Mi è arrivato un SMS: ho una multa non pagata. Come faccio a sapere se è vera?

L’SMS dice che risulta una sanzione non pagata, che l’importo scade tra poche ore e che per evitare il raddoppio bisogna toccare un link. Il mittente si chiama qualcosa come “Polizia” o “pagoPA”. E tu, mentre lo leggi, stai già facendo mentalmente l’elenco delle volte che potresti aver sbagliato qualcosa alla guida.

Quell’elenco è esattamente il motivo per cui il messaggio funziona.

La risposta breve: un SMS non è mai la notifica di una multa. Può essere, in un caso preciso, un avviso che ti dice di andare a controllare da un’altra parte. Ma non è il posto in cui si guarda l’atto e non è il posto in cui si paga. Qui sotto c’è il perché, e soprattutto come si verifica in dieci minuti senza toccare niente.

Come arriva davvero una multa

La parte noiosa, che però è l’unica che dà una regola.

L’articolo 201 del Codice della Strada elenca i modi in cui una sanzione può essere notificata: gli organi di polizia stradale, i messi comunali, un funzionario dell’amministrazione che ha accertato la violazione, le forme del codice di procedura civile, il servizio postale. SMS non c’è. Email non c’è. WhatsApp non c’è. La notifica deve arrivare alla residenza o al domicilio che risulta dalla carta di circolazione, dall’archivio nazionale dei veicoli o dalla patente, ed esiste un termine: novanta giorni dall’accertamento, oltre il quale l’obbligo di pagare si estingue per chi non ha ricevuto la notifica nei tempi.

Dal 2023 c’è anche la strada digitale, e qui si complica un po’. Si chiama SEND, la gestisce PagoPA, e la possono usare i Comuni, quindi anche la Polizia Locale per i verbali, e gli agenti della riscossione per le cartelle. Ma SEND non ti manda l’atto. Ti manda un avviso di avvenuta ricezione, che ti dice che esiste una notifica, ti dà un codice identificativo e ti spiega come accedere alla piattaforma. L’atto vero lo scarichi entrando su SEND con SPID o CIE. Se hai una PEC registrata negli elenchi pubblici, quell’avviso arriva lì. Se non ce l’hai, arriva su carta, per raccomandata.

E qui c’è la cosa che nessun articolo divulgativo dice fino in fondo.

Sì, un SMS può essere vero. Ma non è la multa

L’articolo 26 del decreto legge 76 del 2020, al comma 7, prevede che se hai comunicato un indirizzo email non certificato, un numero di telefono o un altro recapito digitale, il gestore della piattaforma ti invii un avviso di cortesia in modalità informatica con le stesse informazioni dell’avviso di avvenuta ricezione. Quelle informazioni sono elencate al comma 4: l’esistenza della notifica, il suo identificativo univoco e le modalità di accesso alla piattaforma. Quindi un SMS da SEND può esistere.

Tre cose lo delimitano, e sono tutte verificabili.

La prima: arriva solo se quel numero l’hai dato tu. La pagina di sicurezza di SEND è esplicita: ti contatta via SMS, email o app IO solo se li hai scelti come recapiti di cortesia, e se non li hai attivati e ricevi messaggi con richieste urgenti di pagamento, è probabile che si tratti di una truffa.

La seconda: non ha valore legale. Il manuale operativo della piattaforma lo scrive, e serve solo a permetterti di vedere l’atto prima.

La terza, che è quella che conta mentre hai il telefono in mano: in quell’elenco del comma 4 non c’è l’importo e non c’è un pagamento. Le domande frequenti di SEND dicono che se ricevi un’email o un SMS devi accedere a SEND per vedere i documenti e pagare eventuali spese. Il percorso passa da un’autenticazione con SPID o CIE, sempre.

Una cosa non l’ho trovata documentata da nessuna parte e lo dico perché è proprio la domanda che si fa chi legge: nessuna fonte ufficiale pubblica il testo esatto dell’SMS di cortesia di SEND, quindi non posso dirti se contenga o no un link cliccabile. La legge dice “le stesse informazioni”, il manuale della piattaforma dichiara di non descrivere il contenuto del messaggio. Sto cercando di verificarlo su un telefono con un numero registrato, e quando lo avrò aggiornerò questo articolo.

Intanto, la regola che regge comunque: anche se un SMS vero ti rimanda a SEND, non hai bisogno di quel link. Puoi arrivare a SEND da solo.

La frase della Polizia Postale, e come leggerla

Il 5 agosto 2026 la Polizia Postale ha pubblicato un avviso su questa esatta truffa. La frase chiave: la Polizia di Stato non notifica verbali o sanzioni amministrative tramite SMS, applicazioni di messaggistica o link inviati su dispositivi mobili.

Va letta per quello che dice. Parla della Polizia di Stato come ente che notifica. Non è una smentita del fatto che SEND, per conto di un Comune, possa mandarti un avviso di cortesia. Le due cose convivono, e se si legge solo la prima si rischia di ignorare un messaggio vero.

Il modo corretto di tenerle insieme è questo: un SMS non è mai la notifica; può essere, se il numero l’hai dato tu, un avviso che ti manda a controllare su SEND; e in nessun caso è il canale su cui si paga.

Nello stesso periodo il CERT-AGID ha descritto la campagna falsa, e il dettaglio tecnico merita di essere raccontato perché è più istruttivo di qualunque avvertimento generico. Il sito finto si presenta come un portale della Polizia Stradale per consultare i verbali. Chiede la targa del veicolo e il codice fiscale del proprietario. Poi mostra un estratto conto con una violazione inesistente e un importo scontato di 42 euro se paghi entro quindici giorni. Poi imita la pagina di pagamento di pagoPA, indicando come ente creditore l’Agenzia delle Entrate-Riscossione, ma restando sullo stesso dominio del sito truffa. Alla fine chiede intestatario, numero, scadenza e CVV della carta.

Quarantadue euro. Non quattromila. Una cifra che non fa scattare nessun allarme, che si paga per togliersi il pensiero. Lo stesso meccanismo si è visto a settembre 2026 su una campagna a tema bollo auto che l’ACI ha denunciato: lì l’importo era 15,87 euro.

Il mittente non prova niente, e c’è una fonte italiana che lo dice

Il punto tecnico più solido di tutto l’articolo.

Il 1° aprile 2026 l’Agenzia delle Entrate ha pubblicato un avviso in cui scrive che il mittente di certi SMS è contraffatto tramite la tecnica dello sms spoofing, con cui si falsifica il numero mittente, e che è un sistema simile a quello sperimentato con le chiamate di marketing. È un’istituzione italiana che certifica che quel nome lì, in cima al messaggio, non è una prova di autenticità.

Peggio: l’SMS falso può finire nella stessa conversazione dei messaggi veri. Se il telefono raggruppa i messaggi per nome del mittente, e il nome è falsificato, il messaggio truffa si infila sotto quelli legittimi. Non c’è nessun segno di separazione.

Due precisazioni che tolgono due scorciatoie molto diffuse.

Un registro degli alias SMS in Italia esiste. AGCOM lo ha istituito con la delibera 12/23/CIR del maggio 2023: chi invia messaggi con un mittente alfanumerico deve iscriversi, usare un alias non registrato è vietato, e i fornitori devono bloccare i tentativi di invio di alias non registrati a loro nome. Però non ho trovato, al 14 ottobre 2026, nessuna interrogazione pubblica che permetta a un cittadino di risalire da un alias al suo titolare. Quindi non posso dirti “controlla il registro AGCOM”, perché non è uno strumento per te.

E il filtro anti-spoofing di cui si è parlato molto nel 2025 riguarda le telefonate, non i messaggi. AGCOM lo ha introdotto in due fasi, agosto e novembre 2025, e i numeri dichiarati sono grossi: circa 49,3 milioni di chiamate illecite da numeri mobili italiani bloccate nei primi undici giorni della seconda fase, circa il 56% di quelle in arrivo dall’estero con numerazione mobile italiana. Nessuno di quei documenti parla di SMS. In parallelo, nel gennaio 2024 il TAR del Lazio ha annullato proprio la norma che avrebbe imposto di bloccare gli SMS dall’estero con mittente alfanumerico, ritenendo la base giuridica insufficiente e la motivazione generica. Il resto del regolamento resta in piedi, quella parte no.

Tradotto per chi legge: sulle chiamate qualcosa si muove. Sugli SMS, oggi, il filtro di rete che dovrebbe fermare un mittente istituzionale falsificato in arrivo dall’estero non c’è.

Come si verifica, senza toccare il link

1. Non toccare il link. Non per prudenza generica: perché non ti serve. Qualunque cosa quel messaggio dica, la stessa informazione si trova partendo da capo.
2. Apri SEND digitando l'indirizzo a mano: notifichedigitali.it, e accedi con SPID o CIE. Se c'è una notifica per te, è lì, e l'eventuale avviso di pagamento è allegato all'atto. Se non c'è niente, non c'è niente.
3. Controlla l'app IO, se la usi. SEND ci manda i messaggi di cortesia e da lì si vedono i documenti notificati.
4. Chiama l'ente, cercando il numero da solo. Non il numero che c'è nel messaggio. Il Comando di Polizia Locale del Comune dove sarebbe avvenuta l'infrazione, oppure l'Agenzia delle Entrate-Riscossione se il messaggio parla di cartelle. Lo consigliano la Polizia Postale, PagoPA e l'Agenzia delle Entrate, tutte e tre con le stesse parole: contatta direttamente l'ente con i recapiti ufficiali.
5. Segnala e cancella. PagoPA chiede di inoltrare a truffe@pagopa.it, e accetta anche solo lo screenshot dell'SMS. Il modulo di segnalazione della Polizia Postale sta su commissariatodips.it, e resta una segnalazione, non una denuncia, utile perché permette di verificare e di diramare allerte.

Un controllo che invece non posso suggerirti con la stessa sicurezza: leggere il link senza aprirlo. PagoPA spiega la tecnica, ma la descrive per chi naviga da computer, cioè passare il mouse sopra senza cliccare per vedere l’indirizzo vero. Su telefono quel gesto non esiste, e non ho trovato nessuna fonte istituzionale che spieghi come si fa da smartphone. Esiste la pressione prolungata sul link, che su molti telefoni mostra l’indirizzo in anteprima, ma è un comportamento che cambia da app ad app e non l’ho verificato in modo sistematico. Nel dubbio vale la regola sopra: ricomincia da capo invece di ispezionare.

Un dettaglio concreto per riconoscere il sito finto, se ci sei già finito. Nelle due campagne documentate nel 2026 il dominio somigliava a quello vero ma con l’estensione sbagliata: nomi che contenevano “poliziadistato” con un suffisso diverso da .it, e acitalia.info o acitalia.click invece di aci.it. E in entrambi i casi la pagina di pagamento restava sullo stesso dominio del sito truffa. Un pagamento pagoPA legittimo non si svolge sul sito che ti ha portato lì, e non ti chiede il CVV in fondo a un percorso partito da un messaggio.

Se hai già pagato

Qui bisogna essere precisi, perché è il punto su cui si leggono più promesse sbagliate. La legge italiana distingue due situazioni, e solo una delle due dà un diritto al rimborso.

La prima è l’operazione non autorizzata: hai inserito le credenziali su un sito finto e poi qualcun altro ha disposto un pagamento con i tuoi dati. Qui l’articolo 11 del decreto legislativo 11 del 2010 dice che la banca rimborsa immediatamente, e in ogni caso entro la fine della giornata operativa successiva a quella in cui prende atto dell’operazione. Può sospendere il rimborso solo in caso di motivato sospetto di frode, comunicandolo per iscritto alla Banca d’Italia, e può chiederti i soldi indietro se dimostra poi che l’operazione era autorizzata. L’articolo 12 aggiunge la franchigia: non più di 50 euro a carico tuo, salvo che tu abbia agito in modo fraudolento o con dolo o colpa grave, e in quel caso sopporti tutta la perdita. Nessuna perdita, invece, se la banca non ha chiesto un’autenticazione forte.

Quella “colpa grave” è il punto su cui si litiga davvero, perché la legge non la definisce e le banche la usano per rifiutare il rimborso a chi ha digitato le credenziali su un sito falso. Non ho approfondito gli orientamenti dell’Arbitro Bancario Finanziario, quindi non ti dico dove si collochi oggi quella soglia: non lo so.

Su questo c’è una cosa in movimento, e va raccontata con cura perché in giro è già diventata una sentenza che non esiste. Il 5 marzo 2026 l’avvocato generale della Corte di giustizia dell’Unione europea ha presentato le sue conclusioni nella causa C-70/25, il caso di una cliente polacca vittima di phishing a cui la banca aveva negato il rimborso per negligenza grave. La proposta è che la banca debba rimborsare subito, salvo ragionevoli motivi di sospettare una frode, e che possa poi chiedere indietro i soldi se accerta la negligenza grave, eventualmente agendo in giudizio. Le conclusioni dell’avvocato generale non vincolano la Corte, e qui devo dichiarare un limite: risultava fissata una pronuncia per il 12 ottobre 2026, due giorni prima che scrivessi, e non sono riuscito a leggerne il testo. Quindi non sono in grado di dirti come è finita, e nemmeno se è finita. Quello che posso dirti è cosa non aspettarsi: anche se la Corte seguisse l’avvocato generale, il risultato non sarebbe “ti ridanno i soldi e finisce lì”, sarebbe che l’onere di muoversi passa alla banca, che può poi chiederti indietro la somma e, se rifiuti, farti causa. Se la questione ti riguarda, cerca la sentenza prima di fidarti di quello che leggi in giro.

La seconda situazione è quella in cui hai pagato tu. Hai messo i dati della carta, hai confermato, oppure hai fatto un bonifico. Non c’è un diritto al rimborso. L’articolo 24 dello stesso decreto dice che un ordine eseguito conformemente all’identificativo unico si ritiene eseguito correttamente, e quello che ti resta è: il dovere della banca di compiere sforzi ragionevoli per recuperare i fondi, il dovere della banca di chi ha incassato di collaborare, e il diritto, su richiesta scritta, di ottenere le informazioni utili per agire in giudizio. Le spese del tentativo di recupero possono essere a tuo carico, se il contratto lo prevede.

Il chargeback sui bonifici non esiste: è un istituto delle regole dei circuiti delle carte, non una previsione di legge. Sulle carte la richiesta alla banca si fa, e spesso funziona, ma non l’ho verificata su una fonte istituzionale italiana e quindi non te la presento come un diritto.

Comunque sia andata, l’ordine delle cose da fare è quello che indica PagoPA e che non cambia: chiama subito la banca per bloccare carta e transazioni, poi fai denuncia. La compilazione online sul sito della Polizia Postale fa risparmiare tempo, ma la pagina ufficiale avverte che si ottiene una ricevuta con un numero di protocollo e che bisogna comunque andare in un ufficio per dar corso alla denuncia. Quella pagina è del 2019, modificata nel 2021: se per te è decisivo, verifica che la procedura sia ancora questa.

Per capire cosa c’è sotto

Il meccanismo del mittente falsificato è lo stesso che si usa nelle telefonate e nelle email, e vale la pena vederlo per intero: ne ho scritto in Come fanno a far comparire un nome che non è il loro. Se invece quello che ti interessa sono i segnali da guardare in un messaggio sospetto, sta in Come si riconosce un SMS truffa. E se hai già toccato il link, l’ordine delle operazioni è in Ho cliccato un link che non dovevo. Cosa faccio adesso.