PagoPA – la truffa della «multa da pagare»

«Se guardi a lungo nell’abisso, anche l’abisso ti guarda dentro.»

— Friedrich Nietzsche

Vale lo stesso in rete. Se tu sei connesso, il mondo è connesso a te: e una minaccia che sembra riguardare “qualcun altro”, prima o poi, bussa alla porta di chiunque. La nuova truffa SEND lo dimostra bene.

Arriva un SMS. Sembra il tuo Comune, parla di una multa, ti invita a verificare. Tutto normale — se non fosse una truffa costruita per sembrare reale in ogni dettaglio. A lanciare l’allarme sono l’Agenzia per la Cybersicurezza Nazionale (ACN) e il CSIRT Italia: una campagna di phishing via SMS che sfrutta il nome del Servizio Notifiche Digitali (SEND) e di pagoPA per far pagare sanzioni inesistenti e rubare i dati della carta.

Quando il phishing diventa “amministrativo”

Il messaggio segnala una presunta violazione del Codice della Strada legata alla tua targa e invita a consultare i dettagli tramite un link. Cliccando, si apre una pagina che riproduce un portale istituzionale, completa di logo SEND e dei riferimenti grafici di pagoPA. Vederli abbassa di colpo la diffidenza: sono piattaforme che la Pubblica Amministrazione usa davvero.

Da lì lo schema è guidato passo dopo passo: inserisci la targa, compare un verbale con velocità rilevata, data, importo e spese di notifica. Tutto “torna”. Ed è proprio questa coerenza a disinnescare i sospetti.

E’ questa cari lettori è l’arte dell’ingegneria sociale, nata al tempo dai sofisti e mai invecchiata fino a giorni nostri. L’arte che ci permette di influire sul comportamento altrui.

Il dettaglio che abbatte le difese: l’importo “giusto”

Nel caso analizzato dal CSIRT la cifra richiesta è di circa 44,40 euro, con tanto di “sconto” per il pagamento rapido. Non abbastanza alta da insospettire, non così bassa da sembrare irrilevante: plausibile. E lo sconto aggiunge l’urgenza che spinge a chiudere subito. La decisione diventa quasi automatica — ed è lì che la trappola scatta.

Prima il dato, poi il denaro

Prima del pagamento il sito raccoglie nome, indirizzo e contatti; solo alla fine chiede i dati della carta. Non è quindi la sola frode del momento: come avverte l’ACN, l’inserimento può portare a transazioni non autorizzate e al riuso dei dati su altre reti fraudolente. L’impatto non si esaurisce con quei 44 euro.

Perché funziona: non è un problema di sistemi

Questo attacco non sfrutta una falla informatica, ma la fiducia delle persone: la familiarità con i servizi digitali, la credibilità di marchi noti, una messa in scena senza le solite anomalie. Quando una frode diventa indistinguibile da un processo legittimo, il margine d’errore si riduce per chiunque — anche per chi si crede attento.

Anche perché, ed è bene ricordarlo, il phishing non punta agli stupidi ma si concentra su quell’attimo di disattenzione, che può capitare a chiunque.

Non hackerano i sistemi: hackerano le persone.

I segnali e come difendersi

Fermati un istante se noti uno di questi elementi:

• Un link per “verificare” o “pagare” ricevuto via SMS o e-mail, soprattutto se non atteso.
• La richiesta di inserire la targa o dati personali per vedere una sanzione.
• Un importo basso con sconto immediato che mette fretta.
• Un indirizzo web simile ma non identico ai domini ufficiali.

E ricorda il principio chiave: SEND non funziona così. Comunica solo tramite l’App IO, una PEC intestata al destinatario, i contatti della tua area personale o la posta cartacea — mai con un link che chiede la carta. Nel dubbio, non cliccare e verifica accedendo direttamente ai canali ufficiali.

Il fattore umano resta il primo bersaglio.

In Audita aiutiamo enti e aziende a rendere le persone parte attiva della sicurezza, con percorsi di Cyber Awareness e servizi di Cyber Defense. Scopri i nostri servizi.