Il CERT-AgID ha rilevato 98 campagne di phishing via SMS in una settimana, 87 con il nome di SEND. Scopri come riconoscere le false multe e proteggerti.Arrivano via SMS, usano un tono formale e sembrano in tutto e per tutto comunicazioni ufficiali della pubblica amministrazione: le false multe via SMS sono diventate una delle minacce informatiche più diffuse in Italia. Il CERT-AgID — l’autorità nazionale per la cybersicurezza delle pubbliche amministrazioni — ha rilevato 98 campagne di phishing in una sola settimana, di cui 87 che sfruttavano il nome di SEND, il Servizio Notifiche Digitali dello Stato. Numeri che devono preoccupare chiunque abbia uno smartphone, compresi i siciliani che quotidianamente ricevono comunicazioni da enti locali, comuni e polizia municipale.
Cos’è SEND e perché i truffatori lo usano come esca
SEND — Servizio Notifiche Digitali — è la piattaforma ufficiale dello Stato italiano attraverso cui le pubbliche amministrazioni notificano atti, sanzioni e comunicazioni ai cittadini in formato digitale. È uno strumento reale, legittimo e sempre più utilizzato da comuni e forze dell’ordine locali per la notifica di verbali e sanzioni al Codice della Strada.
Proprio questa legittimità lo rende uno strumento perfetto per i criminali informatici. Sfruttano il nome di un servizio che i cittadini stanno imparando a conoscere, costruendo messaggi che imitano il linguaggio burocratico ufficiale. Il risultato è un SMS che sembra autentico, con riferimenti a presunte sanzioni non pagate, importi precisi e link che invitano al pagamento immediato.
Secondo i dati del CERT-AgID, già in una settimana di ottobre 2025 erano state rilevate 62 campagne di questo tipo. La crescita è stata costante: la settimana record ha toccato quota 98 campagne totali, con 87 che portavano esplicitamente il marchio SEND. Si tratta, a tutti gli effetti, della truffa via SMS più diffusa in Italia in questo momento.
Come funziona la truffa: il meccanismo del messaggio falso
Il copione è quasi sempre lo stesso. Il cittadino riceve un SMS che lo informa di una sanzione amministrativa — di solito una multa per infrazione al Codice della Strada — rimasta non pagata. Il tono è formale, spesso intimidatorio: si parla di scadenze imminenti, maggiorazioni, o rischio di pignoramento. Nel messaggio compare un link che rimanda a una pagina web costruita per sembrare il portale ufficiale di SEND o di un comune.
Una volta cliccato il link, l’utente viene portato su una pagina che chiede i dati della carta di credito o del conto bancario per procedere al pagamento. In alcuni casi vengono anche richiesti dati personali come codice fiscale e documento d’identità. L’obiettivo è duplice: sottrarre denaro e raccogliere informazioni utili per ulteriori frodi.
I messaggi possono arrivare anche tramite email, non solo SMS. Comuni come Reggio Emilia e Sordio hanno già emesso avvisi ufficiali ai propri cittadini, segnalando tentativi di truffa con finte multe inviate via canali digitali non ufficiali.
→ Leggi anche: Trasporto scolastico disabili a Palermo: il Comune attiva controlli sulla qualità e numero WhatsApp per segnalazioni
Le notifiche vere di SEND: come distinguerle
Il punto chiave è questo: le sanzioni digitali emesse dalla polizia locale vengono notificate esclusivamente tramite la piattaforma SEND oppure via PEC — Posta Elettronica Certificata. Non arrivano tramite SMS ordinari, né tramite email non certificate, né attraverso link diretti a pagamenti su siti terzi.
Questo significa che un SMS che ti chiede di pagare una multa cliccando su un link non è mai una notifica ufficiale del Servizio Notifiche Digitali. Nessun comune o ente pubblico ti contatterà via SMS chiedendoti di inserire i dati della carta di credito su una pagina esterna.
Per verificare se hai effettivamente ricevuto una notifica autentica tramite SEND, la strada corretta è accedere direttamente al portale ufficiale — senza cliccare su link ricevuti via messaggio — oppure contattare direttamente il comune o l’ente mittente attraverso i recapiti ufficiali pubblicati sul sito istituzionale. Puoi trovare informazioni aggiornate sul fenomeno anche attraverso il portale ufficiale del CERT-AgID.
Segnali di allarme da non ignorare
Riconoscere un tentativo di phishing non è sempre facile, ma esistono elementi ricorrenti che dovrebbero far scattare un campanello d’allarme:
- Il messaggio arriva via SMS e non attraverso la tua area personale su SEND o via PEC.
- Il testo contiene errori grammaticali o sintattici, anche lievi — i messaggi fraudolenti sono spesso tradotti o generati automaticamente.
- Il link nel messaggio non rimanda a un dominio istituzionale riconoscibile (come .gov.it o .comune.[città].it), ma a indirizzi strani, abbreviati o con nomi simili ma non identici a quelli ufficiali.
- Il messaggio crea urgenza artificiale: “paga entro 24 ore”, “evita il fermo del veicolo”, “ultima possibilità prima del pignoramento”.
- Ti viene chiesto di inserire dati bancari o della carta direttamente su una pagina raggiunta tramite link SMS.
Cosa fare se si riceve un SMS sospetto
La prima regola è non cliccare sul link, anche solo per curiosità. Anche una semplice visita alla pagina può, in alcuni casi, avviare il download di software malevolo sul dispositivo.
Se hai già cliccato ma non hai inserito dati, monitora con attenzione le tue credenziali e considera di cambiare le password dei servizi bancari. Se hai inserito dati di pagamento, contatta immediatamente la tua banca per bloccare la carta e segnala l’accaduto alla Polizia Postale, che gestisce le denunce per reati informatici. In Sicilia, le sezioni della Polizia Postale sono presenti nelle principali città, da Palermo a Catania, Messina e Agrigento.
Puoi anche segnalare il messaggio direttamente al CERT-AgID attraverso i canali ufficiali dell’agenzia, contribuendo a mappare le campagne in corso e ad accelerare i blocchi dei domini fraudolenti.
La diffusione capillare di queste truffe impone una consapevolezza crescente da parte di tutti: la tecnologia digitale semplifica la vita, ma richiede anche una soglia di attenzione più alta. Conoscere il funzionamento reale dei servizi pubblici come SEND è oggi la prima, concreta forma di autodifesa contro chi sfrutta il nome dello Stato per rubare.
Questo articolo è stato realizzato con il supporto dell'AI e sottoposto a revisione editoriale.
