Truffe online, una lettrice segnala phishing firmata “PagoPa”

Occhio alla mail: la finta multa “PagoPA” che minaccia punti sulla patente è una truffa

Negli ultimi giorni sta circolando una nuova ondata di email fraudolente che si spacciano per comunicazioni ufficiali legate a sanzioni stradali e al sistema PagoPA. Il messaggio ha una grafica curata, un linguaggio burocratico credibile e minaccia conseguenze pesanti se non si paga entro poche ore. È una truffa, e vale la pena spiegare nel dettaglio come riconoscerla, perché lo schema è pensato apposta per non lasciare il tempo di pensare.

Come si presenta la mail

Il messaggio arriva con oggetto simile a “Notifica formale di inadempienza amministrativa” e si finge inviato da una fantomatica “Direzione Centrale per la Vigilanza sulle Sanzioni Amministrative”. Il testo racconta una storia dettagliata e plausibile: una violazione del divieto di sosta, un verbale con tanto di data, un sollecito precedente, un importo originario e uno maggiorato per il ritardo. Cita persino articoli del Codice della Strada (7, 203-206, 126-bis) per dare un’aria di ufficialità.

Ci sono poi due elementi psicologici molto studiati:

• La minaccia: mancata regolarizzazione uguale decurtazione di punti dalla patente e trasmissione della pratica alla magistratura, con ulteriore aumento dell’importo in caso di ritardo.
• Il contentino: una nota rassicurante per chi “ha già pagato”, con la promessa di un rimborso accreditato entro 24 ore. Serve a chi ha già pagato per errore a non insospettirsi, e a chi non ha pagato per convincersi che il meccanismo sia reale.

In fondo alla pagina compare un pulsante “Procedi al pagamento” che rimanda a un indirizzo del tipo view.page/...: un dominio generico da servizio di redirect, nulla a che vedere con i domini istituzionali reali (che per PagoPA sono sempre pagopa.gov.it o analoghi enti pubblici).

Un dettaglio che conferma la natura fraudolenta del messaggio riguarda proprio l’indirizzo del mittente: non si tratta di un dominio istituzionale, ma di una casella di posta personale con dominio di un ateneo, riconducibile alla Sapienza Università di Roma. Con ogni probabilità è l’account di uno studente o di una studentessa che è stato violato e usato, a sua insaputa, per veicolare la truffa: una tecnica comune, perché una mail proveniente da un dominio universitario reale è meno soggetta ai filtri antispam e appare, a un primo sguardo, più affidabile.

I segnali che smascherano la truffa

• L’indirizzo del mittente non è istituzionale. Un ente pubblico non scrive mai da caselle Gmail o da domini improvvisati: PagoPA, Comuni, Prefetture e Agenzia delle Entrate usano sempre domini ufficiali con estensione .gov.it o PEC.
• Il link di pagamento non porta a un sito ufficiale. Prima di cliccare, basta passare il mouse sul pulsante (senza cliccare) per vedere l’indirizzo reale: se non è un dominio pubblico riconoscibile, è una truffa.
• La pressione del tempo è artificiale. Le comunicazioni reali di sanzioni amministrative seguono procedure e tempistiche precise, notificate per posta raccomandata o PEC, mai con toni da ultimatum via email generica.
• Il mix di importi “da pagare” e “da rimborsare” è un classico trucco. Serve a confondere e a far abbassare la guardia.
• Nessun ente chiede mai dati di pagamento cliccando un link in una mail. I pagamenti verso la pubblica amministrazione avvengono tramite i canali ufficiali (portale PagoPA raggiunto autonomamente, non da un link ricevuto).

Cosa fare se si riceve un messaggio simile

1. Non cliccare sul link e non inserire dati di pagamento o credenziali.
2. Non rispondere alla mail.
3. Verificare in autonomia eventuali pendenze reali accedendo direttamente al sito ufficiale di PagoPA (pagopa.gov.it) o dell’ente competente, digitando l’indirizzo a mano nel browser, senza passare da link ricevuti.
4. Segnalare e cancellare il messaggio. Su Gmail e sui principali client di posta è sufficiente il tasto “segnala come phishing”.
5. Se si è già cliccato o inserito dati, cambiare subito le password degli account coinvolti e contattare la propria banca per bloccare eventuali pagamenti sospetti.

Perché continuano a funzionare

Questo tipo di truffa non punta a ingannare chi è già sospettoso, ma a intercettare il momento di distrazione: una notifica che arriva mentre si è di fretta, un linguaggio che imita quello burocratico reale, una minaccia concreta (i punti patente) che tocca un nervo sensibile. È lo stesso schema, con varianti, che negli ultimi mesi ha colpito anche con finte fatture di utenze, notifiche di spedizioni mai effettuate o comunicazioni fiscali. La difesa più efficace resta sempre la stessa: mai cliccare su link ricevuti via mail per questioni di pagamenti o dati personali, verificare sempre passando dai canali ufficiali digitati a mano.