contro il primo serve una regola semplice, cioè che nessun pagamento si fa da un link ricevuto. Contro il secondo serve proteggere meglio gli account, a partire da quelli di posta: sulle passkey trovate la nostra guida in https://hardwarfare.it/guide/tutorial/passkey-phishing-guida-attivazione/. Le altre allerte italiane sono in https://hardwarfare.it/category/sicurezza-informatica/sicurezza-italia/.
Fonti
Immagine di copertina: Checking email – Flickr – Al Jazeera English.jpg di Al Jazeera English, licenza CC BY-SA 2.0, via Wikimedia Commons; elaborazione grafica HardWarfare.
Articolo redatto con il supporto di strumenti di intelligenza artificiale e verificato dalla redazione. Come usiamo l'AI · Come lavoriamo
