Hai ricevuto un SMS o un’email che ti avvisa di una multa non pagata, con un link per saldare subito tramite PagoPA o SEND? Prima di pagare, fermati e verifica.
Le false multe sono tra i temi di phishing più utilizzati in Italia nel 2026. Nella settimana 15–21 agosto, il CERT-AGID ha rilevato 37 campagne di phishing italiane a tema multe, quasi tutte ai danni di SEND e PagoPA. Nello stesso periodo sono state analizzate 132 campagne malevole complessive, 103 delle quali con obiettivi italiani.
Come funziona la truffa della multa PagoPA
Il messaggio cerca di creare urgenza: una contravvenzione risulterebbe non pagata, l’importo potrebbe aumentare oppure sarebbe necessario regolarizzare la posizione entro poche ore. Il collegamento porta però a un sito controllato dai criminali, costruito per assomigliare a un servizio istituzionale.
Lo scopo può essere sottrarre dati anagrafici, informazioni della carta di pagamento, credenziali o codici di conferma.
Perché queste truffe sono credibili
Un sito fraudolento può copiare loghi, colori e testi di PagoPA, SEND o della Pubblica Amministrazione. Può inoltre utilizzare un dominio contenente parole come “pagopa”, “multa”, “poliziadistato” o “pagamento”. Nessuno di questi elementi dimostra che il sito sia autentico.
Il CERT-AGID ha documentato nell’agosto 2026 anche campagne che abusavano dei nomi della Polizia di Stato e di PagoPA, utilizzando domini ingannevoli per indurre le vittime a pagare sanzioni inesistenti.
Come riconoscere una falsa multa ricevuta via SMS o email
1. Non fidarti dell’urgenza
Frasi come “ultimo avviso”, “paga entro oggi”, “sanzione in aumento” o “procedura esecutiva imminente” servono a ridurre il tempo che dedichi alla verifica.
2. Non valutare il sito soltanto dal logo
La grafica può essere copiata. Controlla invece con attenzione il dominio effettivo visualizzato dal browser. Anche HTTPS e il simbolo del lucchetto indicano che la connessione è cifrata, non che il sito sia necessariamente legittimo.
3. Non pagare dal link ricevuto
Se pensi che la multa possa essere reale, verifica attraverso i canali ufficiali dell’ente che l’avrebbe emessa o accedendo autonomamente ai servizi ufficiali, senza utilizzare il collegamento contenuto nel messaggio.
4. Attenzione agli importi piccoli
Una richiesta di poche decine di euro può sembrare più credibile e spingere a pagare senza controllare. Il valore richiesto non è un indicatore di autenticità.
Ho aperto il link: cosa devo fare?
Aprire una pagina non significa automaticamente aver subito un furto di dati. Il rischio aumenta se hai inserito informazioni personali, numero e scadenza della carta, credenziali, codici OTP oppure se hai scaricato ed eseguito file o applicazioni.
Se hai fornito dati della carta, contatta immediatamente la banca attraverso i suoi canali ufficiali e controlla i movimenti. Se hai inserito una password utilizzata anche altrove, cambiala sui servizi interessati. Conserva inoltre SMS o email, indirizzo del sito, screenshot e data e ora dell’accaduto.
Checklist prima di pagare una multa online
- Hai raggiunto il sito digitando tu l’indirizzo o partendo da un canale ufficiale?
- Il dominio è esattamente quello dell’ente o del servizio che stai utilizzando?
- Hai verificato che la sanzione esista davvero?
- Il messaggio cerca di spaventarti o costringerti a pagare immediatamente?
- Ti vengono richiesti dati insoliti rispetto a un normale pagamento?
Le truffe online stanno diventando più frequenti e credibili
Il fenomeno non riguarda soltanto le multe. Il CERT-AGID ha registrato nella settimana 15–21 agosto 2026 campagne basate anche su banking, falsi rimborsi, fatture e documenti. Per questo la difesa più efficace non consiste nel riconoscere una singola grafica falsa, ma nell’adottare un metodo di verifica indipendente prima di fornire dati o effettuare pagamenti.
Se vuoi approfondire le tecniche utilizzate dai criminali, leggi anche come difendersi dagli attacchi di phishing e la guida sulla truffa SPID 2026.
Domande frequenti
PagoPA invia multe via SMS?
Un messaggio che cita PagoPA non prova che una sanzione sia autentica. La verifica va effettuata attraverso il canale ufficiale dell’ente creditore o accedendo autonomamente ai servizi ufficiali.
Se il sito contiene la parola PagoPA è sicuro?
No. Un dominio può contenere parole o marchi conosciuti senza appartenere all’organizzazione citata.
Posso essere truffato anche se la cifra richiesta è bassa?
Sì. Un importo contenuto può essere utilizzato proprio per rendere plausibile la richiesta e ottenere rapidamente dati di pagamento.