Il CERT-AGID segnala finte multe PagoPA inviate da caselle PEC compromesse per rubare carte di credito e OTP. Ecco come verificare le sanzioni in sicurezza.
Il 27 ottobre 2026, il CERT-AGID ha diramato un'allerta ufficiale riguardante una massiccia campagna di phishing che sfrutta caselle di Posta Elettronica Certificata (PEC) compromesse per recapitare false notifiche di violazioni del Codice della Strada. Il personale amministrativo che si imbatte in questa pec pagopa multa truffa rischia di consegnare credenziali bancarie e codici OTP ai criminali informatici. Per neutralizzare la minaccia, è fondamentale non aprire i collegamenti presenti nell'email e verificare l'effettiva esistenza della sanzione accedendo in autonomia ai canali istituzionali come l'App IO o la piattaforma SEND.
I segnali per riconoscere la falsa notifica
I criminali informatici inviano il messaggio fraudolento da un indirizzo PEC reale, precedentemente violato, verso le caselle di posta ordinaria delle aziende bersaglio. Il testo simula un formale provvedimento amministrativo a nome della piattaforma "PagoPA" e del servizio "SEND".
Ci sono elementi precisi che permettono di identificare il tentativo di frode:
- Destinatari multipli: l'email contiene in copia conoscenza circa 340 indirizzi PEC. Questa è un'anomalia evidente, poiché gli atti amministrativi autentici vengono sempre notificati singolarmente.
- Importi e urgenza: il testo contesta una falsa violazione del Codice della Strada richiedendo il versamento di "198 euro entro una scadenza ravvicinata", con la minaccia esplicita di un rincaro a "268 euro in caso di ritardo".
- Il pulsante di reindirizzamento: il messaggio invita l'utente a cliccare su un elemento interattivo con la dicitura "Accesso al portale istituzionale".
Come funziona l'attacco e il furto dei dati
Cliccando sul collegamento, la vittima viene portata su una pagina web che replica in modo accurato l'identità visiva istituzionale. Tuttavia, l'infrastruttura di attacco si appoggia a domini con estensione ".ru", ospitati su provider russi, un dettaglio incompatibile con i servizi della Pubblica Amministrazione italiana.
Il form fraudolento richiede l'inserimento di nome, cognome, codice fiscale, data di nascita, indirizzo email e recapito telefonico. La pagina malevola è dotata di un componente di controllo remoto (Command & Control): esegue una chiamata JavaScript asincrona a intervalli di 500 millisecondi verso l'endpoint ../panel/classes/processor.php passando il parametro {redirectionListener:1}.
Questo meccanismo permette agli attaccanti di monitorare in tempo reale i dati digitati e di reindirizzare attivamente il browser della vittima verso ulteriori schermate. L'obiettivo finale è sottrarre i numeri delle carte di pagamento aziendali e i codici di autenticazione a due fattori (OTP bancari) per autorizzare transazioni illecite. Dal 21 aprile 2025 al 27 ottobre 2026, il CERT-AGID ha censito 1.874 campagne di questo tipo, distribuendo 14.279 indicatori di compromissione (IoC) alle strutture accreditate.
Il rischio per le PMI e gli studi professionali
Nelle aziende italiane, la posta in arrivo da un indirizzo PEC viene spesso considerata intrinsecamente sicura e affidabile. La ricezione di una comunicazione proveniente da un dominio certificato abbassa la soglia di diffidenza del personale amministrativo, che per timore di cartelle esattoriali o sanzioni a carico dell'impresa tende a eseguire le istruzioni senza le normali verifiche.
La compromissione in questo caso va ben oltre la perdita dell'importo richiesto per la finta multa: il flusso guidato dagli attaccanti mira a esfiltrare dati anagrafici e coordinate di pagamento, esponendo l'organizzazione a frodi finanziarie dirette e furti d'identità che possono avere impatti prolungati sull'operatività.
Cosa fare per verificare le multe e proteggere l'azienda
Poiché l'attacco si basa sull'abuso di credenziali rubate e sull'ingegneria sociale, non esistono patch correttive (CVE) da installare. È necessario intervenire sulle procedure di verifica e mitigazione interne.
- Non utilizzare i link nell'email: per verificare l'esistenza di una pendenza reale, accedere in autonomia (digitando l'indirizzo ufficiale nel browser) alla piattaforma nazionale delle notifiche digitali SEND, all'applicazione IO tramite SPID o CIE, o al portale del comune di presunta violazione. Se non risultano posizioni aperte nei registri ufficiali, la comunicazione è falsa.
- Ispezionare la struttura della PEC: la presenza di centinaia di destinatari in copia è incompatibile con le notifiche amministrative.
- Controllare i domini di destinazione: istruire chi gestisce la posta a verificare sempre l'URL. I portali ufficiali della PA operano esclusivamente su domini istituzionali come
.gov.ito.it, mai su estensioni geografiche estere come.ru. - Proteggere la propria infrastruttura PEC: imporre l'autenticazione a più fattori (MFA) su tutte le caselle PEC aziendali. Questo impedisce che le email dell'azienda vengano a loro volta violate e usate dai malintenzionati come nodi per l'invio massivo.
- Segnalare le anomalie: inoltrare le comunicazioni sospette al CERT-AGID per consentire l'estrazione e il blocco tempestivo dei nuovi IoC a livello nazionale.
Verificare all'interno della propria organizzazione che la procedura di gestione della posta in arrivo non consideri a priori attendibili i messaggi solo perché transitati su canale PEC.
