False multe pagoPA via PEC: il phishing che arriva da caselle vere

Il 27 ottobre 2026 il CERT-AGID, la struttura dell'Agenzia per l'Italia Digitale che segue gli attacchi informatici, ha segnalato una nuova campagna di false multe a nome di pagoPA inviate da caselle PEC compromesse: caselle vere, rubate ai legittimi titolari. Il messaggio chiede di pagare 198 euro per una presunta violazione del Codice della strada, minacciando un aumento a 268 euro. Come ricostruisce Cybersecurity360, il link porta a un falso portale di pagamento ospitato su un dominio russo.

Come funziona la truffa?

L'email parte da una PEC autentica e arriva a una casella ordinaria, con circa 340 indirizzi PEC in copia. Il testo usa il linguaggio dei verbali, cita norme, mette fretta. Il falso portale chiede nome, cognome, codice fiscale, data di nascita, email e telefono; poi possono comparire altre schermate per i dati della carta o i codici della banca.

Il CERT-AGID ha notato un dettaglio tecnico che dice molto sull'organizzazione dei truffatori: la pagina interroga il loro pannello di controllo ogni mezzo secondo, così possono cambiare in tempo reale cosa vede la vittima mentre compila.

Il CERT-AGID ha contattato i gestori delle PEC coinvolte e distribuito gli indicatori tecnici della campagna. Dal 21 aprile 2025 al 27 ottobre 2026 ha contato 1.874 campagne a tema multe che usano i nomi di pagoPA e SEND.

Perché una PEC non basta a fidarsi?

Molti pensano che la PEC sia di per sé una garanzia. Non è così: certifica che il messaggio è partito da quella casella e quando, non che chi lo ha scritto sia il titolare né che il contenuto sia vero. Se la casella è stata rubata, il truffatore usa la credibilità della PEC a suo favore.

C'è poi un secondo problema, che riguarda direttamente le aziende: le caselle usate per spedire sono di qualcuno. Professionisti, imprese, associazioni che si ritrovano a mandare truffe a centinaia di contatti senza saperlo.

Negli stessi giorni il CERT-AGID ha segnalato anche una campagna via SMS con false multe a nome della Polizia di Stato: il tema è lo stesso, cambia il canale.

Come si riconosce una falsa multa?

• il CERT-AGID consiglia di non usare mai il link contenuto nel messaggio;
• le multe si verificano nell'app IO, sul portale SEND o sul sito dell'ente che le ha emesse;
• un importo che "aumenta" se non paghi subito è una leva psicologica tipica delle truffe;
• il sito di pagamento ha un indirizzo che non ha nulla a che vedere con pagoPA o con l'ente.

Cosa fare adesso?

Se ricevi una di queste PEC:

1. Non aprire il link. Verifica la multa digitando tu l'indirizzo dell'app IO, di SEND o del Comune.
2. Se hai inserito dati della carta, chiama subito la banca e valuta il blocco; cambia le password che hai digitato.
3. Segnala il tentativo a truffe@pagopa.it, come indicato dal CERT-AGID.

Se il mittente è la tua PEC, le indicazioni del CERT-AGID per aziende ed enti sono:

1. controllare gli accessi anomali alla casella;
2. cambiare la password e revocare le sessioni attive;
3. verificare che non siano state create regole di inoltro automatico;
4. conservare i registri, avvisare i contatti e valutare gli adempimenti privacy.

Per allenare l'occhio su questi messaggi, trovi altri esempi in come riconoscere il phishing aziendale; per proteggere la casella, attiva dove possibile l'autenticazione a due fattori.

Ne parliamo?

Molti studi e piccole imprese ricevono PEC che poi qualcuno ricopia a mano nel gestionale. Quando costruisco un'automazione dei processi che legge la PEC, metto controlli sul mittente e sul contenuto, così un messaggio falso non entra nel flusso di lavoro come se fosse vero. Negli studi professionali, dove la PEC è uno strumento di lavoro quotidiano, questo pesa ancora di più. Se vuoi un parere sul tuo flusso, parti da una consulenza tecnica. Scrivimi dalla pagina contatti.

Fonti

• Phishing PagoPA: nuove campagne a tema multe diffuse tramite PEC compromesse (CERT-AGID)
• False multe via PEC, CERT-AGID scopre il sistema dei truffatori (Cybersecurity360)
• Smishing a tema multe: SMS fraudolenti sfruttano il nome della Polizia di Stato (CERT-AGID)

Crediti delle immagini

• Copertina: foto di RDNE Stock project su Pexels