False multe PagoPA via PEC compromesse: 198 euro, poi 268
Il CERT-AgID segnala nuove campagne di phishing che sfruttano caselle PEC vere, ma compromesse, per chiedere il pagamento di una multa stradale inesistente.
Perché conta
La truffa sfrutta proprio la fiducia che le persone hanno nella PEC, pensata per le comunicazioni ufficiali: una PEC vera, ma compromessa, rende il messaggio più credibile di una email qualsiasi.
In pratica
Se ricevi una richiesta di pagamento via PEC o email, verificala sempre sul sito o sull'app ufficiale dell'ente, mai dal link nel messaggio: PagoPA e il CERT-AgID lo ripetono per ogni campagna di questo tipo.
Il CERT-AgID, l'ente pubblico che segue la sicurezza informatica della pubblica amministrazione, ha segnalato il 27 ottobre nuove campagne di phishing che si fingono una multa PagoPA. La particolarità è da dove arrivano: non da un'email qualunque, ma da caselle PEC vere, compromesse da chi organizza la truffa (la PEC, posta elettronica certificata, è la casella che di solito garantisce che un messaggio sia davvero arrivato da chi dice di averlo mandato).
Come funziona
Il messaggio parte da una PEC compromessa e arriva su una PEC o una email normale, spesso con circa 340 altri indirizzi PEC in copia. Il testo è formale, con riferimenti a norme vere, e si presenta come il provvedimento per una violazione del Codice della Strada. Chiede 198 euro, con la minaccia che la cifra salga a 268 euro in caso di ritardo.
Il pulsante "Accesso al portale istituzionale" porta a una pagina che copia il logo e la grafica di PagoPA, ma si trova su un dominio con estensione .ru, ospitato da un provider russo. Lì il sito chiede nome, cognome, codice fiscale, data di nascita, email e telefono. Il CERT-AgID ha anche scoperto un sistema che controlla da remoto cosa succede sulla pagina della vittima, interrogando il server ogni mezzo secondo: può così decidere di mostrare altre schermate, comprese quelle che chiedono i dati di una carta di pagamento o un codice di verifica bancaria.
Come riconoscerla
Il CERT-AgID lo scrive chiaramente: arrivare da una PEC non garantisce che un messaggio sia legittimo. È proprio l'idea contraria, che una PEC sia sempre affidabile, a far funzionare questa truffa. Altri segnali: la fretta (la cifra che sale se non paghi subito) e il fatto che il link porti a un sito diverso da quello ufficiale di PagoPA, dove di solito si accede senza passare da un'email.
Cosa fare
Non cliccare sul link del messaggio. Per controllare se hai davvero una multa o un pagamento da fare, vai direttamente sul sito o sull'app di PagoPA, oppure contatta l'ente che dovrebbe averla emessa, usando i canali che già conosci (non quelli scritti nel messaggio). Se hai ricevuto una PEC o un'email di questo tipo, inoltrala al CERT-AgID: i contatti sono nella sezione "Contatti" del sito cert-agid.gov.it.
Non è un caso isolato: dal 21 aprile 2025 il CERT-AgID ha censito 1.874 campagne di phishing a tema multe che usano i nomi di PagoPA e del servizio SEND, le notifiche digitali della pubblica amministrazione. Quelle che imitano PagoPA sono quasi il doppio di quelle che imitano SEND.
