Una multa via PEC non è sempre vera: le false richieste PagoPA arrivano anche da caselle certificate

Ti arriva una PEC. Parla di una multa per violazione del Codice della Strada. Il tono è formale, ci sono articoli di legge, una scadenza vicina e un pulsante.

È una PEC, quindi sembra vera.

Non è detto. La PEC dice chi l'ha spedita. Non dice se quello che c'è scritto è vero.

Cosa ha scoperto il CERT-AGID

Il 27 ottobre il CERT-AGID, la squadra di sicurezza dell'Agenzia per l'Italia Digitale, ha descritto nuove campagne di false multe a nome di PagoPA. Arrivano da caselle PEC vere, rubate ai legittimi proprietari.

Il messaggio:

• chiede 198 euro entro una scadenza ravvicinata;

• minaccia un aumento a 268 euro se paghi in ritardo;

• ha un pulsante «Accesso al portale istituzionale».

Il pulsante porta a un sito falso, con un indirizzo che finisce in .ru, che copia loghi e grafica di PagoPA. Lì ti chiedono nome, cognome, codice fiscale, data di nascita, email e numero di telefono.

Nei casi analizzati, una sola PEC rubata era stata mandata a circa 340 indirizzi insieme. La notizia è stata ripresa da Help Consumatori e Punto Informatico.

Il dettaglio nuovo: qualcuno ti guida da remoto

Secondo il CERT-AGID, la pagina falsa controlla ogni mezzo secondo se chi sta dietro ha nuove istruzioni. In pratica i truffatori possono decidere in tempo reale quale schermata mostrarti.

Tra quelle previste ci sono pagine per i dati della carta e per i codici di verifica della banca. Prima i dati personali, poi la carta, poi il codice: un passo alla volta, come in una telefonata di un finto operatore.

Non è un caso isolato

Dal 21 aprile 2025 il CERT-AGID ha contato 1.874 campagne di false multe a nome di PagoPA e SEND. Quelle con il nome di PagoPA sono quasi il doppio di quelle con il nome di SEND.

Avevamo già parlato delle false multe via SMS a nome di SEND e dei Comuni. Lì avevamo scritto che una notifica vera può arrivare anche via PEC. Resta vero. Ma oggi sappiamo che anche una PEC falsa può arrivare da un indirizzo certificato. Quindi il canale da solo non basta.

Come controllare una multa senza rischi

La regola è la stessa per SMS, email e PEC: non usare il link del messaggio. Entra da solo.

1. Non premere il pulsante e non aprire allegati.

2. Apri l'app IO, oppure scrivi tu l'indirizzo notifichedigitali.it ed entra con SPID o CIE. Se c'è una multa notificata a te, la trovi lì.

3. Per le multe del Comune, vai sul sito ufficiale del Comune o chiama la Polizia locale al numero che cerchi tu.

4. Guarda la cifra. Una richiesta «198 euro, poi 268» con scadenza vicina serve a metterti fretta. La fretta è il primo segnale.

Come segnalarla

Il CERT-AGID invita a inoltrargli i messaggi sospetti per le verifiche, all'indirizzo malware@cert-agid.gov.it indicato nei suoi avvisi. Puoi scrivere anche a truffe@pagopa.it. Se la PEC arriva dalla casella di un ufficio o di un professionista che conosci, avvisalo con un altro mezzo: forse non sa che la sua casella è stata violata.

Se hai già inserito i dati

Muoviti subito, con calma.

• Hai inserito la carta o un codice della banca? Chiama la banca dal numero sul retro della carta o dall'app e chiedi il blocco.

• Hai inserito solo i dati personali? Aspettati messaggi e chiamate che usano quei dati per sembrare credibili. Nessun ente ti chiede soldi o codici al telefono.

• Hai perso soldi? Fai denuncia alla Polizia postale o ai Carabinieri e porta la PEC.

Per figli e nipoti

La PEC ispira fiducia, soprattutto a chi la usa per lavoro o per pratiche importanti.

Una frase da dire ai tuoi genitori: «Anche se è una PEC, la multa la controlliamo sull'app IO. Non dal pulsante.»

In breve

• La PEC garantisce la consegna, non la verità del contenuto.

• Ci sono false multe PagoPA da 198 euro inviate da caselle PEC rubate.

• Il sito falso può guidarti passo passo fino ai dati della carta.

• Controlla sempre sull'app IO o su notifichedigitali.it, entrando da solo.

Arrassu, intanto, è disponibile gratis per Android.