Falso rimborso TARI da 95 euro: phishing pagoPA ruba identità e carte

🛡️ Executive Summary

• Una nuova campagna imita pagoPA e promette un falso rimborso TARI da 95 euro per un presunto pagamento eccedente effettuato nel 2025.
• Il portale raccoglie documento, codice fiscale, residenza, telefono, email e infine numero, scadenza e CVV della carta di pagamento.
• CERT-AgID ha avviato la dismissione dei domini fraudolenti, informato pagoPA e distribuito gli indicatori di compromissione alle organizzazioni accreditate.

Un falso rimborso TARI da 95 euro diventa il nuovo pretesto utilizzato dal phishing italiano per sottrarre contemporaneamente identità e informazioni finanziarie. CERT-AgID ha individuato siti fraudolenti che riproducono nome, logo e impostazione grafica di pagoPA, presentando alla vittima una pratica apparentemente collegata a un pagamento eccessivo della tassa sui rifiuti. La procedura è costruita per imitare un vero servizio amministrativo: parte dalla verifica del codice fiscale o del documento, mostra un rimborso già approvato e termina chiedendo i dati completi della carta sulla quale dovrebbe avvenire l’accredito. In realtà l’intera sequenza serve a consegnare ai criminali un profilo personale completo e uno strumento di pagamento utilizzabile per ulteriori frodi.

Il falso portale pagoPA inventa una pratica TARI del 2025

La ricostruzione tecnica pubblicata dal CERT-AgID mostra una catena costruita per ridurre progressivamente la diffidenza della vittima. La homepage comunica che sarebbe stato rilevato un pagamento TARI superiore all’importo dovuto e mostra un numero di pratica fittizio, invitando a selezionare “Continua con la richiesta”. Il primo passaggio richiede codice fiscale oppure numero della carta d’identità, simulando una verifica dell’identità. Subito dopo compare l’esito apparentemente positivo: un rimborso di 95 euro, associato alla TARI dell’anno 2025 e a un fantomatico pagamento in eccesso effettuato il 28 agosto 2026.

L’utilizzo di date, importi precisi e riferimenti amministrativi rende la procedura più credibile di una semplice email che promette denaro. La tecnica riprende il modello già osservato nelle campagne che imitavano SPID, pagoPA e ARERA attraverso false multe e rimborsi, nelle quali il cybercrime ricostruisce ormai l’intero percorso burocratico invece di limitarsi a clonare una pagina di login.

Leggi anche: Falso rimborso sanitario da 278 euro: il phishing del Ministero della Salute ruba identità e carte

Prima viene costruita l’identità completa della vittima

Superata la presunta verifica della pratica, il sito richiede nome, cognome, indirizzo di residenza, CAP, comune, provincia, regione, numero di cellulare e indirizzo email. È un passaggio importante perché mostra che l’obiettivo criminale non coincide esclusivamente con il furto della carta. Anche una vittima che interrompesse la procedura prima dell’ultima schermata avrebbe già consegnato un insieme di informazioni sufficientemente ricco per successive operazioni di impersonificazione, smishing o phishing mirato. Il codice fiscale o il numero del documento, combinato con indirizzo e contatti, permette inoltre di creare comunicazioni future estremamente personalizzate. La logica sfrutta la familiarità dei cittadini con i servizi digitali della Pubblica Amministrazione: una richiesta progressiva di dati appare plausibile perché ricorda le procedure realmente utilizzate per identificazione, accesso a pratiche e richieste di benefici. Il phishing istituzionale italiano sta quindi diventando una forma di social engineering procedurale, nella quale la credibilità non dipende soltanto dal logo copiato ma dalla capacità di simulare passaggi che l’utente si aspetta di incontrare.

La promessa dell’accredito serve a ottenere numero della carta e CVV

L’ultima schermata rivela l’obiettivo finanziario dell’operazione. Alla vittima viene chiesto di inserire nome e cognome dell’intestatario, numero della carta, data di scadenza e CVV, con la giustificazione che quelle informazioni sarebbero necessarie per ricevere il rimborso. È esattamente l’inversione psicologica utilizzata nelle campagne di falso rimborso: invece di convincere la persona a pagare una multa o una fattura inesistente, il criminale la induce a consegnare volontariamente i dati della carta perché ritiene di dover ricevere denaro.

Non esiste alcuna ragione perché un presunto accredito TARI richieda il codice CVV, elemento utilizzato per autorizzare operazioni card-not-present e che dovrebbe quindi rappresentare un segnale immediato di frode. CERT-AgID sottolinea che la combinazione tra dati anagrafici e finanziari consente non soltanto tentativi di utilizzo illecito della carta, ma anche la costruzione di nuove campagne altamente personalizzate basate sulle informazioni già sottratte.

Rimborsi e multe sono ormai uno dei principali linguaggi del phishing italiano

La campagna TARI non è un episodio isolato. Ad agosto il CERT-AgID aveva registrato una forte crescita di esche costruite attorno a rimborsi, multe, servizi pubblici e pagamenti, con 540 campagne malevole osservate nelle prime quattro settimane del mese. Il vantaggio criminale è evidente: TARI, ticket sanitari, sanzioni stradali e bonus sono procedure reali che milioni di cittadini conoscono, ma sulle quali spesso non possiedono abbastanza familiarità tecnica da distinguere un flusso autentico da una copia ben costruita. L’importo di 95 euro è inoltre sufficientemente realistico da non apparire né irrilevante né eccezionale. Invece di inventare servizi inesistenti, gli aggressori alterano modalità e canali di erogazione di prestazioni plausibili, spostando il controllo dalla veridicità dell’evento alla verifica del dominio utilizzato.

Continua con:

• Allarme phishing SEND: false multe pagoPA e finte email della Polizia
• CERT-AgID: 540 campagne malevole ad agosto, rimborsi e multe dominano l’Italia

Il rimborso TARI va verificato dall’ente e mai attraverso link ricevuti

CERT-AgID ha avviato le attività necessarie alla dismissione dei domini malevoli, informato l’ente impersonato e condiviso gli indicatori di compromissione con le organizzazioni accreditate al proprio flusso IoC. Per gli utenti la difesa più efficace resta separare il contenuto del messaggio dal canale attraverso il quale viene ricevuto: un eventuale rimborso fiscale o amministrativo deve essere verificato raggiungendo autonomamente il portale ufficiale dell’ente o contattando il proprio Comune, senza utilizzare i collegamenti presenti nell’email o nel messaggio ricevuto. Qualsiasi procedura che prometta un accredito ma richieda numero completo della carta, scadenza e soprattutto CVV deve essere interrotta. La campagna mostra quanto il phishing contro la Pubblica Amministrazione sia ormai maturo: non deve più convincere la vittima che pagoPA esista, perché pagoPA è già parte della vita quotidiana. Gli basta costruire una pratica abbastanza credibile da far sembrare normale la consegna dei dati.