Phishing su PagoPA: occhio alle finte multe stradali

Il phishing su PagoPA con finte multe stradali è una delle truffe digitali più diffuse in Italia in questo momento. Il CERT-AGID, l’organo nazionale preposto alla sicurezza informatica, ha lanciato un serio allarme: cybercriminali inviano email e SMS ingannevoli che simulano richieste di pagamento per presunte contravvenzioni stradali non saldate, sfruttando il nome e il logo di PagoPA per sembrare credibili. Importi precisi, numeri di riferimento, scadenze imminenti: tutto è costruito per spingere la vittima ad agire in fretta, senza ragionare.

Il fenomeno si sta diffondendo rapidamente. I truffatori puntano a sottrarre dati bancari e personali, indirizzando gli utenti verso portali contraffatti che imitano in modo sofisticato l’interfaccia grafica ufficiale di PagoPA. Piccoli dettagli nell’URL — spesso un dominio storpiato o un suffisso insolito — sono l’unico segnale visibile della frode.

In collaborazione con il team di sicurezza di PagoPA, il CERT-AGID lavora per disattivare i domini malevoli e monitorare gli indicatori di compromissione. I dati aggiornati su questi indicatori sono disponibili tramite un link dedicato sul sito ufficiale del CERT-AGID, utile per rafforzare le difese aziendali e personali.

Come funziona la truffa: il meccanismo delle finte multe PagoPA

Capire come opera questa campagna di phishing è il primo passo per difendersi. Lo schema è sempre simile:

1. Arrivo del messaggio: l’utente riceve un’email o un SMS apparentemente inviato da PagoPA o da un ente pubblico (Comune, Prefettura, Polizia Locale).
2. Contenuto allarmante: il testo segnala una multa stradale non pagata, con un importo specifico e una scadenza ravvicinata per evitare sanzioni aggiuntive.
3. Link a sito falso: il messaggio contiene un collegamento a un portale che imita graficamente PagoPA, ma con un URL diverso da quello ufficiale (pagopa.gov.it).
4. Furto dei dati: una volta sul sito falso, viene chiesto di inserire dati della carta di credito o del conto corrente per effettuare il pagamento. Quei dati finiscono direttamente nelle mani dei truffatori.

Il dettaglio che rende questa truffa particolarmente insidiosa è la verosimiglianza grafica: loghi, colori e layout sono quasi identici a quelli originali. Solo l’indirizzo web tradisce la frode.

👉 Leggi anche: Catasto, Agenzia delle Entrate avvia controlli: 20mila lettere di compliance per immobili non dichiarati

Come riconoscere un messaggio falso: i segnali da non ignorare

Ecco i principali indicatori che rivelano un tentativo di phishing su PagoPA:

• URL sospetto: il sito ufficiale è sempre pagopa.gov.it. Qualsiasi variante (es. pago-pa.it, pagopa-multa.com) è falsa.
• Urgenza artificiale: frasi come «Paga entro 24 ore per evitare more» sono progettate per impedire una riflessione lucida.
• Richiesta di dati bancari via link: PagoPA e gli enti pubblici non chiedono mai credenziali o dati di carta tramite email o SMS.
• Mittente anomalo: l’indirizzo email del mittente non corrisponde a un dominio istituzionale (.gov.it o .comune.[città].it).
• Errori grammaticali o di formattazione: spesso presenti, anche se le versioni più recenti sono sempre più curate.

Cosa fare se si riceve una finta email da PagoPA

Se ricevi un messaggio sospetto che sfrutta il nome di PagoPA per chiederti di pagare una multa stradale, segui questi passaggi:

1. Non cliccare su nessun link contenuto nel messaggio.
2. Non inserire mai dati personali o bancari su siti raggiunti tramite questi link.
3. Verifica direttamente sul portale ufficiale PagoPA o contatta l’ente che avrebbe emesso la multa (Comune, Prefettura) tramite i canali ufficiali.
4. Segnala il messaggio al CERT-AGID inviandolo all’indirizzo malware@cert-agid.gov.it: ogni segnalazione aiuta a bloccare i domini fraudolenti più rapidamente.
5. Elimina il messaggio dopo la segnalazione.

Segnalare non è solo un atto di autodifesa: contribuisce a proteggere migliaia di altri utenti che potrebbero ricevere lo stesso messaggio.

Perché questa truffa è così efficace (e perché colpisce così tanti)

Il phishing che sfrutta PagoPA e le multe stradali funziona perché fa leva su meccanismi psicologici precisi: la paura di conseguenze legali, la familiarità con il sistema PagoPA (ormai usato da milioni di italiani per pagare tributi e servizi pubblici) e l’urgenza percepita. Chi ha già usato PagoPA per pagare bolli, rette scolastiche o tasse comunali abbassa la guardia di fronte a un’interfaccia che conosce.

I cybercriminali aggiornano continuamente le loro tecniche: le campagne più recenti includono SMS con mittente apparentemente istituzionale (smishing) e pagine di phishing con certificato HTTPS, che molti utenti associano erroneamente a un sito sicuro. Il lucchetto verde non garantisce che il sito sia legittimo: certifica solo che la connessione è cifrata.

Il ruolo del CERT-AGID e di PagoPA nel contrasto alle frodi

Il CERT-AGID monitora costantemente le campagne di phishing attive in Italia e pubblica aggiornamenti regolari sugli indicatori di compromissione (IoC) relativi a queste frodi. In sinergia con il team di sicurezza di PagoPA, interviene per richiedere la disattivazione dei domini malevoli nel minor tempo possibile.

👉 Leggi anche: Fisco, nuove verifiche con incrocio dati: come funziona il ravvedimento preventivo

PagoPA S.p.A. ricorda che non invia mai comunicazioni di pagamento tramite email o SMS con link diretti. Qualsiasi richiesta di questo tipo deve essere considerata sospetta a prescindere dalla grafica o dal mittente apparente.

FAQ: phishing PagoPA e finte multe stradali

PagoPA invia email o SMS per chiedere il pagamento di multe?

No. PagoPA è una piattaforma di pagamento: non emette sanzioni e non contatta direttamente i cittadini per richiedere pagamenti tramite link in email o SMS.

Ho cliccato sul link: cosa devo fare?

Se hai cliccato ma non hai inserito dati, il rischio è limitato. Se hai inserito dati bancari o della carta, contatta immediatamente la tua banca per bloccare eventuali transazioni non autorizzate e presenta una denuncia alla Polizia Postale.

Come verifico se una multa è reale?

Contatta direttamente l’ente che avrebbe emesso la contravvenzione (Comune, Prefettura, Polizia Locale) tramite i numeri o gli sportelli ufficiali. Non usare i contatti indicati nel messaggio sospetto.

Il sito aveva il lucchetto HTTPS: era sicuro?

No. Il lucchetto HTTPS indica solo che la connessione è cifrata, non che il sito sia autentico. I siti di phishing possono avere certificati HTTPS validi.

Dove segnalo un tentativo di phishing su PagoPA?

Puoi inviare il messaggio sospetto a malware@cert-agid.gov.it e segnalare l’accaduto alla Polizia Postale tramite il portale commissariatodips.it.

Questo articolo è stato realizzato con il supporto dell'AI e sottoposto a revisione editoriale.