CERT-AGID, il Computer Emergency Response Team dell’Agenzia per l’Italia Digitale, ha individuato nell’ultima settimana una nuova ondata di phishing che sfrutta account di posta elettronica certificata (PEC) già violati per recapitare false multe PagoPA a indirizzi di posta ordinaria.
Il meccanismo è studiato per abbassare le difese del destinatario: il messaggio non arriva da un indirizzo anonimo o sospetto, ma da una casella PEC realmente compromessa, con circa 340 altri indirizzi PEC inseriti in copia nello stesso invio, a simulare una comunicazione istituzionale massiva e dall’aria ufficiale. Il testo chiede il pagamento di una presunta sanzione da 198 euro, con la minaccia di un aumento a 268 euro in caso di ritardo: importi scelti non a caso, perché coerenti con le sanzioni stradali realmente previste dal Codice della Strada.
Il link di accesso, etichettato “Accesso al portale istituzionale”, non porta però al vero portale PagoPA, bensì a un dominio russo (.ru) che ne replica fedelmente loghi e grafica. La pagina-clone raccoglie nome, cognome, codice fiscale, data di nascita, email e numero di telefono; uno script interroga ogni 500 millisecondi un server sotto il controllo degli attaccanti e può reindirizzare la vittima verso ulteriori schermate, incluse quelle – non confermate nei casi esaminati finora – per la raccolta di dati di carta di credito e codici di verifica bancaria.
Il fenomeno non è isolato: dall’aprile 2025 a oggi CERT-AGID ha censito complessivamente 1.874 campagne di phishing a tema “multa”, e ha raccolto 14.279 indicatori di compromissione legati a queste attività. Per contenere la diffusione dei casi più recenti, l’Agenzia ha coinvolto i gestori di posta certificata e condiviso gli indicatori di compromissione attraverso il proprio Flusso IoC, reso disponibile agli enti accreditati per bloccare tempestivamente domini e indirizzi malevoli.
Le raccomandazioni di CERT-AGID sono semplici ma vanno ribadite con forza proprio agli studi legali, utenti intensivi della PEC per l’intera attività professionale:
- non cliccare mai sui link contenuti in comunicazioni di questo tipo, verificando piuttosto l’esistenza di un’eventuale sanzione direttamente sui canali ufficiali dell’ente indicato;
- ricordare che la provenienza da un indirizzo PEC, la presenza di riferimenti normativi o di loghi apparentemente ufficiali non garantiscono in alcun modo l’autenticità del messaggio, specie quando la PEC mittente può essere essa stessa vittima di una violazione;
- in caso di avvenuto inserimento di dati di pagamento, contattare immediatamente la propria banca per valutare il blocco della carta e verificare movimenti non autorizzati;
- infine, inoltrare le comunicazioni sospette a CERT-AGID per l’analisi.
Articoli simili
Nuovo Codice della Strada: tutte le novità, dalle multe al chilometro al corridoio per le moto
Multe, autovelox, divieto di guida, corsia per moto e scooter, smartphone, alcol e droghe, riscossione dei verbali non pagati: la guida completa allo schema di…
Il Garante privacy sanziona per 2mila euro la Federazione nazionale degli ordini dei biologi per due comunicazioni PEC inviate nel 2025 con gli indirizzi di…
AI Act, da domani la vigilanza è legge: multe fino al 7% del fatturato globale
Il decreto legislativo 179/2026 entra in vigore il 23 ottobre: ACN diventa l'autorità di sorveglianza del mercato, AgID la notificante, mentre Banca d'Italia, Consob, Ivass…
