Ing. Calogero Bono
Il 6 novembre 2026 il CSIRT Italia, la squadra di risposta agli incidenti informatici dell'Agenzia per la cybersicurezza nazionale, ha segnalato il ritorno di una campagna di smishing a tema SEND e PagoPA. Gli SMS sembrano arrivare dai servizi PagoPA e parlano di una sanzione amministrativa. Il link porta a una pagina che imita quella istituzionale per rubare dati personali e di pagamento. Conta perché il messaggio sfrutta la paura di una multa e colpisce cittadini e dipendenti.
Qualche termine, prima di entrare nei fatti. Smishing è il phishing via SMS, cioè un messaggio falso che spinge a cliccare un link. SEND è il Servizio Notifiche Digitali, usato per recapitare atti e comunicazioni ufficiali. PagoPA è la piattaforma dei pagamenti verso la pubblica amministrazione. CSIRT Italia è il gruppo che monitora le minacce informatiche e diffonde gli alert. IoC sono gli indicatori di compromissione, come gli indirizzi web usati dagli attaccanti.
Cosa ha rilevato il CSIRT Italia?
Secondo l'alert AL01/261106/CSIRT-ITA, la campagna è un riacutizzarsi di una attività già segnalata in precedenza. Si tratta di una nuova ondata dello stesso schema, non di una tecnica inedita.
L'obiettivo dichiarato è indurre gli utenti a visitare risorse web predisposte per sottrarre dati personali, credenziali di accesso e informazioni sugli strumenti di pagamento.
Come è fatto l'SMS falso?
Il mittente appare riferibile ai servizi PagoPA. Il testo cita una presunta comunicazione su una sanzione amministrativa e invita a verificare il verbale tramite un link nel corpo del messaggio.
È un meccanismo classico. Una multa genera urgenza, e l'urgenza riduce l'attenzione. Chi lavora con la posta aziendale conosce lo schema, e ne parliamo anche in phishing e truffe via email, come riconoscerle in azienda.
Cosa succede se clicchi sul link?
Il CSIRT spiega che la vittima viene reindirizzata verso una pagina che riproduce fedelmente l'interfaccia grafica istituzionale dei servizi SEND e PagoPA. Quella pagina è creata dagli attaccanti per carpire informazioni sensibili e dati finanziari.
Nell'alert è indicato un indirizzo come indicatore, scritto in forma disattivata per evitare clic accidentali. Il dominio finisce in .eu.cc e non è un indirizzo istituzionale.
Quali sono le indicazioni per difendersi?
Il CSIRT riconferma le stesse azioni di mitigazione dell'alert originale, che si trova nella sezione Correlati della pagina ufficiale. Il testo di questa nuova segnalazione non le ripete una per una, quindi per l'elenco completo va consultato quel documento.
Il problema degli SMS ingannevoli tocca anche altri ambiti della telefonia, come mostra il caso di SMS of Death e la falla CVE-2026-58882, anche se è una vicenda diversa.
Limiti da conoscere
L'alert non indica quante persone siano state raggiunte, da quando preciso circolino gli SMS né chi ci sia dietro la campagna. Non descrive nemmeno il testo esatto del messaggio, mostrato solo in una figura. Gli indirizzi usati possono cambiare in fretta, quindi l'unico indicatore pubblicato potrebbe non essere l'ultimo.
Cosa cambia per chi lavora con il digitale
Per un'impresa il rischio è doppio. I dipendenti possono cadere nella trappola dal telefono personale o aziendale, e un furto di credenziali o di dati di pagamento può avere effetti sui conti dell'azienda. Conviene spiegare allo staff che SEND e PagoPA non chiedono dati tramite link in SMS di dubbia origine. Chi gestisce identità digitali può guardare anche il regolamento 1.0 di IT-Wallet, utile per capire come cambiano i servizi pubblici digitali.
Il nostro parere
Il caso mostra che il phishing più efficace resta quello che imita un'istituzione e usa un tema ansiogeno. Non serve tecnologia sofisticata, basta una grafica credibile. Pesa il fatto che l'alert sia scarno sulle contromisure e rimandi a un documento precedente, scelta che costringe il lettore a cercare. Per la prevenzione contano più formazione e abitudini che strumenti. Sono utili anche le comunicazioni chiare della pubblica amministrazione su come NON contatta i cittadini.
Domande frequenti
Che cos'è lo smishing a tema PagoPA?
È una campagna di SMS falsi che sembrano arrivare da PagoPA. Parlano di una sanzione amministrativa e invitano a cliccare un link. Il link porta a una pagina contraffatta.
Chi ha pubblicato l'alert?
Il CSIRT Italia, parte dell'Agenzia per la cybersicurezza nazionale. L'alert è AL01/261106/CSIRT-ITA ed è datato 6 novembre 2026.
Che dati cercano di rubare gli attaccanti?
Dati personali, credenziali di accesso e informazioni sugli strumenti di pagamento. Secondo il CSIRT la pagina falsa serve a carpire informazioni sensibili e dati finanziari.
La campagna è nuova?
No, è un riacutizzarsi. Il CSIRT parla di una campagna già oggetto di precedente segnalazione, con una nuova ondata di messaggi.
Dove trovo le misure di mitigazione?
Nell'alert originale, citato nella sezione Correlati della pagina ufficiale. Il CSIRT riconferma le stesse indicazioni senza riscriverle.
Cosa tenere d'occhio mentre la campagna continua
Le campagne di smishing tornano a ondate e cambiano indirizzi e pretesti. Conviene seguire gli aggiornamenti ufficiali.
- Consulta la pagina del CSIRT Italia e l'alert originale per le misure complete.
- Controlla se compaiono nuove versioni dell'alert con altri indicatori.
- Segnala all'IT interno gli SMS sospetti ricevuti dallo staff, così si individuano i picchi.
