CERT-AGID ha rilevato 217 campagne malevole che hanno interessato l’Italia tra il 31 ottobre e il 6 novembre 2026. Di queste, 187 erano rivolte specificamente a obiettivi italiani e 30 erano operazioni generiche con effetti anche nel Paese.
L’organismo dell’Agenzia per l’Italia digitale ha ricavato e distribuito agli enti accreditati 1.097 indicatori di compromissione, utili a riconoscere infrastrutture, file e collegamenti ostili.
Il tema più sfruttato è stato quello delle multe non pagate: 98 campagne di phishing via email o SMS. I messaggi hanno imitato soprattutto SEND, la piattaforma per le notifiche digitali degli atti pubblici, in 87 casi; seguono PagoPA con otto, ACI con due e Telepass con uno. Il dato non significa che questi servizi siano stati violati.
Indica che nomi, grafica o linguaggio associati ai marchi sono stati copiati per convincere le vittime ad aprire un collegamento o consegnare dati.
Altri richiami ricorrenti sono stati pagamenti, verifiche dell’identità, operazioni bancarie, documenti e rinnovi. CERT-AGID conta 18 campagne a tema pagamenti, 14 su presunte verifiche, 11 bancarie e otto ciascuna per documenti e rinnovi. Tra i marchi imitati compaiono INPS, Tessera sanitaria, Agenzia delle Entrate, istituti di credito e servizi di webmail.
L’ampiezza dei nomi usati rende poco efficace affidarsi soltanto al logo visualizzato nel messaggio.
La settimana ha coinvolto dodici famiglie di malware. AgentTesla e Remcos sono stati distribuiti attraverso allegati in formati diversi, tra cui ZIP, GZ, JS, LHA, TAR, XLAM, 7Z, PDF, RAR e XLS. Sono comparsi anche FormBook, XWorm, AsyncRat, dcRat, DonutLoader, LXBaserat, Mirax, PapRAT e PureLogs Stealer.
Un allegato che sembra un documento di lavoro può quindi contenere script o archivi annidati, non soltanto il file mostrato dall’icona.
Per gli utenti italiani la difesa più concreta è verificare una multa o un pagamento entrando autonomamente nel sito o nell’app ufficiale, senza usare il collegamento ricevuto. SEND e PagoPA non chiedono di risolvere un’urgenza tramite pagine raggiunte da domini estranei.
Prima di inserire credenziali o dati della carta conviene controllare indirizzo completo, mittente e presenza della notifica nell’area personale del servizio.
Per aziende e pubbliche amministrazioni, i 1.097 indicatori consentono di aggiornare filtri, sistemi di rilevamento e regole di blocco. Non sostituiscono però patch, autenticazione multifattore resistente al phishing, limitazione delle macro e controllo degli allegati. Gli indicatori possono cambiare rapidamente, mentre una configurazione difensiva riduce il danno anche quando il dominio usato nell’attacco è nuovo.
Il riepilogo fotografa le campagne osservate dal CERT nel proprio perimetro e non tutte le frodi avvenute in Italia. È quindi un segnale minimo documentato, non una stima completa delle vittime o delle perdite economiche.
La concentrazione sulle finte multe mostra comunque quale esca viene usata con maggiore intensità e suggerisce di aumentare subito l’attenzione sulle notifiche che chiedono pagamenti rapidi.
Un’ulteriore precauzione riguarda le comunicazioni ricevute sullo stesso tema da canali diversi. Una email seguita da un SMS non è necessariamente più autentica: le campagne possono coordinare più messaggi o riutilizzare dati già esposti.
Se si è inserita una password in una pagina sospetta, occorre cambiarla dal sito ufficiale, terminare le sessioni aperte, controllare i movimenti e avvisare subito banca o gestore quando sono coinvolti pagamenti.