Finte multe PagoPA via PEC: la nuova truffa che inganna anche chi usa la posta certificata

Hai ricevuto una PEC o una email con scritto che hai una multa stradale da pagare subito, altrimenti l'importo aumenta? Fermati un attimo prima di cliccare. Negli ultimi giorni il CERT-AGID, cioè la squadra che si occupa di sicurezza informatica per l'Agenzia per l'Italia Digitale, ha lanciato un allarme su una nuova ondata di truffe che imita PagoPA, il sistema con cui in Italia si pagano tasse, bollette e sanzioni verso la Pubblica Amministrazione.

La cosa che rende questa truffa particolarmente pericolosa è che arriva spesso tramite PEC, la Posta Elettronica Certificata, quella che normalmente associamo a comunicazioni ufficiali e sicure. Vediamo insieme come funziona davvero e, soprattutto, come difenderti.

Come funziona la truffa delle finte multe PagoPA

L'email viene inviata da una PEC compromessa ad un indirizzo email ordinario, inserendo in copia circa 340 indirizzi PEC relativi ad una presunta violazione del codice della strada. Il testo non è scritto male come capita in tante altre truffe: il testo sembra scritto in maniera professionale con numerosi riferimenti normativi, il che lo rende molto credibile agli occhi di chi lo riceve.

Nel messaggio compare una cifra precisa da pagare: una multa stradale da 198 euro, con la minaccia di farla salire a 268 se non viene pagata in fretta. Cliccando sul link presente nel messaggio, la vittima viene indirizzata ad una pagina con un aspetto molto simile a quello della piattaforma PagoPA, dove viene chiesto di inserire i propri dati.

Il sito finto non si limita a chiedere pochi dettagli: invita la vittima a inserire i propri dati personali, tra cui nome, cognome, codice fiscale, data di nascita, indirizzo email e numero di telefono, per poi passare alla fase di pagamento, dove è facile immaginare che vengano richiesti anche i dati della carta di credito.

Perché la PEC non ti protegge automaticamente

Molti pensano che se un messaggio arriva da una casella PEC, allora è per forza affidabile. Non è così, e lo stesso CERT-AGID lo ha ribadito chiaramente: "La provenienza di un messaggio da una casella PEC non garantisce la legittimità del contenuto".

Il motivo è semplice da capire anche per chi non è esperto di informatica: in questi casi i truffatori non creano caselle PEC false dal nulla, ma diffondono la truffa attraverso caselle di posta elettronica certificata compromesse con false richieste di pagamento a PagoPA. In pratica, prendono il controllo di una PEC vera, appartenente a un'azienda o a un professionista reale, e la usano per inviare le loro email truffa. Il mittente quindi risulta tecnicamente "vero", ma il contenuto è completamente falso.

Numeri che fanno capire quanto è diffuso il fenomeno

Non si tratta di un episodio isolato, ma di una vera e propria strategia su larga scala. Secondo i dati ufficiali, dal 21 aprile 2025 al 27 ottobre 2026 sono state censite 1.874 campagne di phishing che utilizzavano il tema delle multe sfruttando i nomi di pagoPA e SEND. Solo nell'ultima settimana monitorata, sono state individuate ben 25 campagne di phishing diverse, diffuse tramite SMS, email e PEC.

Per dare un'idea della scala dell'operazione dietro queste truffe, il CERT-AGID ha raccolto e condiviso con le pubbliche amministrazioni 14.279 indicatori di compromissione (IoC), cioè elementi tecnici (come indirizzi dei siti truffa) che permettono di riconoscere e bloccare queste campagne.

Come riconoscere il messaggio falso

Ecco i segnali a cui prestare attenzione quando ricevi una comunicazione di questo tipo:

• Il messaggio ti mette fretta, parlando di scadenze imminenti e importi che aumentano se non paghi subito;
• Il link presente nell'email o nella PEC non porta a un indirizzo che termina con un dominio ufficiale come pagopa.gov.it;
• Ti viene chiesto di inserire dati personali sensibili (codice fiscale, data di nascita, numero di telefono) prima ancora di vedere il dettaglio della presunta infrazione;
• Il testo, pur sembrando professionale, contiene piccole incongruenze nei riferimenti normativi o nei loghi.

Vale la pena ricordare anche un dettaglio tecnico importante, utile soprattutto per chi gestisce PEC aziendali: in una delle varianti più recenti analizzate dagli esperti di sicurezza, la pagina truffa non compariva all'indirizzo principale del sito, che restituiva un errore generico, ma era servita solo tramite un link diretto. Questo significa che se provi ad aprire il sito "a mano" digitando l'indirizzo, spesso non vedrai nulla di sospetto: la trappola scatta solo cliccando sul link esatto ricevuto via email o SMS.

Cosa fare se ricevi una PEC o una email di questo tipo

Segui questi passaggi, in ordine, e non avrai problemi.

1. Non cliccare sul link. Anche se il messaggio sembra urgente e ufficiale, il primo passo è sempre lo stesso: non toccare nessun pulsante o collegamento presente nel testo.

2. Verifica tramite i canali ufficiali. Se vuoi sapere se hai davvero una multa da pagare, non usare il link ricevuto: vai direttamente sul sito ufficiale di PagoPA o accedi alla sezione multe tramite SPID o CIE, come faresti normalmente senza partire da un'email.

3. Controlla le segnalazioni ufficiali in caso di dubbio. Enti come l'Agenzia delle Entrate pubblicano regolarmente le campagne di phishing che li riguardano, con tanto di esempi reali dei messaggi truffa, proprio per aiutarti a confrontarli con quello che hai ricevuto tu.

4. Segnala il messaggio e, se necessario, cambia le password. Se hai dei dubbi su una PEC ricevuta, puoi inoltrarla al CERT-AGID per le verifiche del caso: "le comunicazioni sospette possono essere inoltrate al CERT-AGID per le opportune verifiche". Se invece hai già cliccato sul link e inserito dati o numero di carta, contatta subito la tua banca per bloccare la carta ed eventuali pagamenti sospetti, e cambia le password degli account che potrebbero essere collegati a quei dati.

Cosa fare se gestisci una PEC aziendale

Se sei un'azienda o un professionista e temi che la tua PEC possa essere stata usata per inviare messaggi come questi a tua insaputa, il consiglio è di cambiare subito la password di accesso alla casella e attivare, se disponibile, un sistema di autenticazione a due fattori. Controlla anche la cartella "posta inviata": se trovi messaggi che non hai scritto tu, è il segnale che la casella è stata compromessa e va messa in sicurezza il prima possibile, avvisando anche il gestore del servizio PEC.

In generale, la regola d'oro resta sempre la stessa: nessun ente pubblico chiede mai di pagare con urgenza cliccando un link ricevuto via email o PEC. Se hai un dubbio, prenditi sempre qualche minuto in più per verificare prima di agire: è il modo più semplice per non cadere in queste trappole, sempre più curate nei dettagli.