Quishing, Smishing, Spoofing: Come Difendersi dalle Truffe che Prosciugano il Conto in Italia

Ha una multa non pagata, recita il messaggio che ti arriva sul telefono. Il cuore batte forte, ma attenzione: potrebbe essere una truffa. Nel giugno 2026, il CERT-AGID ha intercettato quasi cinquanta campagne di phishing legate alle multe italiane in appena sette giorni. Numeri che fanno paura, perché dietro ci sono inganni sempre più sofisticati. SMS, chiamate, QR code: tutto sembra ufficiale, persino i nomi come pagoPA e SEND vengono usati per confondere. I truffatori conoscono bene la pressione che una multa può creare e la sfruttano senza pietà. Dalle tecniche di quishing allo smishing, passando per lo spoofing, le trappole sono tante e affilate. Sta a noi riconoscerle prima di cadere nella rete.

Quishing: il QR code che ti porta dritto nella trappola

Il quishing nasce dall’incrocio fra QR code e phishing ed è una delle truffe più insidiose. Il truffatore stampa un QR code su un falso verbale di multa, invitando la vittima a inquadrarlo per “verificare” o “pagare” la sanzione. Il codice apre una pagina web che sembra quella di un ente pubblico. All’apparenza tutto normale, ma in realtà è una trappola: l’utente viene spinto a inserire dati della carta di credito o altre informazioni sensibili, convinto di sistemare una multa vera. A quel punto, i soldi spariscono dal conto e finiscono nelle mani dei malviventi.

Questa tecnica si basa sulla diffusione crescente dei QR code, soprattutto dopo la pandemia, quando sono entrati nell’uso quotidiano. La loro comodità inganna anche chi è più prudente. Le pagine false però spesso tradiscono qualche dettaglio: URL strani, mancanza di certificati di sicurezza o richieste fuori dal comune per completare il pagamento.

Le istituzioni raccomandano di fare attenzione a ogni QR code ricevuto per posta o messaggio. Mai inquadrare un codice senza prima aver verificato la fonte e, meglio ancora, accedere direttamente ai siti ufficiali.

Smishing: il messaggio che ti spinge a pagare subito la multa

Lo smishing è il phishing via SMS. Arriva un messaggio che annuncia una multa non pagata e invita a saldare subito tramite un link contenuto nell’SMS. Il testo spesso indica un importo preciso, una scadenza e un numero di pratica per sembrare autentico. A volte compare anche il logo di pagoPA o SEND, per aumentare la sensazione di ufficialità.

Ma non c’è nessun certificato di sicurezza e il link porta a un sito controllato dai truffatori. Il percorso guida la vittima fino all’inserimento completo dei dati della carta, incluso il codice CVV. Chi cade nel tranello vede il conto svuotarsi in pochi minuti.

Nel 2026 il CERT-AGID ha monitorato decine di campagne smishing in tutta Italia, rivolte proprio a chi poteva avere multe o cartelle sospese, ma con l’unico scopo di rubare soldi. Il meccanismo è semplice ma efficace: la pressione e l’urgenza fanno scattare la fretta e spingono a cliccare senza pensarci troppo.

Spoofing: quando la chiamata o il messaggio sembrano arrivare davvero dall’autorità

Lo spoofing è la falsificazione del mittente: un SMS o una telefonata mostrano l’identità di un ente pubblico o della polizia. A volte il numero che appare sul display è persino quello reale di un ufficio di Polizia. La differenza? Dietro c’è un truffatore, non un ufficiale.

La Polizia di Stato ha segnalato molti casi in cui le vittime hanno ricevuto telefonate “ufficiali” con richieste di pagamento per multe inesistenti. I messaggi dicono cose come: «Buongiorno, chiamo dalla Polizia Locale. Risulta una sanzione non pagata di 86 euro sulla sua targa, da saldare entro oggi per evitare maggiorazioni». Da lì partono pressioni e inviti a fornire dati personali o a cliccare un link via SMS subito dopo la chiamata.

L’obiettivo è chiaro: far credere alla vittima di trovarsi di fronte a un controllo reale e urgente, spingendola a pagare subito. Questo tipo di frode richiede molta cautela: nessuna autorità chiama o manda SMS per riscuotere così.

Typosquatting: il sito falso che sfrutta un errore di battitura

Il typosquatting si basa sulla somiglianza tra indirizzi web. È una truffa molto diffusa e spesso efficace. Nel 2026, per esempio, è stato scoperto un sito chiamato “autostiade.com” che richiamava “autostrade.it”. Il portale finto imitava nei dettagli quello ufficiale e chiedeva non solo la targa, ma anche numero di telefono e dati bancari.

Nel caso delle multe, basta un piccolo errore o una lettera sbagliata per finire su un sito falso. Il malcapitato, convinto di essere sulla pagina giusta, inserisce i dati richiesti e si espone al furto di informazioni personali e finanziarie.

Anche loghi e grafiche vengono copiati con cura per ingannare gli utenti. Solo controllando bene l’indirizzo web e confrontandolo con i canali ufficiali si può smascherare la truffa. È fondamentale verificare sempre che il dominio sia esatto prima di fare qualsiasi operazione online.

Vishing: la truffa telefonica con richieste di pagamento urgenti

Il vishing è il phishing via telefono. Qui il truffatore si spaccia per operatore di enti ufficiali, Polizia Locale o società di riscossione, per mettere pressione. Si parla di multe scadute, scadenze imminenti e maggiorazioni pesanti.

Una variante è il “callback phishing”: si riceve un SMS che invita a richiamare un numero, spesso falso, per sistemare la situazione. Così si combina messaggio e chiamata per aumentare l’inganno.

La Polizia di Stato raccomanda di non rispondere mai a questi messaggi né chiamare i numeri indicati. Meglio verificare la propria posizione contattando direttamente i recapiti ufficiali. Questo semplice accorgimento riduce di molto il rischio di cadere nella trappola.

Non farti ingannare dai dati personali o dalla targa conosciuta

Avere la targa corretta può far sembrare un messaggio autentico, ma non è così. I truffatori raccolgono dati da fonti diverse, anche pubbliche, o inseriscono targhe plausibili a caso nelle loro truffe. In una delle campagne del 2026, un sito falso chiedeva targa e codice fiscale prima di mostrare una multa inventata, per sembrare più credibile e raccogliere dati personali.

Quindi, anche se le informazioni sembrano precise, non vuol dire che la comunicazione sia vera. Ogni richiesta di pagamento va sempre verificata tramite canali ufficiali, evitando di fidarsi di messaggi ricevuti via SMS o email senza controlli.

Come difendersi dalle truffe sulle multe false

La regola d’oro è mai pagare una multa cliccando su link ricevuti via SMS, email o QR code. Se arriva una comunicazione inattesa, conviene sempre andare direttamente sul sito ufficiale dell’ente o usare l’app riconosciuta per controllare la propria posizione. Il senso di urgenza è quasi sempre un campanello d’allarme: scadenze ravvicinate, sconti o minacce servono a far agire di fretta.

È importante mantenere la calma e verificare prima di fornire dati personali o bancari. Consultare i siti del Comune, della Polizia Locale o della società coinvolta, chiamando i numeri ufficiali, aiuta a evitare brutte sorprese.

Le truffe si fanno sempre più sofisticate, ma la consapevolezza e il controllo restano le armi migliori per difendersi da richieste di pagamento ingiustificate.