Phishing PagoPA via PEC compromesse: come riconoscerlo
Il CERT-AgID segnala campagne di phishing a tema PagoPA veicolate anche via PEC compromesse. Ecco perché il canale certificato non basta.
Il CERT-AgID ha segnalato una campagna malevola che usa caselle PEC compromesse per diffondere falsi solleciti di pagamento e indirizzare le vittime verso pagine fraudolente. Il tema non è nuovo, ma il dettaglio che cambia il rischio percepito è preciso: un messaggio arrivato via PEC può apparire più affidabile di una normale email spam, senza esserlo davvero.
Nel caso documentato dal centro nazionale di risposta, la campagna è stata ricondotta a MintsLoader, una catena usata per veicolare contenuti malevoli, e ha sfruttato caselle PEC reali compromesse per veicolare finte richieste di pagamento. In parallelo, il CERT-AgID aveva già rilevato campagne di phishing che imitano PagoPA, usando nome, logo e impostazione grafica del servizio per spingere gli utenti a inserire dati personali e di carta di pagamento.
Perché una PEC può essere usata per truffare
Il punto centrale è che la PEC certifica la consegna, non l’affidabilità del contenuto. In altre parole, il canale può essere formalmente corretto anche quando la casella mittente è stata compromessa o quando il messaggio contiene allegati o link malevoli. È questa ambiguità a rendere la tecnica più insidiosa di una frode via email standard.
Il CERT-AgID lo chiarisce esplicitamente: la presenza di una PEC non garantisce che il messaggio sia legittimo. Per il destinatario, questo significa che il semplice fatto di vedere un invio da un indirizzo certificato non basta a superare il controllo di sicurezza.
La frode sfrutta spesso un elemento psicologico semplice: urgenza. Un presunto sollecito di pagamento, soprattutto se presentato in forma istituzionale, induce a cliccare in fretta su un link o ad aprire un allegato senza verificare con attenzione mittente, dominio e contenuto della richiesta.
Come si presenta il falso sollecito a nome di PagoPA
Le campagne segnalate dal CERT-AgID non si limitano a chiedere un pagamento generico. In alcuni casi richiamano un presunto rimborso TARI o comunque un addebito da regolarizzare, e conducono l’utente verso pagine che imitano servizi ufficiali. Il meccanismo è costruito per sembrare plausibile: grafica familiare, linguaggio amministrativo, richiesta di dati personali e bancari.
Secondo la documentazione del CERT-AgID, nei casi analizzati i messaggi provenivano da PEC reali compromesse e includevano circa 340 indirizzi PEC in copia. Un dettaglio del genere non prova un attacco “più grande” in senso assoluto, ma mostra una strategia mirata a moltiplicare la fiducia del destinatario e a dare al messaggio l’aria di una comunicazione seriale e istituzionale.
Il rischio non riguarda solo il pagamento fasullo. Una pagina clone può raccogliere nome, cognome, codice fiscale, data di nascita, email, numero di telefono e dati della carta. Questo tipo di raccolta è preziosa per gli attaccanti perché consente sia il tentativo di frode immediata sia usi successivi, come ulteriori truffe personalizzate o l’assemblaggio di profili completi delle vittime.
Cosa dice pagoPA e qual è la verifica minima da fare
La regola ufficiale, ribadita dal centro assistenza di pagoPA, è netta: pagoPA non invia direttamente richieste di pagamento via email. Se arriva un messaggio che pretende un versamento, il controllo da fare non è sul tono del testo ma sulla sua provenienza reale: va sempre verificato con l’ente creditore indicato nella comunicazione.
Questa indicazione è importante perché sposta l’attenzione dal contenuto apparente al percorso amministrativo del pagamento. Se una somma è davvero dovuta, il canale corretto non è la fiducia automatica nella mail ricevuta, ma la conferma tramite i riferimenti ufficiali dell’ente o attraverso i servizi previsti dal sistema pagoPA.
Nel caso di messaggi sospetti, il comportamento più prudente è interrompere l’azione prima del clic, controllare l’indirizzo del mittente, verificare eventuali anomalie nel dominio e, soprattutto, non inserire dati personali o della carta in moduli raggiunti da link inattesi.
Un fenomeno che si ripresenta e si adatta
Il quadro descritto nel 2026 non nasce dal nulla. Il CERT-AgID aveva già documentato, il 3 settembre 2026, campagne di phishing che sfruttavano il marchio PagoPA per sottrarre dati personali e di pagamento. La continuità tra i due alert conta più del singolo episodio: indica che il tema “pagamenti” resta una leva efficace per i truffatori, soprattutto quando si appoggia a canali considerati affidabili.
In questo senso, la novità non è tanto il nome usato nella truffa, quanto la capacità degli attaccanti di alternare esche diverse: un falso rimborso, un avviso di pagamento, un sollecito amministrativo. Il destinatario cambia, ma il meccanismo resta simile: spingere a reagire in fretta e a cedere informazioni sensibili prima di fare le verifiche minime.
Per chi usa spesso la PEC per lavoro o per rapporti con la pubblica amministrazione, il messaggio è chiaro: il formato certificato non elimina il rischio di phishing. Anzi, può renderlo più credibile. È per questo che la sicurezza non va affidata al solo canale di arrivo, ma alla verifica del contenuto, della provenienza e della coerenza della richiesta con i flussi ufficiali.
Il valore pratico degli alert del CERT-AgID sta proprio qui: trasformano un allarme tecnico in una regola concreta di comportamento. Non fidarsi della sola PEC, non considerare valida una richiesta perché “sembra ufficiale” e non inserire dati bancari in pagine raggiunte tramite link non verificati restano le difese più efficaci contro questa famiglia di truffe.
Fonti
- MintsLoader via PEC: falsi solleciti di pagamento per diffondere malware – CERT-AGID
- Come evitare tentativi di phishing o truffa a nome di pagoPA – Centro Assistenza pagoPA
