CERT-AGID: 182 campagne malevole in una settimana, una su tre usa le multe come esca

Tra il 7 e il 13 novembre 2026 il CERT-AGID ha analizzato 182 campagne malevole che hanno toccato l'Italia: 157 con obiettivi italiani e 25 generiche. Il bilancio, pubblicato il 13 novembre 2026, include 1368 indicatori di compromissione (IoC) condivisi con gli enti accreditati. Il tema più sfruttato è quello delle multe, presente in 64 campagne di phishing.

I numeri della settimana in sintesi

Il rapporto settimanale del CERT-AGID, il centro di risposta agli incidenti dell'Agenzia per l'Italia Digitale, è una delle poche fotografie pubbliche di ciò che arriva davvero nelle caselle email e negli SMS degli italiani. I dati della settimana dal 7 al 13 novembre sono questi:

• 182 campagne malevole totali, di cui 157 con obiettivi italiani e 25 generiche ma con impatto sull'Italia;
• 1368 indicatori di compromissione individuati e messi a disposizione degli enti accreditati;
• 25 temi sfruttati per veicolare le campagne;
• 15 famiglie di malware osservate sul territorio italiano;
• 38 brand coinvolti nelle campagne di phishing.

Se si divide il tema delle multe per il totale, 64 campagne su 182 significano circa il 35% di tutto ciò che il CERT-AGID ha censito in sette giorni. Più di una campagna su tre, quindi, ha usato la stessa esca: una sanzione da pagare.

Multe e banking: le esche più usate

Il CERT-AGID indica che le 64 campagne a tema "Multe" sono tutte di phishing italiano e arrivano via email o SMS, fingendo comunicazioni su sanzioni non saldate. I brand sfruttati sono SEND e PagoPA. Il secondo tema per frequenza è "Banking", con 29 campagne: 27 di phishing italiane e 2 di malware generiche, rivolte soprattutto ai clienti degli istituti di credito.

Tra i marchi imitati nel settore bancario compaiono ING, Nexi, Fineco, Intesa Sanpaolo, Klarna e Mooney, più altri sette. I malware collegati a queste campagne sono RelayNFC e XWorm. Chi ha già letto della truffa del corriere via SMS riconoscerà il meccanismo: un messaggio breve, un'urgenza, un link da aprire dal telefono.

Seguono il tema "Rinnovo" con 11 campagne (10 di phishing italiane e 1 di malware italiana, con brand come Aruba, Ministero Salute, Disney+ e Norton), il tema "Verifica" con 11 campagne di phishing (INPS, Tessera Sanitaria, Amazon, Klarna, PayPal), il tema "Delivery" con 8 campagne (BRT, FedEx, GLS) e il tema "Aggiornamenti" con 7 campagne (Poste Italiane, iCloud, Ledger, Webmail).

Il falso portale INPS e l'APK ancora simulato

Tra gli eventi di particolare interesse il CERT-AGID segnala un sito fraudolento che replica il portale INPS, diffuso tramite SMS. Il sito è predisposto per distribuire in futuro un'applicazione Android malevola (APK). L'infrastruttura usa un bot Telegram per gestire la distribuzione del payload e per raccogliere informazioni sui visitatori. Al momento dell'analisi il download dell'APK risultava simulato.

Gli indicatori sono stati condivisi con le strutture accreditate al Flusso IoC ed è stata chiesta la dismissione del dominio. Il dettaglio utile per chi legge: il rischio non è ancora l'installazione di un'app, ma la raccolta di dati sui visitatori che hanno aperto il link. Chi ha cliccato su un SMS che citava l'INPS in questi giorni dovrebbe quindi trattare l'episodio come un possibile contatto con un sito ostile, anche se non ha scaricato nulla. Vale lo stesso per chi usa la posta online: gli attacchi a Libero Mail mostrano quanto un account compromesso possa pesare.

Quali malware girano e come arrivano

Il CERT-AGID ha individuato 15 famiglie di malware. Le più rilevanti della settimana, con il canale di diffusione indicato nel rapporto, sono:

• Remcos: otto campagne generiche a tema "Ordine", "Documenti", "Delivery", "Generico" e "Prezzi", con allegati GZ, ZIP, RAR, TAR e XLS;
• FormBook: cinque campagne generiche a tema "Ordine", "Contratti", "Delivery" e "Preventivo", con allegati 7Z, RAR e ZIP;
• MintsLoader: tre campagne italiane a tema "Fattura", con allegato ZIP;
• AgentTesla: una campagna italiana a tema "Fattura" e una generica a tema "Prezzi", con allegati GZ e TAR;
• ScreenConnect: due campagne generiche a tema "Aggiornamenti" e "Documenti", con allegati EXE e MSI;
• Darkcore: una campagna italiana a tema "Aggiornamenti", con allegato TAR.

Sono state rilevate anche campagne di FleetDeck, Grandoreiro, Guloader, MassLogger, MintLoader, PureLogs Stealer, RelayNFC e XWorm, con i temi "Banking", "Ordine", "Delivery", "Fattura" e "Legale". Il filo comune è l'allegato compresso: archivi come ZIP, RAR, 7Z, TAR e GZ, oppure file eseguibili come EXE e MSI, che un normale documento d'ufficio non dovrebbe mai essere.

Per le piccole aziende il tema "Fattura" e il tema "Ordine" sono i più insidiosi, perché somigliano alla posta di lavoro quotidiana. Un archivio ZIP allegato a una presunta fattura di un fornitore mai sentito è il segnale tipico di MintsLoader o AgentTesla, secondo i temi indicati dal CERT-AGID.

Caso concreto: uno studio con otto dipendenti e una "multa" da 38 euro

Prendiamo uno studio professionale con otto dipendenti. Lunedì 16 novembre 2026 la segretaria riceve un SMS che dice di una sanzione non saldata di 38 euro, con l'invito a pagare entro 24 ore tramite un link che richiama PagoPA. L'importo è basso, la scadenza è breve, e il telefono è quello aziendale, con l'app della posta e il portale della banca già configurati.

Applichiamo la logica dei dati. Se il messaggio rientra nel filone delle multe, che nella settimana analizzata vale 64 campagne su 182, la probabilità che sia un tentativo di phishing è alta, perché il tema è il più sfruttato. Se la segretaria clicca e inserisce i dati della carta, il rischio è l'uso immediato di quei dati, e per un account aziendale anche l'accesso a quanto è collegato al telefono. Se invece non clicca e verifica la sanzione solo dal sito o dall'app ufficiale, digitando lei l'indirizzo, la perdita è zero.

I passi da seguire nello studio sono pochi e ordinati. Primo: non aprire il link e non rispondere all'SMS. Secondo: segnalare il messaggio al titolare o al referente informatico. Terzo: se i dati sono stati inseriti, avvisare subito la banca per bloccare la carta e cambiare le password. Quarto: se l'SMS è stato aperto su un telefono con app sensibili, farlo controllare da un tecnico. Con otto dipendenti basta una sola persona che clicca per esporre l'intero studio, e per questo una regola scritta e condivisa vale più di dieci raccomandazioni generiche.

Cosa dice questo scenario a un consulente informatico

Un esperto di sicurezza informatica non serve solo dopo un attacco. I dati del CERT-AGID mostrano che le esche cambiano brand ma restano su pochi temi, e questo permette di preparare in anticipo regole concrete per famiglie e imprese. Chi gestisce un piccolo studio può chiedere a un consulente, per esempio, di impostare l'autenticazione a più fattori sugli account di posta e sui portali bancari, di filtrare gli allegati compressi in ingresso e di definire una procedura per i messaggi sospetti.

Anche chi ha fiducia nel proprio antispam può ricordare che 25 dei 182 casi della settimana sono campagne generiche: non nascono per l'Italia, ma finiscono comunque nelle caselle italiane. Le campagne generiche con Remcos e FormBook, per esempio, usano temi come "Ordine" e "Preventivo" che passano facilmente come posta d'affari.

Cosa fare adesso

Ecco una lista breve da applicare già questa settimana:

1. Non cliccare su link ricevuti per SMS o email che parlano di multe, rinnovi, verifiche o consegne. Aprire invece il sito ufficiale scrivendo l'indirizzo a mano.
2. Diffidare di allegati ZIP, RAR, 7Z, TAR, GZ, EXE o MSI ricevuti da mittenti sconosciuti o legati a presunte fatture e ordini.
3. Attivare l'autenticazione a più fattori su email, banca e portali pubblici.
4. Se si è inserita una password o un numero di carta su un sito dubbio, cambiare subito la password e contattare la banca.
5. Controllare nella pagina delle statistiche del CERT-AGID i temi e i brand più usati, per riconoscere le esche ricorrenti.

Questo articolo ha scopo informativo e non sostituisce la consulenza di un professionista. Per valutare la sicurezza di uno studio o di una piccola azienda, un esperto di informatica su Expert Zoom può analizzare la situazione specifica e proporre misure adatte.

Fonte: sintesi settimanale del CERT-AGID del 13 novembre 2026.