False email della Polizia accusano gli utenti di reati online

🛡️ Executive Summary

• Una nuova ondata di email fraudolente usa nome e simboli della Polizia per comunicare alla vittima una falsa indagine penale.
• I messaggi richiamano presunta visione di contenuti illeciti online, spesso a sfondo pedopornografico, per provocare paura e indurre una risposta immediata.
• La Polizia invita a non rispondere, non inviare dati o denaro e verificare sempre il reale indirizzo del mittente.

La Polizia Postale segnala una nuova ondata di email fraudolente che utilizzano impropriamente il nome delle Forze di polizia per convincere le vittime di essere coinvolte in una inesistente indagine penale. I messaggi sostengono che il destinatario avrebbe visionato materiale illecito online, spesso collegato a contenuti pedopornografici, e sfruttano accuse particolarmente gravi per provocare paura e una reazione immediata. Lo schema non mira necessariamente a rubare una password attraverso una pagina clonata: il primo obiettivo è spingere l’utente a rispondere ai truffatori, aprendo un canale attraverso il quale possono essere richiesti dati personali, documenti o pagamenti. La campagna ripropone una tecnica già osservata nelle false email della Polizia e nelle truffe legate a comunicazioni istituzionali.

La falsa indagine penale usa la paura come vettore

Il meccanismo descritto dalla Polizia di Stato nell’allerta sulle truffe via email è costruito per ridurre al minimo il tempo nel quale la vittima può ragionare sulla credibilità del messaggio. L’email comunica l’esistenza di una presunta attività investigativa relativa alla fruizione di materiale illecito in rete, facendo leva su contestazioni capaci di produrre immediatamente ansia, vergogna e timore di conseguenze giudiziarie. Non è una tecnica nuova, ma continua a funzionare proprio perché sostituisce la tradizionale promessa economica del phishing con una minaccia reputazionale e penale. Matrice Digitale aveva già documentato il ricorso a campagne di phishing giudiziario utilizzate per distribuire malware in Europa e la crescita delle tecniche di ingegneria sociale che combinano phishing, smishing e vishing. Nel caso segnalato dalla Polizia, però, l’efficacia dipende soprattutto dall’autorità attribuita al mittente: il destinatario tende a considerare il messaggio prioritario perché ritiene che arrivi da un organismo investigativo.

Il nome della Polizia serve a rendere credibile una richiesta impossibile

I criminali possono utilizzare loghi, intestazioni, nomi di dirigenti e riferimenti istituzionali facilmente reperibili online per costruire comunicazioni apparentemente ufficiali. Il problema è che questi elementi grafici non dimostrano affatto la provenienza del messaggio. La Polizia di Stato aveva già chiarito in precedenti avvisi che nessuna forza di polizia contatta direttamente i cittadini tramite semplici email per richiedere denaro o dati personali allo scopo di chiudere un procedimento penale. Lo stesso schema era comparso nelle false convocazioni che Matrice Digitale aveva seguito fin dai primi casi e si è successivamente evoluto attraverso campagne molto più curate, comprese le truffe che imitano Polizia e pagoPA per simulare sanzioni stradali e il phishing sulla tessera sanitaria che riproduce procedure pubbliche complete. In questo contesto il contenuto dell’email conta meno della verifica del mittente reale: un nome visualizzato come “Polizia Postale” può nascondere un indirizzo appartenente a un dominio completamente estraneo alle istituzioni.

La vittima viene spinta a rispondere prima ancora di visitare un sito

Questa campagna è particolarmente interessante perché può funzionare anche senza un classico link di phishing. Il messaggio tenta innanzitutto di instaurare un contatto diretto con la vittima, chiedendo implicitamente o esplicitamente una risposta per chiarire la propria posizione. Una volta aperto il canale, l’operatore criminale può adattare la seconda fase alle reazioni dell’utente: richiesta di documenti, recapiti, informazioni personali, pagamento di una presunta sanzione oppure invio di ulteriori file e collegamenti malevoli. Questo modello rende più difficile affidarsi esclusivamente ai filtri URL e avvicina la campagna alle forme di callback phishing, nelle quali il messaggio serve soprattutto a convincere la vittima a iniziare volontariamente l’interazione. Anche l’Agenzia per la cybersicurezza nazionale ha documentato campagne di callback phishing a tema Polizia di Stato, nelle quali riferimenti a presunte indagini su materiale pedopornografico venivano utilizzati per generare una risposta emotiva. La stessa dinamica è alla base delle campagne di vishing e spoofing telefonico contro conti bancari e delle truffe nelle quali la Polizia Postale è intervenuta per recuperare centinaia di migliaia di euro sottratti a un imprenditore.

Accuse sessuali e pedopornografia aumentano la pressione psicologica

La scelta di richiamare contenuti di abuso su minore o altri materiali sessualmente illeciti non è casuale. Accuse di questo tipo producono un livello di pressione molto maggiore rispetto a una normale richiesta di pagamento perché il destinatario può temere contemporaneamente conseguenze penali, esposizione pubblica e danni familiari o professionali. Il truffatore sfrutta quindi una forma di scareware psicologico: non deve dimostrare di possedere alcuna prova, ma soltanto convincere la vittima che un’autorità abbia già avviato accertamenti. Una dinamica simile compare nelle campagne di sextortion che utilizzano leak e minacce di diffusione per chiedere denaro e nelle false sextortion costruite utilizzando il nome di gruppi cybercriminali. Qui, però, al posto della minaccia di pubblicare materiale privato viene simulato direttamente l’intervento dello Stato. È questa sostituzione a rendere il messaggio particolarmente pericoloso per utenti poco abituati a riconoscere le procedure autentiche delle autorità giudiziarie.

Controllare il dominio reale del mittente resta il primo filtro

La Polizia invita a verificare sempre l’indirizzo email completo e a non fermarsi al nome visualizzato nel client di posta. I domini istituzionali hanno strutture riconoscibili e una comunicazione proveniente da indirizzi generici, servizi gratuiti o domini che imitano soltanto parole come “polizia”, “giustizia” o “ministero” costituisce un forte segnale di frode. La verifica del mittente non elimina ogni rischio di spoofing, ma consente di bloccare buona parte delle campagne meno sofisticate. Questo principio resta valido anche con la crescente disponibilità di strumenti AI capaci di produrre testi grammaticalmente corretti e comunicazioni molto più credibili: gli errori linguistici, un tempo considerati uno dei principali segnali del phishing, non possono più essere utilizzati come criterio affidabile. La crescita di BlueKit e degli strumenti AI capaci di creare campagne phishing sempre più convincenti e del phishing AI cresciuto rapidamente contro Microsoft 365 mostra perché la verifica debba spostarsi dalla qualità del testo agli elementi tecnici della comunicazione.

Non bisogna rispondere né tentare di “chiarire” con il mittente

La reazione più sicura è non rispondere al messaggio, non inviare documenti, non effettuare pagamenti e non utilizzare eventuali recapiti contenuti nell’email. Cercare di spiegare ai presunti agenti di non avere commesso alcun reato equivale infatti a confermare che l’indirizzo email è attivo e che il destinatario è emotivamente coinvolto, due informazioni che possono aumentare il valore della vittima per i truffatori. In caso di dubbi, il contatto con le Forze dell’ordine deve avvenire utilizzando esclusivamente recapiti recuperati autonomamente dai siti istituzionali. Il Commissariato di P.S. online mette inoltre a disposizione un servizio per le segnalazioni, distinto da una denuncia formale e utilizzabile per portare all’attenzione della Polizia Postale eventi sospetti. Questo approccio è particolarmente utile in una fase nella quale il phishing italiano sta diventando sempre più specializzato, come mostrato dalle 513 campagne malevole censite dal CERT-AGID in un solo mese e dall’aumento delle operazioni che sfruttano marchi pubblici e servizi digitali reali.

Le false email della Polizia tornano perché il modello continua a funzionare

La campagna segnalata il 10 agosto 2026 ripropone uno schema che le autorità italiane contrastano da anni. La sua persistenza dimostra che non serve necessariamente innovare sul piano tecnico quando la leva emotiva rimane efficace. L’attaccante combina autorità, paura, gravità dell’accusa e urgenza, poi attende che sia la vittima a fare il primo passo. La difesa dipende quindi soprattutto dalla conoscenza delle procedure: una vera attività investigativa non viene chiusa rispondendo a un’email né attraverso il versamento di denaro richiesto da un interlocutore sconosciuto. Il dato più importante dell’allerta della Polizia non riguarda perciò il singolo modello di messaggio, destinato a cambiare rapidamente, ma la tecnica sottostante. Quando una comunicazione attribuisce improvvisamente al destinatario un grave reato e contemporaneamente gli offre un modo immediato per “regolarizzare” o chiarire la posizione via email, il carattere intimidatorio del testo deve essere considerato esso stesso un indicatore di truffa.