PEC compromesse e false multe PagoPA: perché la PEC non basta a fidarsi

Il CERT-AGID segnala campagne di phishing a tema multe inviate da PEC compromesse. Come trasformare l’allerta in procedure interne.

Cosa ha rilevato il CERT-AGID

Nell’ultima settimana il CERT-AGID ha osservato diverse campagne di phishing che usano caselle PEC compromesse per diffondere false richieste di pagamento a nome di PagoPA. Negli ultimi due casi analizzati il messaggio parte da una PEC compromessa verso un indirizzo di posta ordinaria, con circa 340 indirizzi PEC in copia.

La comunicazione si presenta come un provvedimento amministrativo per una presunta violazione del Codice della Strada. Il testo, molto formale e ricco di riferimenti normativi, chiede il pagamento di 198 euro entro una scadenza ravvicinata, minacciando un aumento a 268 euro in caso di ritardo.

Il sito fraudolento invita la vittima a inserire nome, cognome, codice fiscale, data di nascita, indirizzo email e numero di telefono per procedere al pagamento della presunta sanzione.

Dall’analisi è emerso un sistema che consente agli attaccanti di controllare da remoto il percorso di navigazione della vittima: la pagina interroga un pannello di gestione sul server ogni mezzo secondo, verificando se ci siano istruzioni per indirizzare l’utente verso ulteriori schermate.

Cosa significa per imprese ed enti

Il punto operativo più rilevante è che la provenienza da una PEC non garantisce la legittimità del contenuto: una casella compromessa può far considerare attendibile una comunicazione costruita per sottrarre dati personali e bancari. Per imprese e pubbliche amministrazioni significa che il canale certificato non può più essere trattato come criterio di fiducia automatico nei processi di pagamento e di protocollazione.

Sul piano della compliance, un episodio di questo tipo tocca più fronti insieme: la protezione dei dati personali dei dipendenti che inseriscono informazioni in portali falsi, la sicurezza delle informazioni e la capacità dell’organizzazione di riconoscere e gestire un incidente. Il fatto che i messaggi arrivino da mittenti apparentemente legittimi rende la formazione e le procedure di verifica un presidio concreto, non un adempimento formale.

Gli organi di controllo possono leggere questa allerta come un indicatore di maturità dei controlli interni: esistono regole chiare su chi può autorizzare un pagamento, su come si verificano le richieste ricevute via PEC e su chi va avvisato in caso di dubbio? Trasformare l’obbligo di diligenza in procedure documentate è il modo migliore per ridurre il rischio e dimostrare di averlo governato.

Cosa fare ora

• Diffondere una comunicazione interna che spieghi che una PEC può provenire da una casella compromessa e che la sua provenienza non prova la legittimità del contenuto.
• Stabilire che ogni richiesta di pagamento ricevuta via PEC sia verificata attraverso i canali ufficiali dell’ente interessato, senza usare i collegamenti presenti nel messaggio.
• Formare chi gestisce la posta e i pagamenti a diffidare delle PEC inattese che parlano di fatture, pagamenti o solleciti, anche quando il mittente sembra legittimo.
• Definire un percorso chiaro di segnalazione e di risposta agli incidenti, includendo l’inoltro delle comunicazioni sospette al CERT-AGID per le verifiche.
• Se un dipendente ha inserito dati personali o della carta in un portale sospetto, trattare l’evento come possibile incidente di sicurezza e valutarne gli effetti sulla protezione dei dati.
• Per le pubbliche amministrazioni, valutare l’accreditamento al Flusso IoC del CERT-AGID per ricevere gli indicatori di compromissione e bloccare tempestivamente le infrastrutture coinvolte.

CGC S.r.l. affianca imprese, enti e pubbliche amministrazioni con i Modelli 231, la privacy e la cybersecurity, anche con la funzione di DPO, la revisione legale e gli adeguati assetti. Per una prima verifica è disponibile il Self-Assessment gratuito su assetti, privacy, NIS2 e whistleblowing: www.cgcsrl.eu.

Fonti

1. Phishing PagoPA: nuove campagne a tema multe diffuse tramite PEC compromesse – CERT-AGID — Fonte ufficiale: CC BY 4.0 salvo diversa indicazione.