La multa è falsa? Le 5 trappole che svuotano il conto

Una comunicazione molto dettagliata non è necessariamente autentica. Targa, importo della sanzione, numero di pratica e perfino il nome dell’ente possono essere usati per rendere credibile una richiesta di pagamento che, in realtà, conduce direttamente ai truffatori.

Il CERT-AGID ha individuato 49 campagne italiane di phishing legate alle multe soltanto nella settimana di giugno 2026. Le iniziative, diffuse soprattutto tramite posta elettronica e SMS, sfruttavano anche i nomi di pagoPA e SEND. Dietro questi raggiri ricorrono cinque tecniche, diverse nel funzionamento ma accomunate dalla pressione esercitata sulla vittima.

La precisione non prova nulla

Il primo segnale d’allarme è spesso l’urgenza: una scadenza ravvicinata, una maggiorazione imminente o la promessa di evitare conseguenze più gravi. L’obiettivo è impedire alla persona di fermarsi e controllare la comunicazione attraverso i canali ufficiali.

Anche il possesso della targa non dimostra che la multa esista davvero. I criminali possono aver recuperato informazioni personali e riferimenti al veicolo da fonti differenti, oppure inserire una targa plausibile durante una procedura costruita ad arte. In un caso analizzato dal CERT-AGID nel 2026, il sito contraffatto chiedeva targa e codice fiscale e soltanto dopo mostrava una presunta violazione con il relativo importo.

Cinque esche, un solo obiettivo

Il quishing utilizza un codice QR stampato su un documento che imita una vera sanzione. Dopo la scansione, l’utente viene trasferito su una pagina con l’aspetto di un portale pubblico e invitato a saldare il debito. Il denaro può finire ai responsabili della frode, mentre il modulo può servire a raccogliere i dati della carta.

Lo smishing segue invece il percorso dell’SMS. Il testo segnala una multa insoluta, indica talvolta cifra, termine e numero di pratica e propone un collegamento per chiudere subito la posizione. Il sito raggiunto dal collegamento è controllato dai criminali: in una campagna esaminata nel 2026, la procedura arrivava a richiedere anche il codice di sicurezza CVV della carta, dopo aver riprodotto elementi grafici associati a pagoPA e SEND.

Lo spoofing rende più difficile riconoscere l’inganno perché altera l’identità apparente del mittente. Un messaggio o una telefonata possono sembrare provenire da un ente noto; la Polizia di Stato ha segnalato persino casi in cui sul telefono compariva il numero reale di un ufficio di Polizia. L’interlocutore può presentarsi come agente della Polizia Locale e parlare di una sanzione da 86 euro in scadenza, per poi chiedere dati personali, informazioni della carta o l’apertura di un collegamento ricevuto via SMS.

Il sito falso sembra familiare

Il typosquatting punta sulle piccole differenze nell’indirizzo internet. La pagina appare uguale a quella legittima, ma il dominio contiene una lettera cambiata o un errore quasi invisibile. Il CERT-AGID ha individuato, in una campagna rivolta agli utenti di Autostrade per l’Italia, il dominio “autostiade.com” al posto di “autostrade.it”.

Quel portale riproduceva il marchio dell’azienda e domandava targa, numero di telefono e dati della carta. Lo stesso schema può essere applicato ai siti dei Comuni o degli enti incaricati di riscuotere le sanzioni: basta una variazione minima nell’indirizzo per condurre la vittima su una pagina non ufficiale.

Il vishing trasferisce invece la frode nella conversazione telefonica. Chi chiama può fingersi dipendente di un ente pubblico, della Polizia Locale o di una società di riscossione e insistere sulla necessità di pagare subito. Una variante, chiamata callback phishing, invita la persona a telefonare a un numero indicato in un SMS per sistemare una presunta irregolarità.

Il controllo parte dai canali ufficiali

La difesa più efficace consiste nel non usare mai collegamenti ricevuti tramite SMS o posta elettronica e nel non scansionare codici QR arrivati insieme a comunicazioni inattese. Per verificare una multa è preferibile digitare autonomamente l’indirizzo del sito dell’ente, usare un’applicazione già conosciuta oppure contattare l’amministrazione attraverso recapiti reperiti in modo indipendente.

La Polizia di Stato raccomanda inoltre di non richiamare numeri contenuti in messaggi sospetti e di controllare la richiesta mediante i riferimenti ufficiali. Scadenze ravvicinate, sconti che starebbero per scadere e minacce di aumenti non devono sostituire la verifica: proprio la fretta, in molti casi, è lo strumento con cui la truffa cerca di arrivare al conto o ai dati della carta.