Una nuova campagna di phishing sta circolando online e sfrutta nome, loghi e grafica della Polizia di Stato e di pagoPA per ingannare gli utenti. Il trucco è semplice e, proprio per questo, pericoloso: far credere a chi riceve il messaggio di dover pagare una multa per una presunta violazione del codice della strada.
La segnalazione arriva dagli esperti del CERT-AgID, che hanno individuato una frode molto simile ad altre già viste in passato. In questo caso, i cybercriminali puntano a ottenere dati personali e informazioni di pagamento attraverso un sito falso costruito per sembrare affidabile e credibile.
Phishing multa falsa con i loghi di Polizia di Stato e pagoPA
Secondo l’analisi, non è ancora chiaro in che modo la falsa comunicazione raggiunga le vittime, ma è molto probabile che il primo contatto avvenga tramite email. Il messaggio contiene un link che porta a una pagina web creata ad arte per imitare il portale usato per consultare i verbali delle infrazioni stradali.
La somiglianza con il sito originale è studiata nei dettagli, anche se c’è un elemento che può aiutare a smascherare l’inganno: la scritta “Polizia di Stato” appare in una posizione diversa rispetto a quella del portale legittimo. Una differenza minima, ma sufficiente a tradire la natura fraudolenta della pagina.
Una volta arrivato sul sito, l’utente viene invitato a inserire la targa del veicolo e il codice fiscale del proprietario. Si tratta di dati che i truffatori usano per far sembrare la richiesta autentica e per proseguire nella simulazione di una vera pratica amministrativa. Nel portale ufficiale, invece, l’accesso all’area riservata avviene tramite SPID o CIE.
Come funziona la trappola e quali dati vengono sottratti
Dopo l’inserimento delle informazioni iniziali, viene mostrato un presunto estratto conto con data, tipo di infrazione e importo della sanzione. La cifra indicata è 42,00 euro, con la promessa di uno sconto se il pagamento avviene entro 15 giorni. A quel punto compare il pulsante “Paga ora”, che rimanda a una pagina del tutto simile a quella di pagoPA, ma che in realtà fa sempre parte dello stesso sito fraudolento.
Il passaggio successivo è quello più delicato: vengono richiesti l’indirizzo email e poi i dati della carta di pagamento, compresi nome del titolare, numero della carta, data di scadenza e codice CVV. Tutte queste informazioni finiscono direttamente nelle mani dei criminali, che possono usarle per frodi economiche o rivenderle nel mercato illecito dei dati rubati.
Il CERT-AgID ha già avviato le procedure per chiedere la disattivazione dei domini coinvolti, ma la rapidità con cui queste campagne vengono replicate rende fondamentale la prudenza degli utenti. Basta un clic sbagliato per consegnare informazioni sensibili a chi costruisce queste finte notifiche con l’obiettivo di truffare.
Come difendersi dalle false multe online
La regola più importante è non fidarsi di link ricevuti via email o SMS, soprattutto quando invitano a pagare con urgenza. In questi casi è sempre meglio aprire il sito ufficiale della Polizia di Stato digitando l’indirizzo nel browser o usando un preferito salvato in precedenza. È l’unico modo sicuro per verificare l’eventuale presenza di comunicazioni reali.
Va ricordato anche che, sul portale legittimo, l’utente può soltanto consultare i verbali, comunicare i dati del conducente o contestare la targa del veicolo. Il pagamento della multa non avviene tramite la procedura descritta nella campagna fraudolenta, che sfrutta proprio questa ambiguità per risultare convincente. Diffidare di richieste anomale e controllare sempre la fonte resta la difesa più efficace contro il phishing.
