Phishing istituzionale colpisce SPID, pagoPA e ARERA in Italia: le truffe più frequenti nelle vacanze

🛡️ Executive Summary

• Tre campagne imitano SPID, Polizia di Stato, pagoPA e ARERA usando servizi pubblici reali come pretesto per sottrarre dati personali e finanziari.
• Le vittime vengono attirate con un falso canone SPID, una multa da 42 euro o un rimborso idrico da 100,93 euro.
• CERT-AGID ha richiesto la disattivazione dei domini fraudolenti e distribuito gli indicatori di compromissione alle organizzazioni accreditate.

Tre campagne di phishing istituzionale concentrate in pochi giorni stanno sfruttando alcuni dei servizi pubblici più riconoscibili dagli italiani. I criminali imitano SPID, AgID, Polizia di Stato, pagoPA e ARERA, costruendo falsi portali che riproducono grafica, procedure e linguaggio delle piattaforme autentiche. Cambia il pretesto — un inesistente canone SPID, una multa stradale da pagare rapidamente o un presunto bonus sociale idrico da riscuotere — ma la destinazione è la stessa: codice fiscale, telefono, email e dati completi della carta di pagamento. Le campagne confermano l’intensificazione già fotografata dal CERT-AGID con 395 operazioni malevole rilevate in tre settimane di luglio e mostrano una crescente specializzazione nel riprodurre i percorsi digitali della Pubblica Amministrazione.

SPID diventa il pretesto per un falso canone annuale

La prima campagna individuata il 3 agosto 2026 sfrutta impropriamente il nome e i loghi di AgID e SPID attraverso domini che inseriscono termini come spid e gov per suggerire un legame inesistente con la Pubblica Amministrazione. Il portale fraudolento chiede inizialmente il codice fiscale, sostenendo che sia necessario verificare il pagamento di un presunto canone annuale indispensabile per continuare ad accedere ai servizi pubblici. Nelle schermate successive compare un numero di pratica e viene richiesto il pagamento di una cifra costruita per assomigliare ai corrispettivi eventualmente applicati da alcuni identity provider.

Il CERT-AGID descrive la campagna SPID precisando però un elemento essenziale: AgID non gestisce direttamente rinnovi, verifiche o pagamenti delle identità SPID, perché il rapporto operativo dell’utente avviene esclusivamente con il proprio gestore di identità. Il nuovo tentativo riprende uno schema già seguito da Matrice Digitale con il phishing SPID basato su Agenzia delle Entrate e Google Sites e con le email fraudolente sui presunti certificati digitali SPID: i criminali non devono necessariamente clonare un vero processo amministrativo, ma devono renderlo abbastanza plausibile da convincere il cittadino che la propria identità digitale possa essere sospesa.

La paura di perdere SPID aumenta la pressione sulla vittima

L’efficacia della campagna deriva dalla combinazione tra autorità istituzionale e urgenza. Il messaggio suggerisce che il mancato versamento comporti more, interessi o addirittura la perdita dell’accesso ai servizi della Pubblica Amministrazione, trasformando una richiesta economicamente modesta in una minaccia molto più ampia. Il meccanismo è simile alle campagne che imitano notifiche fiscali, sanitarie o previdenziali: la vittima non valuta soltanto il costo richiesto, ma teme conseguenze amministrative.

Nel caso SPID questa leva è particolarmente efficace perché l’identità digitale viene utilizzata per accedere a numerosi servizi pubblici e privati. È la stessa dinamica osservata nelle campagne contro la tessera sanitaria che sottraggono contemporaneamente dati personali e carte di credito e nello smishing INPS che varia gli importi per misurare paura e convenienza. Il portale ufficiale SPID rimane quindi il punto dal quale verificare quali identity provider gestiscano effettivamente le credenziali, mentre qualsiasi pagina che utilizzi genericamente marchi governativi per chiedere rinnovi e pagamenti deve essere considerata sospetta.

Le false multe imitano Polizia di Stato e pagoPA

Il giorno successivo, 4 agosto, CERT-AGID ha individuato una seconda infrastruttura di phishing costruita attorno a una presunta sanzione stradale. I domini utilizzano la parola poliziadistato ma con estensioni estranee ai canali ufficiali e mostrano una homepage che riproduce colori, marchi e impostazione grafica della Polizia Stradale.

Alla vittima viene chiesto di inserire targa e codice fiscale del proprietario, passaggio che rende l’interazione apparentemente personalizzata e contemporaneamente permette ai criminali di raccogliere informazioni identificative. Il sito genera quindi un falso estratto conto nel quale compare una violazione del Codice della Strada “in attesa di pagamento” e una somma di 42 euro.

Nel report tecnico sulle false multe, CERT-AGID evidenzia come venga utilizzata anche la promessa di uno sconto legato al pagamento rapido, trasformando il tempo in una seconda leva di pressione dopo l’autorità della Polizia. Il tema era già apparso nelle campagne SEND con false multe pagoPA e finte comunicazioni della Polizia e assume una credibilità ulteriore perché la Polizia dispone realmente di un portale online per verificare verbali e immagini degli autovelox tramite SPID.

Il falso checkout pagoPA ruba i dati completi della carta

Dopo la visualizzazione della presunta multa, il sito porta la vittima verso una pagina che imita pagoPA, simulando il normale passaggio dall’ente creditore al sistema di pagamento. In realtà la navigazione resta all’interno dello stesso dominio fraudolento. Vengono mostrati un codice avviso, l’importo di 42 euro e persino il riferimento ad Agenzia delle Entrate-Riscossione, elementi pensati per ricostruire l’esperienza di un pagamento pubblico autentico.

Il passaggio successivo raccoglie l’indirizzo email con la promessa di inviare la ricevuta e infine chiede nome dell’intestatario, numero della carta, data di scadenza e CVV, rivelando l’obiettivo economico dell’intera catena. CERT-AGID ha chiesto la disattivazione dei domini e distribuito gli IoC attraverso il proprio feed alle organizzazioni accreditate. La struttura riprende quella dei falsi portali pagoPA già utilizzati nelle campagne italiane e delle successive operazioni che sfruttavano open redirect contro pagoPA, ma questa volta aggiunge Polizia di Stato, targa e codice fiscale per costruire un percorso narrativo molto più coerente.

ARERA viene clonata con la promessa di un bonus idrico

Il 5 agosto cambia completamente l’incentivo psicologico. Non viene più richiesto denaro per evitare una conseguenza, ma viene promesso un rimborso. Un sito fraudolento riproduce nome e logo di ARERA, l’Autorità di Regolazione per Energia Reti e Ambiente, e utilizza il bonus sociale idrico, misura realmente esistente, come esca. Gli attaccanti impiegano anche typosquatting, scegliendo un dominio graficamente vicino a quello che un cittadino potrebbe aspettarsi dall’Autorità.

La prima pagina chiede il numero telefonico per verificare l’accesso al beneficio; subito dopo compare una pratica apparentemente approvata con 100,93 euro disponibili. Il CERT-AGID spiega nell’allerta dedicata ad ARERA che il falso rimborso conduce quindi a una procedura di “verifica della carta di credito”, nella quale vengono richiesti intestatario, PAN, scadenza e CVV. Il dominio è stato successivamente dismesso su richiesta del CERT, che ha informato anche l’Autorità e distribuito gli indicatori tecnici della campagna.

Il rimborso sostituisce la minaccia ma porta alla stessa carta

La campagna ARERA è interessante perché rovescia il meccanismo delle false multe e del falso canone SPID. Nei primi due casi la vittima paga per evitare sanzioni, interessi o perdita di accesso ai servizi; nel terzo inserisce la carta perché ritiene di dover ricevere denaro. Tecnicamente, però, le tre catene convergono sullo stesso risultato: far apparire naturale la consegna di informazioni finanziarie all’interno di un percorso costruito attorno a un’istituzione reale.

La tecnica era già evidente nel falso Portale dell’Automobilista posizionato attraverso Google per rubare i dati della patente e nelle campagne in cui finti bonus INPS conducevano alla sottrazione delle carte di credito. Nel caso ARERA, la presenza di un bonus sociale idrico realmente previsto dall’ordinamento elimina persino la necessità di inventare completamente il servizio: gli attaccanti devono soltanto alterare le modalità con cui il beneficio verrebbe riconosciuto ed erogato. La documentazione ufficiale di ARERA sul bonus sociale idrico consente invece di verificare condizioni e funzionamento del beneficio attraverso il canale dell’Autorità.

Tre domini differenti replicano lo stesso modello industriale

SPID, multe e bonus idrico sembrano campagne autonome, ma il modello operativo osservato dal CERT-AGID presenta elementi ricorrenti: brand istituzionali immediatamente riconoscibili, dominio ingannevole, richiesta iniziale di un dato personale, generazione di una pratica plausibile e passaggio finale verso informazioni finanziarie. Nel falso portale SPID il primo dato è il codice fiscale; nella campagna Polizia-pagoPA sono targa e codice fiscale; in quella ARERA viene richiesto il numero di telefono. Queste informazioni hanno una doppia funzione. Da una parte aumentano la sensazione che il sistema stia realmente interrogando una banca dati pubblica, dall’altra costituiscono già dati sfruttabili per successive operazioni di phishing, smishing o impersonificazione anche se la vittima interrompe la procedura prima della carta. Il problema era visibile già nei dati mensili raccolti da Matrice Digitale sulle 513 campagne malevole osservate dal CERT-AGID ad aprile e nelle oltre 450 campagne cyber registrate nel maggio 2026: il phishing italiano è sempre meno una semplice pagina di login clonata e sempre più una riproduzione completa del procedimento amministrativo.

Il dominio deve contare più del logo mostrato sullo schermo

Le tre campagne dimostrano anche quanto sia diventato debole il logo come segnale di affidabilità. Polizia di Stato, pagoPA, AgID, SPID e ARERA dispongono di identità visive facilmente recuperabili e riproducibili, mentre CSS e template consentono di imitare in pochi minuti l’aspetto di un sito pubblico. La verifica deve quindi spostarsi dall’estetica alla provenienza: dominio effettivamente visitato, modalità con cui si è raggiunta la pagina e coerenza tra il servizio richiesto e l’ente che dovrebbe gestirlo. Un sito può contenere contemporaneamente stemma della Polizia, logo pagoPA e riferimenti ad Agenzia delle Entrate-Riscossione senza avere alcun rapporto con questi soggetti. È la stessa trasformazione dell’ingegneria sociale descritta nell’approfondimento di Matrice Digitale su phishing, smishing, vishing e qishing nell’era dell’intelligenza artificiale: la fedeltà grafica non costituisce più una prova utile di autenticità, mentre urgenza, familiarità e autorevolezza del marchio vengono combinate per ridurre il tempo disponibile alla valutazione razionale.

CERT-AGID concentra il contrasto sui domini e sugli indicatori

In tutti e tre i casi CERT-AGID è intervenuto chiedendo la disattivazione delle infrastrutture fraudolente e distribuendo gli Indicatori di Compromissione tramite il proprio feed agli enti accreditati. Per la campagna ARERA il dominio segnalato risulta già dismesso, mentre per SPID e false multe sono state avviate analoghe richieste di takedown. La rapidità resta però essenziale perché l’infrastruttura di phishing ha costi relativamente bassi e può essere ricostruita utilizzando nuovi domini. Il cittadino che riceve una comunicazione sospetta può evitare di utilizzare il collegamento contenuto nel messaggio, raggiungere autonomamente il sito dell’ente o del proprio identity provider e verificare da lì l’eventuale pratica. Nel caso SPID, CERT-AGID ricorda inoltre che i messaggi sospetti possono essere inoltrati all’indirizzo istituzionale dedicato all’analisi malware. La crescita delle campagne registrata anche nei 279 attacchi osservati dal CERT-AGID durante febbraio indica che il contrasto non può affidarsi soltanto alla rimozione del singolo sito: serve riconoscere lo schema prima che cambi nuovamente nome, dominio e pretesto.

La Pubblica Amministrazione diventa il linguaggio del phishing italiano

L’elemento più significativo delle campagne di agosto non è quindi il singolo clone di SPID, pagoPA o ARERA, ma la progressiva trasformazione dei servizi digitali pubblici in un vocabolario criminale familiare ai cittadini. Gli attaccanti sanno che un italiano riconosce SPID, pagoPA, INPS, Agenzia delle Entrate, Polizia di Stato e bonus sociali; costruiscono quindi catene nelle quali questi marchi vengono collegati secondo una logica apparentemente credibile. Una multa passa dalla Polizia a pagoPA, un’identità digitale richiede un presunto rinnovo, un’agevolazione ARERA porta a un rimborso sulla carta. Il successo non dipende da una sofisticazione tecnica particolare, ma dalla conoscenza dei comportamenti digitali della vittima. È la tendenza già visibile nel riepilogo delle campagne italiane tra maggio e luglio, dominato da false multe e stealer e che le tre operazioni di agosto rendono ancora più evidente: la digitalizzazione dei servizi pubblici aumenta la comodità per il cittadino, ma offre contemporaneamente al phishing un insieme sempre più ricco di procedure autentiche da imitare.