False multe via SMS ed email: la Polizia avverte sul phishing che ruba carte e dati

🛡️ Executive Summary

• SMS ed email segnalano false multe urgenti e rimandano a portali che imitano la Polizia di Stato per sottrarre dati personali e finanziari.
• I siti fraudolenti chiedono dati anagrafici, numero della carta, scadenza, CVV e possono puntare anche ai codici OTP.
• La Polizia invita a non cliccare, bloccare il mittente, segnalare l’episodio e contattare immediatamente la banca se i dati sono già stati inseriti.

La Polizia di Stato torna a mettere in guardia contro le false multe diffuse via SMS ed email, una delle campagne di phishing più persistenti contro gli utenti italiani nel 2026. Il messaggio segnala una presunta sanzione da pagare con urgenza e contiene un collegamento apparentemente riconducibile alle Forze dell’ordine. In realtà il link conduce a un portale contraffatto che chiede dati anagrafici e informazioni della carta di credito, sfruttando paura, urgenza e autorevolezza istituzionale. L’allerta arriva dopo mesi nei quali le false contravvenzioni hanno rappresentato uno dei temi più utilizzati nel phishing italiano, spesso insieme ai nomi di pagoPA, SEND e Polizia di Stato.

La falsa multa usa paura e urgenza per spingere al pagamento

Il meccanismo descritto nell’allerta ufficiale della Polizia di Stato parte da un messaggio estremamente semplice: una presunta multa risulta ancora da pagare e il destinatario deve intervenire rapidamente. Il primo obiettivo non è sfruttare una vulnerabilità tecnica del dispositivo, ma indurre la vittima a reagire prima di verificare l’autenticità della comunicazione. Il testo contiene normalmente un collegamento che sembra riferirsi alla Polizia di Stato e invita a consultare i dettagli della sanzione. Una volta aperto, il link porta verso un sito che riproduce elementi grafici e linguaggio amministrativo ma utilizza un URL estraneo ai domini istituzionali. È la stessa struttura già osservata nelle campagne che imitano Polizia di Stato e pagoPA con false multe da pagare, dove il percorso fraudolento partiva dalla targa e dal codice fiscale per arrivare al furto dei dati completi della carta. L’efficacia deriva dalla combinazione tra una richiesta economicamente plausibile e la paura che un mancato pagamento possa produrre sanzioni ulteriori.

Il portale contraffatto punta direttamente ai dati della carta

Dopo il primo clic, la vittima visualizza un portale apparentemente ufficiale che richiede informazioni personali e finanziarie per saldare la presunta contravvenzione. La Polizia indica esplicitamente tra i dati da non fornire numero della carta di credito, dati personali e codici OTP. La presenza dell’OTP è particolarmente importante perché mostra come il rischio non si limiti alla semplice raccolta del PAN o del CVV: in una frode bancaria completa gli attaccanti possono tentare di utilizzare in tempo reale i dati inseriti e chiedere anche il codice temporaneo necessario a confermare un’operazione. Le campagne sulle multe si inseriscono quindi nello stesso ecosistema di phishing e smishing finanziario che sfrutta banche, enti previdenziali e servizi pubblici per trasformare una comunicazione amministrativa in un flusso di pagamento controllato dal criminale. Il fenomeno era già diventato dominante nelle campagne malevole osservate in Italia tra maggio e luglio, quando le false sanzioni risultavano tra i temi più ricorrenti insieme a fatture, home banking e comunicazioni fiscali.

I domini falsi restano uno dei segnali più evidenti

La Polizia richiama l’attenzione soprattutto sull’indirizzo web, uno dei controlli più semplici ma anche più efficaci per riconoscere la frode. I siti ufficiali della Pubblica Amministrazione utilizzano domini istituzionali riconoscibili, mentre nelle campagne segnalate compaiono estensioni come .sbs, .homes, .top o .xyz. La sola presenza di un nome come “poliziadistato” all’interno dell’URL non rende quindi autentico il sito: ciò che conta è il dominio effettivamente registrato e non la parte visivamente più rassicurante dell’indirizzo. Gli attaccanti sfruttano proprio questa abitudine, costruendo URL lunghi o domini con parole istituzionali che sembrano credibili a una lettura rapida da smartphone. Il principio vale anche per altri casi recenti, come le false email della Polizia che accusano gli utenti di reati online, dove il nome dell’autorità viene utilizzato per generare paura e ottenere una risposta immediata. Cambia il pretesto, ma resta invariato il modello: l’identità dell’istituzione sostituisce temporaneamente la verifica tecnica del mittente o del dominio.

Le istituzioni non notificano atti amministrativi con email comuni

Uno dei chiarimenti più netti dell’allerta riguarda il canale utilizzato. La Polizia ricorda che le istituzioni pubbliche non utilizzano account email ordinari per notificare atti amministrativi e che le Forze dell’ordine non richiedono il pagamento diretto di una multa attraverso un link inviato via SMS o posta elettronica. Questo punto è essenziale perché la digitalizzazione della Pubblica Amministrazione ha reso familiari agli utenti notifiche elettroniche, identità digitale e pagamenti online, creando però anche una superficie ideale per l’impersonificazione. I criminali non devono più costruire una procedura completamente inventata: è sufficiente imitare servizi realmente esistenti e inserire un passaggio fraudolento all’interno di un flusso che il cittadino considera plausibile. Lo stesso abuso della fiducia istituzionale compare nelle campagne contro AGCOM e INPS, dove domini contraffatti e interfacce credibili vengono utilizzati per sottrarre documenti, dati personali e informazioni finanziarie.

Cosa fare quando arriva il messaggio e quando è già troppo tardi

La procedura indicata dalla Polizia è semplice: non aprire il link, non inserire dati, cancellare il messaggio e bloccare il mittente. L’episodio può essere segnalato alla Polizia Postale attraverso il portale ufficiale Commissariato di P.S. online. La situazione cambia se la vittima ha già compilato il modulo del sito fraudolento. In quel caso diventa prioritario contattare immediatamente la propria banca per bloccare la carta e impedire ulteriori operazioni, oltre a presentare denuncia. Se sono stati comunicati anche codici OTP o credenziali bancarie, il rischio di transazioni già avviate cresce sensibilmente e la tempestività diventa determinante. La campagna sulle false multe conferma così una tendenza ormai strutturale del cybercrime italiano: le tecniche più redditizie non hanno bisogno di exploit sofisticati quando riescono a sfruttare fiducia istituzionale, urgenza e paura di conseguenze amministrative. Il controllo dell’URL, del canale utilizzato e della richiesta di pagamento resta quindi la barriera più importante prima ancora degli strumenti tecnici di sicurezza.