Una multa stradale da 198 euro, con la minaccia di farla salire a 268 se non viene pagata in fretta. Il messaggio arriva da una casella di posta elettronica certificata, una PEC, che appare attendibile perché appartiene a un soggetto reale. È il meccanismo delle nuove campagne di phishing individuate dal CERT-AGID il 27 ottobre 2026: le caselle mittenti sono state compromesse e i collegamenti conducono a falsi portali di pagamento che imitano pagoPA.
C’è un secondo elemento che rende la frode più sofisticata. Secondo l’analisi ufficiale del CERT-AGID, la pagina malevola interroga un pannello di controllo dei criminali ogni mezzo secondo. Chi gestisce la truffa può così intervenire sul percorso della vittima e far comparire schermate successive, potenzialmente dedicate anche ai dati delle carte e ai codici di verifica bancaria.
La campagna delle false multe: i dati accertati
| Elemento | Dato riscontrato | Significato |
|---|---|---|
| Importo richiesto | 198 euro; minaccia di aumento a 268 euro | La scadenza ravvicinata serve a sollecitare un pagamento impulsivo. |
| Distribuzione negli ultimi due casi | PEC compromessa verso una casella ordinaria, con circa 340 PEC in copia | Il mittente può sembrare affidabile anche quando l’account è stato violato. |
| Controllo della pagina fraudolenta | Una richiesta al pannello remoto ogni 500 millisecondi | Possibile reindirizzamento dinamico verso ulteriori schermate. |
| Fenomeno censito dal 21 aprile 2025 | 1.874 campagne a tema multe; 14.279 indicatori di compromissione | Sono campagne e indicatori tecnici, non conteggi di vittime o denaro sottratto. |
Fonte: CERT-AGID, rilevazione pubblicata il 27 ottobre 2026.
Indice degli argomenti
La falsa multa e la PEC usata come lasciapassare di fiducia
Negli ultimi due casi studiati dal CERT-AGID, il messaggio parte da una casella PEC violata ed è indirizzato a una casella di posta elettronica ordinaria, con circa 340 indirizzi PEC inseriti in copia. Il testo descrive una presunta violazione del Codice della Strada, usa un linguaggio amministrativo e abbonda di riferimenti normativi. La combinazione di formalità e urgenza cerca di convincere il destinatario che il pagamento sia dovuto.
Il pulsante che promette l’accesso al portale istituzionale conduce in realtà a un dominio con estensione .ru, ospitato su infrastrutture riconducibili, secondo l’analisi, a un provider russo. L’interfaccia riproduce i segni grafici del servizio pagoPA e chiede nome, cognome, codice fiscale, data di nascita, email e telefono per procedere con il presunto pagamento. Il portale sfrutta quindi il marchio di un servizio pubblico realmente usato dai cittadini per le sanzioni.
Una PEC certifica alcuni elementi tecnici dell’invio e della consegna, ma non garantisce che le credenziali della casella del mittente siano rimaste sotto il controllo del legittimo titolare. È proprio questa differenza a rendere insidiose le PEC compromesse. Neppure è corretto sostenere che una vera notifica di una multa non possa mai arrivare per PEC: SEND, il servizio pubblico per le notifiche digitali, prevede l’uso di questo canale quando disponibile, accanto all’app IO e agli altri recapiti.
La conseguenza pratica è che la verifica deve spostarsi dal messaggio al servizio ufficiale. Un destinatario può aver ricevuto una notifica legittima via PEC, ma deve poterla controllare accedendo autonomamente alla piattaforma o all’ente, senza affidarsi al pulsante contenuto nella comunicazione sospetta.
La regia della truffa: una pagina che può cambiare in tempo reale
Il particolare tecnico scoperto dai ricercatori spiega perché una falsa pagina di pagamento possa diventare qualcosa di più di un semplice modulo per rubare dati. La pagina analizzata contatta ripetutamente un componente sul server degli attaccanti, a intervalli di circa 500 millisecondi, per capire se debba reindirizzare l’utente. In questo modo il contenuto visualizzato dalla vittima può dipendere dalle istruzioni impartite durante la sessione.
Secondo il CERT-AGID, fra le destinazioni possibili figurano schermate progettate per ottenere estremi della carta o codici di verifica bancari. Questo meccanismo rende plausibile una sequenza adattiva: dopo i dati anagrafici, la vittima può essere invitata a completare il pagamento e poi a confermarlo. La documentazione pubblica mostra la capacità di orchestrare tali passaggi; non quantifica però operazioni fraudolente riuscite né dimostra che ogni destinatario sia arrivato alla schermata bancaria.
Per i servizi antifrode, l’elemento da osservare è duplice: da un lato l’uso di account autentici ma violati per distribuire i messaggi, dall’altro l’impiego di siti che reagiscono alle istruzioni dei criminali durante la visita. Il blocco del solo primo collegamento può essere insufficiente quando cambiano dominio o pagine di destinazione. Diventa importante correlare gli indicatori delle email, dei siti e degli accessi a infrastrutture di controllo.
Quasi duemila campagne: che cosa misurano i numeri del CERT-AGID
La frode delle false multe è una minaccia persistente. Dal 21 aprile 2025 al 27 ottobre 2026 il CERT-AGID ha censito 1.874 campagne di phishing che sfruttano i nomi di pagoPA e SEND; nello stesso periodo ha individuato e condiviso con le amministrazioni accreditate 14.279 indicatori di compromissione. Sono elementi tecnici come domini e altri artefatti utili al rilevamento, che possono riferirsi a una o più campagne. Non equivalgono a 14.279 vittime, né permettono di stimare l’ammontare delle frodi.
Secondo il CERT-AGID, le campagne che usano nome e grafica di pagoPA sono quasi il doppio rispetto a quelle che imitano SEND. Il fenomeno si inserisce in una crescita più ampia degli abusi della PEC: nel suo rapporto sul 2025, il CERT aveva rilevato 103 campagne malevole veicolate tramite PEC, circa l’80% in più dell’anno precedente, di cui 77 di phishing e 26 orientate alla distribuzione di malware. I due intervalli di osservazione sono diversi e non vanno sommati.
L’ultima campagna conferma anche come vengono riutilizzate tecniche già osservate. Ad agosto, per esempio, il CERT-AGID aveva documentato false multe costruite con i riferimenti alla Polizia di Stato e a pagoPA. La novità di ottobre è l’accoppiata fra PEC compromesse e controllo remoto della navigazione, capace di rendere più persuasiva la comunicazione iniziale e di gestire in modo flessibile il tentativo di sottrazione dei dati.
Come controllare una multa senza consegnare i dati ai truffatori
Di fronte a un avviso inatteso, la verifica più utile è aprire l’app IO, il portale SEND o il sito dell’ente competente digitandone direttamente l’indirizzo, senza utilizzare i collegamenti presenti nella PEC sospetta. La documentazione di pagoPA spiega che SEND può notificare atti a valore legale e consentire il pagamento attraverso i servizi collegati; il cittadino deve poter ricondurre la richiesta a una posizione effettivamente esistente.
Un indirizzo con finale .ru associato a un finto portale italiano è un segnale di allarme particolarmente evidente nel caso descritto. Anche il tono formale, una PEC proveniente da una casella reale e un logo perfettamente riprodotto non bastano a rendere autentica una richiesta. È bene controllare con un canale indipendente l’ente mittente, il verbale e l’importo.
Chi ha già inserito dati della carta o codici bancari deve contattare immediatamente la banca attraverso i canali ufficiali, valutare il blocco dello strumento di pagamento e contestare eventuali operazioni sospette. Se sono state condivise credenziali, occorre cambiarle e proteggere l’account interessato. PagoPA indica anche la casella truffe@pagopa.it per segnalare tentativi di frode e invita a rivolgersi alle autorità competenti.
Che cosa devono fare aziende e amministrazioni che gestiscono PEC
Per le organizzazioni italiane, la notizia riguarda anche la sicurezza della posta certificata. Se una casella PEC è stata compromessa, l’uso fraudolento può coinvolgere tutta la rubrica dei corrispondenti e sfruttare la credibilità del titolare. Occorre verificare gli accessi anomali, cambiare e mettere in sicurezza le credenziali, revocare le sessioni non autorizzate, verificare eventuali regole di inoltro e preservare i log per l’analisi.
È importante inoltre avvisare i contatti raggiunti da messaggi contraffatti usando canali indipendenti e valutare gli adempimenti privacy se dalla compromissione emergono trattamenti illeciti di dati personali. Il CERT-AGID ha avviato attività di contrasto con i gestori PEC e ha distribuito gli indicatori della campagna attraverso il proprio feed agli enti accreditati, perché possano alimentare i controlli di sicurezza.
Il punto di fondo è la fiducia nei servizi pubblici digitali: anche un canale formalmente certificato può trasportare una richiesta fraudolenta quando le credenziali sono state rubate. La difesa più efficace unisce protezione delle caselle, controllo tecnico dei collegamenti e verifica delle richieste direttamente nei servizi istituzionali.
Partecipa alla community