Falsa sanzione PagoPA o SEND: ci sono cascato, cosa faccio adesso

Hai cliccato su una finta multa PagoPA, SEND o ACI e inserito i tuoi dati o pagato? Ecco cosa fare, in ordine, nei primi dieci minuti.

Perché conta

Le false multe PagoPA, SEND e ACI sono, secondo il CERT-AgID, il tema di phishing più diffuso in Italia a fine ottobre 2026: prima o poi capita a quasi tutti, e sapere cosa fare nei primi minuti limita il danno.

In pratica

Chi ha già cliccato o inserito dati sa esattamente cosa fare, in ordine: bloccare la carta, cambiare le password, segnalare il sito e, se serve, fare denuncia in un ufficio della Polizia Postale.

Hai ricevuto un'email o un SMS per una multa, hai cliccato e forse hai anche inserito i tuoi dati o pagato. Non sei l'unico: nella sola settimana dal 24 al 30 ottobre il CERT-AgID (il centro dello Stato che segue questi casi) ha contato 25 campagne di phishing italiane con il marchio di una multa: 14 con il logo PagoPA, 9 con quello di SEND (le notifiche digitali della Pubblica Amministrazione) e 2 con quello dell'ACI. Non c'è niente di cui vergognarsi: i messaggi sono fatti apposta per sembrare veri. Questa guida non spiega come riconoscerli (lo trovi negli articoli collegati), ma cosa fare adesso, subito, in ordine.

Prima una cosa da sapere: PagoPA non manda multe, è solo il sistema con cui si pagano. Una vera multa arriva per raccomandata, tramite un messo o per posta elettronica certificata, non con un'email o un SMS che chiede di pagare entro poche ore. Nella campagna più recente osservata dal CERT-AgID, il messaggio chiedeva 198 euro, che diventavano 268 se non si pagava in fretta, e il sito falso raccoglieva nome, codice fiscale, data di nascita, email e telefono: da lì poteva anche portare a pagine finte per i dati della carta.

Passo 1. Non pagare una seconda volta e non richiamare nessun numero scritto nel messaggio. Se hai già pagato o inserito dati, fai uno screenshot del messaggio e del sito prima di chiuderlo: ti servirà per la segnalazione.

Passo 2. Se hai scritto il numero della carta, il codice di sicurezza o un codice ricevuto per confermare un pagamento, chiama subito il numero per bloccare la carta che trovi scritto sul retro della carta stessa o nella app della tua banca, e blocca la carta. Da quel momento qualsiasi movimento che non riconosci va contestato alla banca, non pagato.

Passo 3. Se hai inserito le credenziali del tuo SPID (nome utente e password, o un codice di accesso), cambia subito la password sul sito del gestore con cui hai attivato lo SPID: nessun ente, banca o gestore SPID chiede mai la password per telefono, email o SMS. Se non riesci ad accedere o sospetti un uso anomalo, contatta l'assistenza del tuo gestore SPID e, se necessario, l'AgID. Cambia anche la password della tua email principale, perché è spesso il punto da cui si può resettare tutto il resto.

Passo 4. Segnala il sito falso al Commissariato di PS Online (commissariatodips.it), nella sezione «Segnala online»: si scelgono la categoria «Phishing» e l'indirizzo del sito contraffatto, e si riceve una mail di conferma da validare in pochi minuti. Questo modulo serve a far verificare e chiudere il sito, non sostituisce una denuncia: se hai perso soldi o temi un furto d'identità, la denuncia vera e propria si fa di persona in un ufficio della Polizia Postale, portando messaggi, ricevute e screenshot.

Passo 5. Nei giorni dopo, controlla i movimenti del conto e degli account più sensibili (email, SPID, app bancaria): se usavi la stessa password da qualche altra parte, cambiala anche lì. Non servono allarmismi: la maggior parte di chi segue questi passi in tempo non perde altro oltre al fastidio.

Inoltralo a chi vuoi bene. Questo tipo di messaggio arriva soprattutto a chi controlla poco la posta o lo SMS con calma, spesso genitori e nonni: una telefonata di dieci minuti per spiegare questi cinque passi può evitargli un danno vero.