Foto di Charles Asselin.

Le campagne di phishing che sfruttano il nome di PagoPA hanno compiutodalla un ulteriore salto di qualità: i messaggi fraudolenti adesso non arrivano più soltanto da indirizzi falsificati o domini creati ad hoc, ma vengono diffusi anche attraverso caselle di Posta Elettronica Certificata compromesse. L'obiettivo resta quello di convincere le vittime a pagare una presunta multa stradale e, soprattutto, a consegnare dati personali e informazioni finanziarie ai criminali informatici. Secondo quanto rilevato dal CERT-AGID, nell'ultima settimana sono state osservate diverse campagne che utilizzano PEC compromesse per inviare richieste di pagamento apparentemente riconducibili a PagoPA. La scelta di sfruttare caselle certificate aggiunge un elemento di credibilità alla truffa, poiché molti destinatari tendono ad associare la PEC a comunicazioni affidabili e ufficiali.

Nei casi più recenti il messaggio veniva inviato da una PEC compromessa verso un ordinario indirizzo di posta elettronica, mentre in copia comparivano circa 340 indirizzi PEC. Questa modalità di distribuzione contribuisce a rendere la comunicazione più verosimile agli occhi della vittima, che può interpretare la presenza di numerosi destinatari come un segnale di autenticità. L'esca utilizzata è una presunta violazione del Codice della Strada. Il testo richiama la forma tipica di un provvedimento amministrativo, impiega un linguaggio particolarmente formale e contiene numerosi riferimenti normativi. Al destinatario viene richiesto il pagamento di una sanzione da 198 euro entro una scadenza ravvicinata, con l'avvertimento che l'importo salirà a 268 euro in caso di ritardo.

All'interno del messaggio compare un pulsante denominato Accesso al portale istituzionale. Facendo clic sul collegamento, l'utente viene indirizzato verso un sito fraudolento che riproduce loghi, colori e impostazione grafica del sistema PagoPA. In alcuni casi osservati dagli analisti, le pagine erano ospitate su infrastrutture riconducibili a un fornitore di servizi di hosting russo e utilizzavano domini con estensione .ru. Una volta aperta la falsa piattaforma, alla vittima viene chiesto di inserire una serie di informazioni personali: nome, cognome, codice fiscale, data di nascita, indirizzo di posta elettronica e numero di telefono. La procedura viene presentata come necessaria per consultare il verbale o completare il pagamento della presunta sanzione.

Le analisi tecniche svolte dal CERT-AGID hanno però evidenziato un elemento particolarmente interessante: il portale fraudolento non si limita a raccogliere informazioni statiche, ma integra un meccanismo che consente agli attaccanti di controllare da remoto il percorso di navigazione dell'utente. La pagina comunica periodicamente con un pannello di gestione presente sul server e verifica continuamente l'eventuale presenza di istruzioni impartite dagli operatori della frode. In pratica, gli autori dell'attacco possono modificare dinamicamente le schermate mostrate alla vittima. Tra le possibili destinazioni individuate dagli analisti figurano pagine dedicate alla raccolta dei dati delle carte di pagamento e dei codici di verifica bancari. Questo approccio permette ai criminali di adattare il flusso della truffa in funzione delle informazioni già ottenute e di guidare passo dopo passo l'utente verso la consegna dei dati più sensibili.

Per approfondire:

Microsoft smantella EvilTokens, il servizio di phishing in abbonamento gestito d...

Attacco a Revolut, tra i dati rubati spunta una cartella Italy

Phishing con il logo ARERA: attenzione alle email sul bonus sociale idrico

Hackerata Trenitalia, rubati i dati di viaggio dei passeggeri

Il fenomeno delle false multe a tema PagoPA non è nuovo, ma i numeri raccolti dal CERT-AGID mostrano una dimensione ormai rilevante. Dal 21 aprile 2025 sono state censite 1.874 campagne di phishing collegate ai marchi PagoPA e SEND. Nello stesso periodo sono stati individuati e condivisi 14.279 indicatori di compromissione con le amministrazioni e le organizzazioni accreditate ai servizi dell'agenzia. I dati evidenziano inoltre che le campagne che sfruttano il nome e l'immagine di PagoPA risultano quasi il doppio rispetto a quelle che impersonano SEND. Il quadro conferma come i servizi digitali utilizzati quotidianamente dai cittadini rappresentino un bersaglio particolarmente appetibile per i gruppi criminali che puntano a massimizzare il numero di vittime facendo leva su marchi ampiamente riconosciuti.

Le segnalazioni pubblicate dal CERT-AGID mostrano una continuità delle campagne a tema PagoPA, che hanno sfruttato nel tempo false sanzioni stradali, comunicazioni riconducibili alla Polizia di Stato, notifiche SEND e persino presunti rimborsi fiscali per sottrarre dati personali e finanziari agli utenti. Il CERT-AGID ricorda che la provenienza di un messaggio da una casella PEC non costituisce una garanzia sulla legittimità del contenuto. Per contrastare la campagna sono state avviate attività di coordinamento con i gestori PEC e gli indicatori tecnici associati all'operazione sono stati condivisi con le strutture accreditate, così da favorire l'individuazione e il blocco delle infrastrutture coinvolte. L'agenzia raccomanda inoltre di verificare eventuali richieste di pagamento esclusivamente attraverso i canali ufficiali degli enti interessati, evitando di utilizzare i collegamenti presenti nei messaggi sospetti.

Leggi anche:

Burger King Italia, sospetto furto di dati: allerta su phishing e carte fedelt&...

Polyfill manda in tilt le TV Samsung

Phishing, svolta UE: le banche dovranno rimborsare subito le vittime

Chiamate mute in aumento: così i truffatori filtrano i numeri e preparano a...