Una richiesta di pagamento da 198 euro per una presunta violazione del Codice della Strada, accompagnata dalla minaccia di un aumento a 268 euro in caso di ritardo. Il messaggio arriva attraverso un sistema di posta elettronica certificata, utilizza un linguaggio amministrativo formale e invita ad accedere a un portale apparentemente riconducibile a PagoPA. La comunicazione, però, è fraudolenta.
Il 27 ottobre 2026 il CERT-AGID, la struttura dell’Agenzia per l’Italia Digitale che si occupa di prevenzione e risposta agli incidenti informatici, ha segnalato nuove campagne di phishing costruite intorno a false multe inviate tramite PEC. L’elemento più insidioso riguarda la provenienza dei messaggi: i criminali informatici utilizzano caselle di posta certificata realmente esistenti, ma compromesse, sfruttando la credibilità normalmente associata a questo strumento.
Nell’ultima settimana di monitoraggio sono state individuate diverse campagne. In due episodi analizzati più approfonditamente, gli aggressori hanno inviato il messaggio da una PEC compromessa a un indirizzo di posta ordinaria, inserendo in copia circa 340 indirizzi PEC. I collegamenti contenuti nelle comunicazioni conducevano a pagine fraudolente ospitate su infrastrutture riconducibili a un provider russo.
Il caso mostra come un canale di comunicazione comunemente utilizzato per atti amministrativi, notifiche e rapporti professionali possa essere sfruttato per distribuire richieste di pagamento inesistenti. La certificazione della trasmissione, infatti, non costituisce una garanzia sulla legittimità di quanto viene comunicato.
Come funziona la truffa delle multe attraverso la posta certificata
Le comunicazioni individuate dal CERT-AGID riproducono la struttura di un provvedimento amministrativo. Il destinatario viene informato di una presunta infrazione stradale e invitato a regolarizzare rapidamente la propria posizione economica.
Il testo contiene numerosi riferimenti normativi e adotta una terminologia formale, caratteristiche che possono rendere più difficile riconoscere immediatamente il tentativo di frode. La scadenza ravvicinata introduce un ulteriore elemento di pressione: il destinatario viene spinto a pagare prima di verificare l’effettiva esistenza della sanzione.
Nelle campagne esaminate, l’importo richiesto è di 198 euro, destinato a salire a 268 euro secondo quanto dichiarato nel falso avviso. Queste cifre descrivono gli episodi documentati e non rappresentano importi standard delle sanzioni autentiche.
Il messaggio contiene un pulsante denominato «Accesso al portale istituzionale», che rimanda a una pagina esterna. Il sito riproduce loghi e caratteristiche grafiche di PagoPA, ma si trova su un dominio con estensione geografica russa, estraneo al servizio ufficiale.
Una volta raggiunta la pagina, il destinatario viene invitato a comunicare nome, cognome, codice fiscale, data di nascita, indirizzo email e numero di telefono. Sono informazioni personali che possono essere utilizzate per ulteriori tentativi di frode o per rendere più credibili successive comunicazioni ingannevoli.
Le false multe inviate tramite PEC seguono quindi una sequenza riconoscibile: un avviso apparentemente istituzionale, una richiesta economica urgente e il trasferimento verso un sito che imita un servizio pubblico. L’utilizzo di una casella certificata compromessa interviene nella fase iniziale, aumentando la probabilità che il destinatario consideri attendibile il messaggio.
Il falso portale PagoPA e il rischio per i dati bancari
L’analisi tecnica del CERT-AGID ha individuato un particolare sistema di gestione delle pagine fraudolente.
Il sito utilizzato nelle campagne dispone di un meccanismo attraverso il quale gli aggressori possono controllare da remoto il percorso di navigazione della vittima. La pagina verifica ripetutamente la presenza di istruzioni provenienti da un pannello di gestione, che può indirizzare l’utente verso schermate successive.
Secondo i ricercatori, queste schermate potrebbero essere utilizzate per raccogliere informazioni relative alle carte di pagamento e ai codici di verifica bancaria. Il meccanismo permette potenzialmente di adattare le richieste alle diverse fasi della frode.
La distinzione è rilevante: il CERT-AGID ha documentato la presenza dell’infrastruttura di controllo, mentre le ulteriori possibilità di raccolta dei dati vengono descritte come capacità potenziali del sistema. L’allerta non quantifica il numero di persone che abbiano effettivamente inserito informazioni bancarie o subito perdite economiche.
L’imitazione di PagoPA costituisce uno degli elementi centrali dell’inganno. Il servizio autentico è utilizzato per effettuare pagamenti verso pubbliche amministrazioni e altri enti aderenti, ma la presenza del suo logo su una pagina web non dimostra che il sito appartenga alla piattaforma ufficiale.
Anche una grafica accurata, un riferimento a un codice di pagamento o la presenza del simbolo del lucchetto nel browser non bastano a certificare l’identità dell’organizzazione che richiede il denaro. Una connessione HTTPS protegge la trasmissione dei dati verso il sito raggiunto, ma non garantisce che quel sito sia legittimo.
Perché una PEC autentica può trasmettere contenuti fraudolenti
Il principale equivoco sfruttato dai criminali riguarda il significato della posta elettronica certificata.
La PEC permette di documentare l’invio e la consegna di una comunicazione secondo le regole previste dal sistema. Le ricevute e i dati di certificazione possono assumere valore probatorio, ma non attestano automaticamente la veridicità delle dichiarazioni contenute nel messaggio.
Una casella può appartenere realmente a un professionista, a un’impresa o a un altro soggetto identificabile e, contemporaneamente, essere utilizzata senza autorizzazione da terzi che ne abbiano ottenuto il controllo.
La compromissione dell’account non modifica necessariamente l’indirizzo visibile al destinatario. Di conseguenza, controllare soltanto il nome o l’indirizzo del mittente può risultare insufficiente.
Nel caso delle false multe inviate tramite PEC, il problema è particolarmente delicato perché cittadini, aziende e professionisti sono abituati a ricevere attraverso questo canale comunicazioni che richiedono attenzione e, talvolta, producono conseguenze giuridiche.
Un messaggio proveniente da una PEC reale può quindi suscitare una fiducia superiore rispetto a una normale email, anche quando il contenuto presenta elementi sospetti.
Il CERT-AGID aveva già richiamato l’attenzione su questo rischio il 24 settembre 2026, documentando una campagna che sfruttava caselle PEC compromesse per distribuire falsi solleciti relativi a fatture non pagate. In quel caso, l’obiettivo era la diffusione di software malevolo.
Le due operazioni presentano finalità differenti, ma condividono l’abuso di un’infrastruttura di comunicazione normalmente considerata affidabile. La sicurezza del sistema di trasmissione e la sicurezza dell’account utilizzato sono questioni distinte.
Oltre 1.800 campagne a tema multe censite dal 2025
L’allerta del 27 ottobre si inserisce in un fenomeno che il CERT-AGID monitora da oltre un anno.
Dal 21 aprile 2025 al 27 ottobre 2026, la struttura ha censito 1.874 campagne di phishing a tema multe che sfruttano i nomi di PagoPA e SEND, il Servizio Notifiche Digitali.
Nello stesso periodo sono stati individuati e distribuiti alle pubbliche amministrazioni accreditate al flusso informativo del CERT-AGID 14.279 indicatori di compromissione, comunemente definiti IoC. Si tratta di elementi tecnici utili a riconoscere infrastrutture e attività potenzialmente malevole.
Le campagne che impersonano PagoPA risultano quasi il doppio rispetto a quelle che utilizzano il nome di SEND.
Questi dati misurano le campagne rilevate e gli indicatori raccolti, non il numero delle vittime o l’ammontare delle somme sottratte. Una singola campagna può coinvolgere numerosi destinatari e utilizzare differenti risorse informatiche.
La continuità del fenomeno emerge anche dalle segnalazioni precedenti. Nell’aprile 2025 il CERT-AGID aveva documentato una diffusione di falsi solleciti di pagamento attraverso email e SMS. Nell’agosto 2026 era stata individuata una campagna che utilizzava indebitamente il nome della Polizia di Stato e la grafica di PagoPA.
Il 16 ottobre 2026, pochi giorni prima dell’ultima allerta, una nuova segnalazione aveva riguardato messaggi SMS relativi a presunte infrazioni stradali, con richieste di pagamento immediate e minacce di maggiorazioni.
L’impiego delle caselle certificate compromesse costituisce dunque un’evoluzione delle modalità di distribuzione, mentre il pretesto della sanzione amministrativa rimane sostanzialmente invariato.
I segnali che permettono di riconoscere una falsa sanzione
La presenza di una scadenza ravvicinata è uno degli elementi da valutare quando si riceve una richiesta di pagamento inattesa.
Le sanzioni autentiche possono prevedere termini precisi, riduzioni e maggiorazioni disciplinate dalla normativa. Il semplice riferimento a una scadenza, quindi, non dimostra l’esistenza di una frode. Diventa sospetto quando viene accompagnato da una richiesta urgente di utilizzare un collegamento esterno senza offrire elementi sufficienti per identificare e verificare il verbale.
Anche il linguaggio amministrativo deve essere valutato con attenzione. Nelle campagne documentate dal CERT-AGID, i riferimenti normativi vengono utilizzati per conferire autorevolezza alla comunicazione. La loro presenza, tuttavia, non prova che l’atto provenga da un’autorità competente.
Un ulteriore elemento riguarda il soggetto che richiede il pagamento. PagoPA è una piattaforma attraverso la quale vengono gestiti pagamenti verso gli enti aderenti; non coincide con l’autorità che accerta una violazione del Codice della Strada.
Una sanzione autentica deve poter essere ricondotta all’ente competente e a un procedimento identificabile. La sola presenza del marchio PagoPA non permette di stabilire se una multa esista realmente.
Le false multe inviate tramite PEC possono inoltre presentare incongruenze tra l’indirizzo del mittente, l’ente indicato nel testo e il dominio del sito proposto per il pagamento.
Queste differenze meritano attenzione anche quando il messaggio non contiene errori grammaticali o grafiche approssimative. Le campagne più elaborate possono riprodurre con precisione l’aspetto delle comunicazioni ufficiali.
Come verificare una multa senza utilizzare i collegamenti ricevuti
La verifica più affidabile consiste nel controllare l’esistenza della sanzione attraverso un canale indipendente rispetto al messaggio sospetto.
Quando la comunicazione indica un Comune, un comando di Polizia locale o un’altra autorità, è opportuno raggiungere autonomamente il sito istituzionale dell’ente, utilizzando un indirizzo già conosciuto oppure individuato attraverso una ricerca separata.
Gli eventuali riferimenti al verbale possono essere confrontati con quelli disponibili presso l’ufficio competente. Se necessario, la verifica può essere effettuata contattando direttamente l’amministrazione attraverso recapiti pubblicati sui suoi canali ufficiali, evitando numeri telefonici e indirizzi riportati esclusivamente nella comunicazione ricevuta.
Un avviso di pagamento autentico può essere verificato utilizzando i servizi ufficiali disponibili per l’ente creditore e per il sistema PagoPA. La verifica deve partire dal portale legittimo, senza seguire il percorso suggerito da una comunicazione sospetta.
Nel caso delle notifiche gestite tramite SEND, occorre distinguere la piattaforma ufficiale dalle pagine che ne imitano il nome e l’aspetto. Anche in questo caso, l’accesso autonomo al servizio consente di evitare il collegamento potenzialmente fraudolento.
La presenza di una ricevuta PEC non sostituisce queste verifiche. Una comunicazione certificata può avere caratteristiche tecniche valide e contenere comunque una richiesta illegittima.
Il controllo indipendente permette inoltre di evitare un secondo rischio: considerare automaticamente falsa qualsiasi comunicazione relativa a una sanzione soltanto perché ricevuta per via elettronica. Le notifiche digitali autentiche esistono e possono produrre effetti giuridici, secondo le modalità previste dalla normativa applicabile.
La distinzione deve quindi basarsi sulla provenienza effettiva dell’atto, sull’identificazione dell’autorità competente e sulla verifica del procedimento, non sulla semplice presenza o assenza della PEC.
Controllare i domini senza confondere grafica e identità del sito
L’indirizzo del sito web costituisce un elemento decisivo nell’analisi di una possibile frode.
Le pagine utilizzate nelle campagne segnalate il 27 ottobre si trovavano su domini con estensione .ru, pur riproducendo l’identità visiva di PagoPA.
Questo dato rappresenta un indicatore specifico delle operazioni osservate, non una regola generale secondo cui tutti i siti con tale estensione sarebbero pericolosi.
Il controllo deve riguardare l’intero nome di dominio e la sua effettiva appartenenza al servizio dichiarato. Un indirizzo può contenere parole come PagoPA, pagamento, Comune o Polizia senza avere alcun rapporto con le istituzioni corrispondenti.
Particolare attenzione meritano gli indirizzi nei quali il nome di un servizio ufficiale compare all’interno di un dominio più lungo, oppure viene accompagnato da termini aggiuntivi che ne alterano l’identità.
Anche eventuali reindirizzamenti verso siti differenti rispetto a quello inizialmente annunciato devono essere considerati sospetti.
La verifica del dominio non richiede di aprire il collegamento contenuto nel messaggio. Il confronto può essere effettuato con gli indirizzi pubblicati direttamente sui portali istituzionali, raggiunti in modo autonomo.
Questa precauzione è particolarmente utile contro le false multe inviate tramite PEC, perché l’apparente affidabilità del canale di provenienza può indurre a prestare meno attenzione alla destinazione del collegamento.
Cosa fare quando sono già stati comunicati dati personali o bancari
La risposta a un tentativo di phishing dipende dalle operazioni effettivamente compiute.
Se il destinatario ha soltanto ricevuto il messaggio, senza utilizzare i collegamenti e senza fornire informazioni, la priorità è evitare ulteriori interazioni con il contenuto sospetto e conservarne gli elementi necessari per un’eventuale segnalazione.
Quando invece sono stati inseriti dati personali, è opportuno valutare quali informazioni siano state comunicate. Codice fiscale, data di nascita, indirizzo e recapiti possono essere utilizzati per successive attività fraudolente, anche se non consentono da soli di effettuare automaticamente un pagamento.
Se sono stati forniti gli estremi di una carta, il contatto tempestivo con la banca o con l’emittente diventa prioritario. Attraverso i canali ufficiali è possibile richiedere una valutazione delle misure di protezione necessarie, compreso l’eventuale blocco dello strumento di pagamento.
L’inserimento di codici di autorizzazione bancaria richiede particolare urgenza, perché potrebbe aver consentito di confermare operazioni non volute.
Nel caso in cui siano state comunicate credenziali di accesso, occorre modificarle attraverso il servizio autentico e verificare l’eventuale presenza di accessi o operazioni anomale. Se la stessa password viene utilizzata per più account, il rischio può estendersi ad altri servizi.
Un eventuale pagamento già eseguito deve essere segnalato tempestivamente all’intermediario finanziario. È inoltre possibile presentare denuncia alla Polizia Postale o alle altre autorità di polizia, conservando il messaggio ricevuto, le ricevute e la documentazione delle operazioni effettuate.
La segnalazione è utile anche quando non si è verificata una perdita economica, perché contribuisce a individuare le infrastrutture utilizzate nelle campagne.
Le segnalazioni al CERT-AGID e il contrasto alle caselle compromesse
Il CERT-AGID ha comunicato di aver avviato attività di contrasto alle campagne del 27 ottobre con il supporto dei gestori di posta elettronica certificata.
Gli indicatori di compromissione individuati sono stati condivisi attraverso il flusso IoC con le organizzazioni accreditate. Queste informazioni possono essere utilizzate dalle strutture di sicurezza per riconoscere e bloccare collegamenti, domini e altri elementi associati alle operazioni fraudolente.
Le comunicazioni sospette possono essere inoltrate al CERT-AGID all’indirizzo istituzionale malware@cert-agid.gov.it, utilizzato per ricevere segnalazioni relative a contenuti malevoli.
Quando possibile, è utile conservare il messaggio originale, comprese le informazioni tecniche di trasmissione. Nel caso di una PEC, le ricevute e i dati associati alla comunicazione possono contribuire a ricostruirne la provenienza e le modalità di consegna.
Se il mittente corrisponde a un’organizzazione conosciuta, è opportuno avvisarla attraverso un canale indipendente. Il titolare della casella potrebbe infatti non essere consapevole dell’utilizzo illecito del proprio account.
La gestione delle credenziali, l’autenticazione a più fattori quando disponibile e il controllo degli accessi rappresentano misure rilevanti per ridurre il rischio di compromissione delle caselle, soprattutto negli studi professionali e nelle imprese che utilizzano quotidianamente la posta certificata.
Per queste organizzazioni, la compromissione di una PEC può avere conseguenze ulteriori rispetto alla singola campagna di phishing: i messaggi fraudolenti possono essere associati all’identità digitale del titolare, creando problemi nei rapporti con clienti, fornitori e amministrazioni.
Le false multe inviate tramite PEC evidenziano quindi una vulnerabilità che coinvolge anche soggetti estranei alla frode, i cui account vengono utilizzati per raggiungere nuovi destinatari.
Il contrasto richiede interventi sulle infrastrutture malevole e sulle caselle compromesse. La collaborazione avviata dal CERT-AGID con i gestori PEC interviene proprio su questo secondo elemento, mentre la distribuzione degli indicatori tecnici permette alle amministrazioni accreditate di aggiornare i propri sistemi di rilevamento.
La disattivazione di un sito fraudolento può interrompere una specifica operazione, ma non elimina automaticamente il rischio rappresentato da una casella ancora compromessa. Per questo, accanto al blocco delle pagine di phishing, rimane determinante il ripristino della sicurezza degli account utilizzati abusivamente.
