Phishing e Pubblica Amministrazione: quando il mittente è vero e il sito sembra perfetto

Il phishing sta diventando più credibile.

Non parliamo più solo della classica email sgrammaticata inviata da un indirizzo sospetto.

Negli ultimi giorni sono emersi casi in cui i truffatori hanno sfruttato vere caselle istituzionali compromesse oppure hanno costruito falsi siti della Pubblica Amministrazione talmente credibili da sembrare autentici.

Il caso Lomazzo: la mail era vera, la multa no

Tra il 26 e il 28 settembre 2026 la casella email istituzionale dell’Ufficio tecnico del Comune di Lomazzo è stata compromessa.

Da quell’indirizzo autentico sono partite false richieste di pagamento per multe inesistenti, soprattutto per presunto eccesso di velocità. Il Comune ha dovuto avvisare i cittadini di non pagare e di verificare direttamente con la Polizia Locale. Il Tradate

Questo caso dimostra una cosa importante: anche un mittente vero può essere usato per una truffa.

Quindi non basta più controllare solo l’indirizzo email.

Bisogna verificare anche il contenuto della richiesta, il metodo di pagamento, il numero di verbale e il canale ufficiale dell’ente.

Il falso Tribunale di Faenza

Pochi giorni prima, la Polizia aveva sequestrato un sito che si presentava come il portale ufficiale del “Tribunale di Faenza”.

Il problema?

Quel tribunale non esiste più.

Il sito riproduceva grafica, struttura e linguaggio tipici dei portali della Giustizia e conteneva persino informazioni sulle aste giudiziarie. Secondo gli investigatori, per realizzarlo sarebbero stati usati anche strumenti di intelligenza artificiale generativa. Il Resto del Carlino

Poi è arrivato anche Cesena

A distanza di pochi giorni è comparso anche un falso sito riferito al Tribunale di Cesena, anch’esso inesistente come ufficio autonomo.

Il portale proponeva aste immobiliari e richieste di cauzioni, con versamenti diretti verso conti esteri. solofinanziamenti.org

Il meccanismo è chiaro: creare un sito che sembri ufficiale, mettere annunci credibili e aspettare che qualcuno versi soldi pensando di partecipare a un’asta giudiziaria vera.

Come difendersi

Quando ricevi una richiesta di pagamento da un Comune, da un tribunale o da un altro ente pubblico:

  • non fidarti solo del logo;
  • non fidarti solo dell’indirizzo email;
  • controlla il dominio del sito;
  • verifica la pratica dal portale ufficiale;
  • non versare denaro su IBAN esteri senza controlli;
  • contatta direttamente l’ente usando recapiti trovati sul sito ufficiale, non quelli presenti nel messaggio ricevuto.

Per gli uffici giudiziari, un buon segnale è la presenza del dominio giustizia.it nei siti ufficiali e giustiziacert.it nelle PEC istituzionali. Ad esempio, il Tribunale di Forlì utilizza il dominio tribunale-forli.giustizia.it e indirizzi email/PEC istituzionali riconducibili a quei domini. Tribunale di Forli

La regola da ricordare

Il phishing moderno può sembrare perfetto.

Può arrivare da una casella vera.

Può usare un sito costruito bene.

Può avere loghi, grafica e linguaggio istituzionale.

Essere credibile non significa essere autentico.

Prima di pagare, verifica sempre da un canale indipendente.

Scopri altri avvisi e consigli pratici su miocuginohacliccato.com