Il CERT-AGID segnala una nuova campagna di phishing: siti malevoli riproducono nome, logo e grafica di PagoPA e promettono un rimborso per sottrarre dati personali e informazioni delle carte di pagamento
Un presunto rimborso TARI da 95 euro che, in realtà, può trasformarsi in una trappola per sottrarre dati personali e informazioni della carta di pagamento.
A lanciare l’allarme è il CERT-AGID, che ha individuato siti malevoli realizzati utilizzando nome, logo e grafica di PagoPA con l’obiettivo di rendere credibile una nuova campagna di phishing.
Il meccanismo punta su un messaggio particolarmente allettante: l’utente viene informato di aver versato una somma superiore al dovuto per la TARI, la tassa sui rifiuti, e viene quindi invitato ad avviare online la procedura per ottenere il rimborso.
Come funziona la truffa del falso rimborso TARI
Secondo quanto ricostruito dal CERT-AGID, la pagina iniziale del sito fraudolento mostra un avviso relativo a un presunto pagamento TARI effettuato in eccesso, accompagnato anche da un numero di pratica fittizio.
Per procedere viene proposto il pulsante “Continua con la richiesta”.
È da quel momento che comincia la raccolta delle informazioni della vittima.
Nel primo passaggio viene richiesto di inserire il codice fiscale oppure il numero della carta d’identità.
Successivamente il sito comunica l’esito della presunta verifica: all’utente viene mostrato un rimborso di 95 euro, collegato a una pratica TARI relativa al 2025 e a un pagamento in eccesso indicato con la data del 28 agosto 2026.
Dal codice fiscale fino ai dati della carta
La procedura prosegue chiedendo una quantità crescente di informazioni.
Il sito richiede nome e cognome, indirizzo di residenza, CAP, comune, provincia, regione, numero di cellulare e indirizzo email.
L’ultimo passaggio è quello più delicato.
Per ricevere il falso accredito vengono richiesti nome e cognome del titolare della carta, numero della carta di credito, data di scadenza e CVV.
Perché i dati raccolti sono così importanti per i criminali
Il CERT-AGID evidenzia come l’insieme delle informazioni sottratte permetta ai criminali di ottenere un quadro molto completo della vittima: non soltanto dati anagrafici e recapiti, ma anche le informazioni necessarie per tentare operazioni fraudolente attraverso la carta di pagamento.
Gli stessi dati potrebbero inoltre essere utilizzati successivamente per realizzare nuove campagne di phishing mirate.
CERT-AGID avvia le attività di contrasto
Il CERT-AGID ha già avviato le attività finalizzate alla dismissione dei domini malevoli individuati e ha informato l’ente interessato della campagna in corso.
Gli Indicatori di Compromissione individuati durante l’analisi sono stati inoltre condivisi con le organizzazioni accreditate al flusso IoC.
La segnalazione rappresenta quindi un motivo in più per prestare particolare attenzione davanti a pagine che promettono rimborsi e che, per ottenere l’accredito, chiedono l’inserimento di numerosi dati personali e delle informazioni complete della propria carta.
Fonte: CERT-AGID, “Falso rimborso TARI sfruttato nelle nuove campagne di phishing ai danni di PagoPA”, 3 settembre 2026.
Consulta la segnalazione ufficiale del CERT-AGID
