Finta multa da pagare su SEND : la truffa che imita il servizio PagoPA e svuota il conto corrente

L'esca viene lanciata via mail o con un messaggio in chat. Il mittente sembra essere il SEND, il Servizio Notifiche Digitali di PagoPA che viene utilizzato dalla Pubblica Amministrazione per inviare comunicazioni con valore legale, come atti amministrativi o notifiche fiscali. Il contenuto della notifica comunica il mancato pagamento di una multa e l'invito a saldare immediatamente l'ammanco. C'è anche un link che apre una pagina che sembra avere tutti i crismi di un canale istituzionale. Dietro tutto questo c'è però una rete di malintenzionati pronti a trafugare dati e svuotare i conti correnti di chi casca nella trappola.

A lanciare l'allarme è stato il CERT-AGID, il team di sicurezza informatica dell'Agenzia per l'Italia Digitale, che ha individuato una campagna di phishing particolarmente insidiosa che contatta le vittime con la notifica di false multe e presunte sanzioni stradali da pagare. I messaggi arrivano tramite e-mail, SMS o altre applicazioni di messaggistica (come WhatsApp) e imitano in modo convincente le comunicazioni ufficiali. All'interno vengono indicati importi precisi, numeri di pratica e scadenze ravvicinate, elementi studiati per trasmettere credibilità e spingere il destinatario ad agire senza riflettere.

Come funziona la truffa delle finte multe

Il meccanismo segue il classico schema del phishing, quel tipo di truffe informatiche in cui i criminali si spacciano per enti, servizi o soggetti affidabili per conquistare la fiducia delle vittime, abbassarne le difese e convincerle a consegnare dati sensibili o denaro. In questo caso, il bersaglio del raggiro riceve un avviso che segnala una presunta sanzione stradale non pagata e invita a regolarizzare la propria posizione attraverso un link presente nel messaggio. Cliccando, si viene reindirizzati a un sito che riproduce fedelmente la grafica di SEND. CERT-AGID ha pubblicato sul proprio sito alcune schermate delle pagine-truffa e anche un occhio esperto farebbe fatica a distinguerle da quelle originali.

A questo punto la pagina di landing della truffa chiede di inserire dati personali, credenziali di accesso o gli estremi della carta di credito per effettuare il pagamento e saldare le multe in sospeso. Una volta ottenute tutte le informazioni, i cyber-criminali possono sfruttarle per effettuare acquisti online non autorizzati o tentare di svuotare il conto corrente della vittima.

Come riconoscere l'inganno e proteggere i propri dati

Nella nota ripresa anche dall'associazione per i diritti dei consumatori CODICI, gli esperti hanno ricordato come SEND invii le proprie comunicazioni solamente tramite l'App IO, una PEC intestata al destinatario, i recapiti segnalati nell'area personale della piattaforma o tramite missiva cartacea e recapitata via posta. Qualsiasi notifica con richiesta di pagamenti fatta recapitare per altri canali – come appunto mail ordinarie, SMS o messaggi su WhatsApp – è pertanto da prendere con le pinze, anche quando sembra molto credibile.

Ci sono poi altri elementi che devono sempre mettere in allerta. I messaggi di phishing utilizzano spesso toni perentori e allarmistici che puntano a creare un senso d'urgenza che spinga la vittima a pagare rapidamente, senza effettuare ulteriori verifiche. Non a caso, queste e-mail richiamano frequentemente il rischio di sanzioni aggiuntive, interessi di mora o altre conseguenze amministrative nel caso in cui il pagamento non venga effettuato entro tempi molto stretti. Inoltre, i link contenuti nelle comunicazioni rimandano a siti con indirizzi web molto simili a quelli ufficiali ma caratterizzati da piccole differenze nella grafia del dominio (spesso ci sono lettere invertite, numeri e simboli che tradiscono la natura fraudolenta).

Per difendersi è fondamentale non cliccare mai sui collegamenti ricevuti, non fornire dati personali o bancari e verificare sempre eventuali notifiche accedendo direttamente all'App IO o ai portali ufficiali. In caso di dubbio è poi consigliabile ignorare il messaggio e segnalarlo a PagoPA e al CERT-AGID.

E se ci si accorge della truffa quando ormai si è già provveduto a comunicare i dati ai malintenzionati? In questi casi bisogna subito avvertire la propria banca per bloccare lo strumento di pagamento condiviso con i criminali.