In questo articolo Indice dei contenuti 2 sezioni
Una nuova ondata di phishing PagoPA sta raggiungendo le caselle di posta di cittadini e professionisti italiani, e stavolta il canale scelto dai truffatori è particolarmente insidioso. Gli esperti del CERT AgID, il gruppo di risposta alle emergenze informatiche dell’Agenzia per l’Italia Digitale, hanno individuato diverse campagne che sfruttano siti con un aspetto molto simile a quello della piattaforma ufficiale. I messaggi partono da PEC compromesse e chiedono di saldare una presunta multa per violazione del codice della strada.
Il meccanismo funziona perché fa leva sulla fiducia. La Posta Elettronica Certificata è ormai uno strumento indispensabile, come ha evidenziato uno studio di IDC commissionato da Aruba, e chi riceve una comunicazione da un mittente di questo genere tende a considerarla affidabile quasi per abitudine. Proprio questa provenienza in teoria sicura può trarre in inganno i destinatari, esattamente come era già successo nel caso che aveva coinvolto Revolut.
Come funziona la truffa della falsa multa
Nelle ultime settimane gli attacchi sono cresciuti in modo netto e il CERT AgID ha descritto nel dettaglio due episodi recenti. In uno di questi l’email è stata spedita da una casella certificata violata verso un normale indirizzo di posta ordinaria, con circa 340 indirizzi PEC inseriti in copia. Il contenuto riguarda una presunta violazione del codice della strada e il testo appare scritto in maniera professionale, con numerosi riferimenti normativi che danno al messaggio un’aria del tutto ufficiale.
La richiesta è molto precisa. Bisogna versare 198 euro entro il 27 ottobre, altrimenti scatta un importo maggiorato pari a 268 euro. Per consultare il verbale di accertamento e procedere con il pagamento è sufficiente cliccare sul pulsante presente nel corpo della comunicazione, ed è esattamente in quel passaggio che si nasconde la trappola.
Il collegamento apre infatti una pagina che riproduce molto da vicino la grafica di pagoPA. Guardando con un minimo di attenzione l’inganno risulta però piuttosto evidente, perché il sito poggia su un dominio .ru, indizio che dietro l’operazione ci siano con ogni probabilità cybercriminali russi. La sanzione indicata nella pagina fasulla riguarda un eccesso di velocità e per mettersi in regola viene chiesto di inserire una lunga serie di informazioni personali. Nome, cognome, codice fiscale, data di nascita, indirizzo email e numero di telefono, a cui si aggiungono i dati della carta di pagamento. Tutto ciò che serve, in pratica, per mettere le mani sia sull’identità della vittima sia sul suo denaro.
Quasi 1.900 campagne con i nomi di PagoPA e SEND
Lo stratagemma delle multe inesistenti non rappresenta certo una novità, anzi è tra quelli che i truffatori ripropongono più spesso. Dal 21 aprile 2025 a oggi il CERT AgID ha contato ben 1.874 campagne di phishing che sfruttano i nomi di PagoPA e SEND, due marchi che per molti utenti sono sinonimo di comunicazioni istituzionali e quindi di garanzia. Un numero che rende bene l’idea di quanto questo schema sia diffuso e di quanto venga utilizzato con regolarità.
Gli esperti insistono su un aspetto in particolare. Il fatto che un messaggio arrivi da una casella PEC non assicura in alcun modo che il suo contenuto sia legittimo, perché l’account del mittente può essere stato violato e usato per diffondere comunicazioni fraudolente. La certificazione riguarda infatti l’invio e la consegna, non la buona fede di chi scrive. Proprio per arginare il fenomeno il CERT AgID ha già contattato i gestori PEC interessati dalle campagne individuate.
Fonte: TecnoAndroid