Truffe online, falsi rimborsi e multe tra le esche più usate: 137 campagne malevole in una settimana

Il nuovo report CERT-AGID fotografa le minacce informatiche che stanno circolando in Italia: 41 campagne di phishing sfruttano la promessa di un rimborso e 33 fingono multe non pagate. Nel mirino anche conti bancari e dati delle carte

Un rimborso inatteso, una multa che risulterebbe ancora da pagare, una comunicazione bancaria apparentemente urgente. Sono alcune delle esche maggiormente utilizzate nelle campagne di phishing che stanno interessando gli utenti italiani.

A fotografare la situazione è il CERT-AGID, che nel riepilogo relativo alla settimana dal 29 agosto al 4 settembre 2026 riferisce di aver individuato e analizzato 137 campagne malevole. Di queste, 110 avevano obiettivi italiani, mentre altre 27 erano campagne generiche che hanno comunque interessato il nostro Paese.

Un fenomeno che conferma quanto sia diventato importante riconoscere una comunicazione fraudolenta prima di cliccare su un link o inserire dati personali e bancari.

Falsi rimborsi: l’esca più utilizzata

Il tema più sfruttato nell’ultima rilevazione è quello dei rimborsi.

CERT-AGID ha contato 41 campagne di phishing italiane costruite proprio intorno alla promessa di ricevere del denaro.

I criminali informatici sfruttano soprattutto nomi e grafiche riconducibili a Agenzia delle Entrate e PagoPA, cercando di convincere il destinatario che esista un rimborso pronto per essere accreditato.

La tecnica fa leva su un meccanismo psicologico molto semplice: invece di chiedere immediatamente denaro, viene prospettata la possibilità di riceverlo.

La vittima viene quindi invitata a cliccare su un collegamento e successivamente a inserire informazioni personali o dati della carta di pagamento.

Il falso rimborso TARI da 95 euro

Tra le campagne segnalate dal CERT-AGID c’è quella che utilizza impropriamente il nome e la grafica di PagoPA.

In questo caso viene prospettato un presunto rimborso di 95 euro relativo a un pagamento TARI effettuato in eccesso.

Il sito al quale viene indirizzato l’utente è però fraudolento e ha l’obiettivo di sottrarre dati personali e informazioni relative agli strumenti di pagamento.

È una truffa particolarmente insidiosa perché riproduce elementi grafici familiari agli utenti e utilizza un importo abbastanza contenuto da rendere il presunto rimborso plausibile.

Falsi rimborsi IRPEF dell’Agenzia delle Entrate

Non c’è soltanto PagoPA.

Il CERT-AGID segnala anche la prosecuzione di numerose campagne che sfruttano indebitamente il nome dell’Agenzia delle Entrate.

I domini fraudolenti vengono registrati con grande frequenza e fanno riferimento a un presunto rimborso IRPEF relativo all’anno d’imposta 2025.

Tra le informazioni che i siti cercano di ottenere figurano anche codice fiscale e dati della carta di pagamento elettronico.

Attenzione anche alle false multe

La seconda grande esca individuata nella settimana è rappresentata dalle multe.

Sono state rilevate 33 campagne di phishing italiane che fingevano di comunicare la presenza di sanzioni ancora da pagare.

Le comunicazioni vengono diffuse attraverso email o SMS e possono utilizzare grafiche e riferimenti riconducibili a servizi e istituzioni conosciute dagli utenti. CERT-AGID indica in particolare SEND, PagoPA e, in misura minore, la Polizia di Stato.

Il messaggio tende normalmente a creare urgenza: bisogna pagare velocemente per evitare maggiorazioni, conseguenze o ulteriori sanzioni.

Ed è proprio la fretta uno degli strumenti più utilizzati dai truffatori.

Banche e servizi finanziari nel mirino

Al terzo posto tra i temi maggiormente sfruttati troviamo il banking.

CERT-AGID ha individuato 13 campagne di phishing italiane rivolte ai clienti di diversi istituti e servizi finanziari.

Lo stesso tema è stato utilizzato anche per distribuire malware destinati ai dispositivi delle potenziali vittime.

Il principio rimane simile: una presunta operazione sospetta, un conto da verificare o un problema urgente vengono utilizzati per spingere l’utente ad agire senza effettuare le necessarie verifiche.

Coinvolti 31 marchi nelle campagne di phishing

Il dato dà la dimensione della varietà delle campagne.

Nella sola settimana analizzata sono stati 31 i brand coinvolti nelle campagne di phishing osservate dal CERT-AGID.

Per quantità spiccano soprattutto quelle che sfruttano riferimenti a PagoPA, Agenzia delle Entrate e SEND.

Questo non significa naturalmente che i sistemi di questi enti siano stati violati.

Il phishing funziona generalmente in maniera diversa: i criminali imitano nomi, loghi, colori e comunicazioni di soggetti conosciuti per rendere credibile il messaggio inviato alla vittima.

Non soltanto phishing: circolano anche malware

Il monitoraggio ha individuato anche 10 famiglie di malware che hanno interessato l’Italia nella settimana considerata.

Le campagne sfruttano temi apparentemente quotidiani come documenti, ordini, fatture, preventivi, consegne e comunicazioni bancarie.

In diversi casi i file malevoli sono contenuti in archivi ZIP, RAR o altri allegati, mentre alcune campagne rivolte ai dispositivi Android utilizzano SMS contenenti link che portano al download di applicazioni APK malevole.

Come riconoscere un possibile tentativo di phishing

Un messaggio non diventa affidabile soltanto perché mostra il logo di un ente pubblico, di una banca o di un servizio conosciuto.

Prima di cliccare è utile controllare con attenzione l’indirizzo del mittente e soprattutto quello del sito al quale conduce il collegamento.

Particolare prudenza è necessaria quando un messaggio:

• promette un rimborso inatteso;
• comunica una multa o un debito da pagare con urgenza;
• chiede dati della carta, credenziali o informazioni personali;
• invita ad aprire allegati non attesi;
• spinge a scaricare applicazioni attraverso un link ricevuto via SMS.

In caso di dubbio, la scelta più sicura è non utilizzare il collegamento contenuto nel messaggio e raggiungere autonomamente il sito o l’app ufficiale del servizio interessato.

La truffa punta sulle nostre emozioni

Un aspetto interessante emerge proprio dai temi maggiormente utilizzati.

Rimborso, multa e banca fanno leva su tre reazioni molto potenti: opportunità, paura e urgenza.

Nel primo caso la vittima teme di perdere del denaro che potrebbe ricevere; nel secondo vuole evitare una sanzione più grave; nel terzo pensa che il proprio conto corrente possa essere in pericolo.

È in quel momento che diventa più facile cliccare senza controllare.

Per questo uno dei comportamenti più efficaci contro il phishing rimane anche il più semplice: non avere fretta.

137 campagne in sette giorni: cosa ci dice il dato

Il dato del CERT-AGID non rappresenta necessariamente tutte le truffe online effettivamente circolate in Italia durante la settimana, ma le campagne osservate e analizzate nello specifico scenario monitorato dall’organismo.

Sono comunque 137 campagne in sette giorni, con 1.092 indicatori di compromissione individuati e 18 differenti temi utilizzati per veicolare phishing e malware.

Numeri che mostrano quanto rapidamente possano cambiare esche, siti e messaggi utilizzati dai criminali informatici.

Il nome dell’ente può cambiare. La promessa può essere un rimborso, una multa da saldare o una comunicazione bancaria.

La regola, invece, resta la stessa: prima di fornire dati o effettuare un pagamento, verificare sempre attraverso i canali ufficiali.

Fonte: CERT-AGID, sintesi delle campagne malevole osservate dal 29 agosto al 4 settembre 2026