Sms brevi dritti al punto: un’infrazione stradale da pagare con urgenza. Il mittente è un "Comune" generico e il link rimanda a un sito che ha le vesti di quello ufficiale SEND – notifiche digitali, ma in realtà è un fake.
Il mese scorso, il CSIRT Italia (Computer Security Incident Response Team) ha segnalato tramite bollettino ufficiale (La Settimana Cibernetica – 15/21 giugno 2026) una campagna di phishing che utilizza impropriamente il nome di SEND, la piattaforma pubblica ufficiale realizzata da PagoPA per inviare e ricevere comunicazioni a valore legale tra Pubblica Amministrazione e cittadino: un sistema che va a sostituire l’invio e la ricezione delle raccomandate cartacee. Il dominio del sito ufficiale è www.notifichedigitali.it mentre quello fake riportava una lettera “a” tra le parole “notifiche” e “digitali” e terminava con .org al posto di .it.
Come funziona la truffa
Ecco come era costruita la truffa. Un messaggino breve da parte di un generico “Comune” che invita il cittadino ad accedere ad un sito con dominio molto simile a quello di SEND per verificare documenti che lo riguardano. Accedendo al sito tramite link malevolo si atterra in un sito molto somigliante a quello della piattaforma realizzata da PagoPA dove vengono richiesti dati anagrafici, targa dell’auto e della carta con cui effettuare il pagamento. Il senso di urgenza che fa da esca per la truffa spinge il cittadino a pagare in fretta una multa pena l’aumento dell’importo della stessa.
Il dettaglio che smaschera il falso
Una truffa, ad eccezione della lettera “a” tra le due parole costituenti il dominio, fatta a regola d’arte. La grafica del sito fake è molto simile a quella del sito originale e vengono anche riportati i loghi ufficiali.
Cosa deve sempre allertare chiunque riceva un messaggio di questo tipo? Gli Enti pubblici, l’INPS, PagoPA, l’Agenzia delle Entrate o le Banche non inviano mai a mezzo di sms richieste di pagamento o di dati personali.
Come riconoscere un messaggio sospetto
È buona norma seguire alcuni passaggi fondamentali prima di effettuare qualsiasi tipo di azione quando si riceve questo tipo di messaggi, soprattutto se sono inattesi:
- Verificare sempre il mittente e il dominio del sito collegato al link, se non si è sicuri meglio fare una ricerca in internet del dominio stesso oppure telefonare al soggetto identificato come mittente. Se per esempio ricevete un messaggio sospetto da “Banca” chiamate la vostra Banca e chiedete lumi;
- Attenzione agli errori grammaticali e di sintassi, nonostante questo tipo di truffe siano sempre più sofisticate qualche refuso capita spesso;
- Quando ricevete un messaggio in cui vi viene chiesto di controllare con urgenza la propria situazione fiscale o viene richiesto un pagamento immediato, chiedetevi sempre se state aspettando questo tipo di messaggio prima di agire senza pensare solo perché vi sentite in agitazione.
Perchè il phishing funziona così bene
Il phishing è una tecnica molto utilizzata dal cybercrime perché sfrutta l’ingegneria sociale per manipolare le vittime. Inducendo un senso di stress e di agitazione, l’attaccante spinge l’utente ad agire impulsivamente facendogli fare il suo gioco per poi sparire una volta ottenuto il denaro. Dal Rapporto Clusit 2026 ricaviamo che gli incidenti di tipo Phishing/Social Engineering nel 2025 in Italia sono cresciuti del 66% rispetto al 2024 e sono al quarto posto come tecnica utilizzata dai cyber criminali sia in Italia che a livello mondiale.
Cosa deve fare il reparto IT della tua organizzazione
Il CSIRT Italia ha inserito gli URL, domini, hash di file, indirizzi IP malevoli nell’elenco degli Indicatori di Compromissione (IoC): le aziende possono caricarli nei propri firewall per bloccare automaticamente quei domini in modo tale che se un dipendente dovesse cliccare sul link malevolo che conduce al sito fake di SEND possa essere tempestivamente bloccato.
Scp è socio Clusit e offre consulenza e prodotti hardware e software per migliorare la postura di sicurezza informatica della tua organizzazione. La consapevolezza è la prima arma contro il cybercrime: contattaci per ricevere informazioni sui nostri corsi di formazione e sulla nostra offerta di sicurezza informatica: marketing@scponline.it
Fonti:
Articolo elaborato dall'Ufficio Marketing di Scp Spa, con l'aiuto dell'Intelligenza Artificiale per la ricerca delle fonti ufficiali sull'argomento.
CERT-AGID – Sintesi riepilogativa delle campagne malevole nella settimana del 20 – 26 giugno
Cyber Trends ITA - "Phishing via SMS sfrutta SEND e pagoPA per false sanzioni stradali"
Rapporto Clusit 2026
CSIRT Italia - Bollettino "La Settimana Cibernetica del 21 giugno 2026"
