SMS "multa non pagata": come riconoscere il messaggio falso di pagoPA o del Comune

"Multa non pagata: eviti la maggiorazione saldando qui." E un link. Questo SMS (o email), con piccole variazioni e loghi che imitano pagoPA, il tuo Comune o la polizia municipale, circola da anni a ondate in Italia. È una campagna di smishing ricorrente: sparisce per qualche settimana e torna con un altro testo e un altro dominio somigliante, sempre con lo stesso obiettivo: farti inserire i dati della tua carta in un sito falso che imita i canali di pagamento ufficiali.

La buona notizia è che questa truffa si smonta con una sola regola, ed è tra le più facili da ricordare.

La regola chiave: le multe non si notificano via SMS con un link di pagamento

Tieni a mente questo: né pagoPA né il tuo Comune ti manderanno un SMS con un link per pagare una multa. Le notifiche delle sanzioni stradali arrivano attraverso i canali ufficiali di sempre:

• La raccomandata con ricevuta di ritorno, al tuo domicilio, oppure la contestazione immediata dell'agente.
• La PEC o la notifica digitale, se hai un domicilio digitale o hai attivato le notifiche digitali della pubblica amministrazione (per le aziende è la norma; per i privati, solo se lo scelgono).
• I canali ufficiali di consultazione e pagamento: l'app IO, il portale del tuo Comune o della polizia locale e i canali aderenti a pagoPA, dove un avviso di pagamento vero si verifica e si salda in ogni momento.

La meccanica "multa in sospeso + link + paga subito dall'SMS" non è quella di una notifica ufficiale: è lo schema della frode. Se il messaggio ti chiede di pagare attraverso un link contenuto nel messaggio stesso, non pensarci due volte.

Com'è fatto l'SMS falso e perché funziona?

Il messaggio è progettato per provocare una reazione rapida, non una riflessione. I suoi ingredienti non cambiano quasi mai:

• Urgenza. "Ultimo avviso", "eviti il pignoramento", "la pratica passerà alla riscossione coattiva". Ti spingono a risolvere sul momento.
• Lo sconto per il pagamento rapido. È l'esca più efficace, perché si appoggia a qualcosa di vero: le multe stradali reali prevedono una riduzione del 30% se paghi entro pochi giorni. Il truffatore usa quel dettaglio autentico per far sembrare legittimo l'insieme e per convincerti che "pagare subito e dimenticarsene" convenga.
• Un importo piccolo. Di solito cifre sostenibili (decine di euro, non centinaia). Il vero obiettivo non è incassare quella "multa": è catturare i dati completi della tua carta nella finta pagina di pagamento, e a volte anche il codice di conferma via SMS per fare addebiti più grossi in seguito.
• Un dominio somigliante. Link tipo "pagopa-multe", "comune-avvisi", "pagamenti-pa" seguiti da trattini e parole, su domini che non sono quelli ufficiali. Sullo schermo piccolo del telefono, e con la fretta, passano inosservati. Il sito di destinazione copia loghi ed estetica istituzionale con discreta abilità.
• Mittente variabile. A volte un cellulare qualsiasi, a volte un mittente alfanumerico che imita "PagoPA" o il Comune. Siccome il mittente di un SMS si può falsificare, non serve come prova di nulla, né a favore né contro.

Nessuno di questi elementi richiede che il truffatore sappia qualcosa di te. Invia lo stesso SMS a migliaia di numeri e gli basta la percentuale di persone che, per caso, si aspettava davvero una possibile multa. Puoi vedere quali campagne di questo tipo sono attive ogni settimana nella nostra pagina delle tendenze.

Come verifico se ho una multa vera?

Questa è l'unica parte che ti serve quando resta il dubbio del "e se fosse vero?". La verifica la fai sempre tu, attraverso i canali ufficiali, mai dal link del messaggio:

1. Apri l'app IO (quella ufficiale, installata dallo store del tuo telefono). Se un ente ti ha inviato un avviso pagoPA a tuo nome, lì lo trovi, con importo e scadenza.
2. Oppure vai sul sito del tuo Comune o della polizia locale scrivendo tu l'indirizzo nel browser, lettera per lettera. Non arrivarci dal link dell'SMS né da risultati dubbi: molti comuni hanno una sezione per consultare i verbali con targa e numero di verbale.
3. Se internet non fa per te, puoi sempre chiamare il numero ufficiale della polizia locale del tuo comune o passare allo sportello.

Se da questi canali non risulta nessuna multa, non c'è nessuna multa. L'SMS era falso: lo blocchi, lo cancelli e fine. E se invece esiste una sanzione vera, la paghi tramite i canali pagoPA ufficiali (app IO, home banking, tabaccheria, ufficio postale), mai attraverso il link di un messaggio.

Questa sequenza (chiudere il messaggio, entrare tu nel canale ufficiale) è esattamente la stessa che consigliamo per verificare una chiamata o un SMS della tua banca. Vale per qualsiasi ente o azienda, ed è l'abitudine che taglia alla radice più frodi di ogni altra.

Cosa faccio se ho già cliccato o inserito la carta?

Dipende da quanto sei andato avanti:

• Hai solo cliccato il link e chiuso la pagina: molto probabilmente non è successo nulla. Non hai scaricato niente né fornito dati; blocca il mittente e vai avanti con la tua vita.
• Hai inserito i dati della carta: chiama la tua banca adesso, al numero sul retro della carta, racconta l'accaduto e chiedi di bloccare la carta ed emetterne una nuova. È la misura che taglia il problema di netto.
• Hai anche inserito un codice di conferma arrivato via SMS: dillo anche alla banca, perché potrebbe esserci un'operazione già autorizzata da contestare immediatamente.
• Controlla gli addebiti dei giorni e delle settimane successive. Gli addebiti fraudolenti non arrivano sempre subito; a volte aspettano. Attiva le notifiche dei movimenti nell'app della tua banca.
• Denuncia alla Polizia di Stato o ai Carabinieri con gli screenshot dell'SMS, il link e gli eventuali addebiti. Puoi anche segnalare e farti orientare dal portale della Polizia Postale (commissariatodips.it).
• Segnala il numero che ha inviato l'SMS nell'elenco dei numeri spam, perché resti marcato.

Lo stesso schema con altri travestimenti

Se impari a vedere lo scheletro di questa truffa (ente conosciuto + debito o pratica in sospeso + urgenza + link di pagamento), la riconoscerai in tutte le sue varianti, perché i truffatori ruotano il travestimento a seconda della stagione:

In tutti i casi la difesa è identica: non cliccare, entrare tu nel canale ufficiale e verificare.

Domande rapide

PagoPA o il Comune inviano SMS? Possono esistere comunicazioni informative legate a pratiche che hai avviato tu, ma le multe non si notificano con link di pagamento via SMS. Nel dubbio, tratta qualsiasi SMS come non verificato e controlla sull'app IO o sui canali ufficiali del tuo Comune.

L'SMS ha "PagoPA" come mittente: non è una garanzia? No. Il nome del mittente di un SMS si può falsificare. Né il nome né il numero che compaiono sullo schermo dimostrano chi invia il messaggio.

E se ho davvero una multa e mi scade il termine per lo sconto? Le multe vere si verificano in pochi minuti presso il tuo Comune o sull'app IO. Se esiste, lì vedrai importo, scadenza e modalità di pagamento ufficiale. Non ti serve nessun SMS per non perdere la riduzione.

Serve a qualcosa segnalare il numero? Sì. Queste campagne riutilizzano le stesse numerazioni per giorni. Ogni segnalazione fa sì che il numero risulti marcato quando un'altra persona lo cerca prima di cascarci.

Se ti è arrivato uno di questi SMS, dedica un minuto a segnalarlo nell'elenco dei numeri di NoCall: è il modo più diretto perché la prossima persona che riceve la "multa" scopra in tempo di non dover niente.