Truffa bollo auto: il finto ACI da 15,87 € e le false multe pagoPA

Ultimo aggiornamento: settembre 2026

La truffa del bollo auto che gira a fine settembre 2026 ha una faccia molto credibile: logo dell’ACI, colori istituzionali, un bollo «non pagato entro la scadenza» e una sanzione da saldare di appena 15,87 euro. Nelle stesse settimane circolano a decine le false multe con la grafica di SEND e pagoPA, che chiedono di regolarizzare un verbale mai esistito. Le due campagne si somigliano come gemelle e puntano alla stessa cosa, i dati completi della carta. Qui mettiamo in fila come riconoscerle, come funzionano davvero bollo e multe, e cosa fare se il numero della carta è già stato inserito.

Indice

1. Le due campagne: finto bollo ACI e false multe
2. Cosa chiede davvero il servizio del bollo
3. Il CVV non basta a smascherarli: guarda l’indirizzo
4. Quanto costa davvero un bollo pagato in ritardo
5. Come arriva una multa vera
6. Perché ci cascano in tanti proprio adesso
7. Hai inserito la carta: cosa fare, in ordine
8. Domande frequenti

Le due campagne: finto bollo ACI e false multe

Partiamo dal bollo. Secondo la segnalazione del CERT-AgID del 23 settembre 2026, il sito fraudolento sta su due indirizzi, acitalia[.]info e acitalia[.]click, che con l’Automobile Club d’Italia non hanno niente a che fare. La pagina parla di un bollo annuale non pagato, con «sanzioni amministrative e maggiorazioni per mora», e agita le conseguenze che spaventano di più: fermo amministrativo e limitazioni alla circolazione. Il CERT-AgID non precisa con quale messaggio le vittime arrivino sul sito, ma lo schema è quello di sempre, un link ricevuto senza averlo chiesto.

La raccolta dei dati avviene in tre passaggi. Nel primo si inseriscono codice fiscale e targa, con il pretesto di verificare lo stato del pagamento. Nel secondo, chiamato «Informazioni di contatto», vengono chiesti nome, cognome, email, telefono e indirizzo di residenza completo. Nel terzo compare una schermata di pagamento della sanzione, 15,87 euro, che riporta codice fiscale e targa appena digitati (un dettaglio che rassicura, perché sembra che il sistema «ti riconosca») e chiede intestatario, numero, scadenza e CVV della carta.

Le multe sono il fronte più affollato. Nel riepilogo settimanale del 19-25 settembre il CERT-AgID conta 182 campagne malevole, 142 delle quali rivolte a obiettivi italiani: dopo i falsi rimborsi dell’Agenzia delle Entrate (46 campagne) vengono proprio le multe, 35 campagne arrivate via email o SMS che si spacciano per sanzioni non saldate con grafiche e loghi di SEND e pagoPA.

Esiste anche una variante con il marchio della Polizia di Stato, documentata dal CERT-AgID il 4 agosto 2026. Il sito, su domini che contengono la parola «poliziadistato» ma con un’estensione diversa da quella vera, si presenta come portale della Polizia Stradale per consultare i verbali. Dopo targa e codice fiscale mostra un estratto conto con una violazione «in attesa di pagamento», un importo scontato di 42 euro e il richiamo a uno sconto valido se si paga entro 15 giorni. Poi simula il passaggio al checkout pagoPA, con tanto di codice avviso e «Agenzia delle Entrate – Riscossione» come ente creditore, ma senza mai lasciare il dominio falso. Ultima tappa, di nuovo: numero della carta, scadenza e CVV.

Cosa chiede davvero il servizio del bollo

Qui molti avvisi girati sui social semplificano troppo. Non è vero che «per il bollo serve sempre lo SPID». Sul sito dell’ACI convivono servizi diversi con regole diverse, e conoscerle è il modo più rapido per capire quando una pagina non torna.

Il calcolo online del bollo e del superbollo è aperto a tutti: la scheda ufficiale dice che «non occorre autenticazione» e che servono tipo di pagamento, tipo di veicolo, regione di residenza e targa. Il codice fiscale non c’è, e il servizio restituisce solo l’importo dovuto, non un conto da saldare con la carta. Il pagamento online, Bollonet, funziona al contrario: per entrare servono SPID, CIE, CNS o eIDAS, e il pagamento prosegue sulla piattaforma pagoPA scegliendo un prestatore di servizi di pagamento. Le istanze online (rimborsi, esenzioni, memorie difensive dopo un avviso) chiedono anch’esse l’identità digitale, e lo stesso vale per l’app ACI Space, da cui si vede se il bollo dell’anno in corso e dei quattro precedenti risulta pagato.

Il CERT-AgID, nella sua nota, ricava da qui il segnale più pulito: chiedere dati personali o bancari senza che tu abbia prima fatto il login con la tua identità digitale è un indizio di frode. Il sito falso fa l’esatto opposto, perché prende codice fiscale e targa da un modulo libero e ti porta dritto al pagamento.

Resta un dubbio legittimo: l’ACI manda mai email o SMS sul bollo? Sì, ma solo a chi si è iscritto. Il servizio RicordaLaScadenza invia un promemoria via email e/o SMS con la data entro cui pagare e l’importo, a chi si è registrato almeno un mese prima della scadenza (lo spiega la scheda ACI della Regione Lazio). Un promemoria, non un avviso di sanzione. Se non ti sei mai iscritto a nessun promemoria, un SMS «ACI» che parla di sanzioni sul tuo bollo va trattato come falso finché non l’hai verificato dai canali ufficiali. Tieni poi presente che in alcune Regioni il bollo è gestito con portali propri e non tramite convenzione ACI: il sito giusto da aprire è quello della tua Regione, digitato a mano.

Il CVV non basta a smascherarli: guarda l’indirizzo

Un consiglio che si legge spesso è «nessun ente pubblico ti chiederà mai il CVV». Suona bene, ma è impreciso, e rischia di disarmare proprio le persone più prudenti. Il checkout ufficiale di pagoPA, quando paghi un avviso con la carta, chiede intestatario, numero della carta, data di scadenza e CVV, esattamente i quattro campi che compaiono sulle pagine false. Prima ancora ti chiede un indirizzo email a cui mandare l’esito, proprio come la falsa pagina della Polizia di Stato. Lo scrive il Centro assistenza di pagoPA nella guida al pagamento con carta, che aggiunge un passaggio: dopo «Paga» vieni reindirizzato al sito o all’app della banca che ha emesso la carta per autorizzare l’operazione.

La differenza sta altrove. Sul pagoPA vero, se entri dal suo sito, inserisci i dati dell’avviso che hai ricevuto: il codice avviso e il codice fiscale dell’ente creditore, oppure inquadri il QR code stampato sull’avviso. Sei tu a portare un documento che già hai in mano. Il sito falso fa il contrario: ti chiede targa e codice fiscale tuo e ti «trova» un debito che non conoscevi. Quando la pagina scopre un debito al posto tuo, fermati.

Il secondo controllo è l’indirizzo nella barra del browser, e va guardato alla fine del nome, prima della prima barra. Attenzione a un’altra semplificazione diffusa, quella per cui «i siti veri finiscono sempre in .gov.it»: non è così, perché l’ACI usa sia aci.gov.it sia aci.it, il checkout di pagoPA sta su checkout.pagopa.it e il portale di SEND è notifichedigitali.it. Il Centro assistenza di pagoPA è esplicito su due punti: l’indirizzo ufficiale per pagare inizia con https://checkout.pagopa.it, e un indirizzo che contiene la parola «pagoPA» non è per questo una pagina di PagoPA S.p.A. Aggiunge che pagoPA non invia mai direttamente richieste di pagamento via email. La regola pratica è quindi un’altra: il sito vero lo apri tu, digitando l’indirizzo o usando l’app IO, e non ci arrivi da un link in un SMS.

Quanto costa davvero un bollo pagato in ritardo

Il falso ACI presenta una cifra fissa, 15,87 euro, come «sanzione». Nella realtà la sanzione per il bollo pagato in ritardo è una percentuale della tassa che non hai versato, più gli interessi legali giorno per giorno, e con il ravvedimento operoso paghi tutto insieme: bollo, sanzione ridotta e interessi. La tabella ufficiale sta nella pagina ACI Cosa fare se non hai pagato il bollo alla scadenza prevista: per le scadenze dal 3 settembre 2024 si paga lo 0,08% al giorno entro 15 giorni, l’1,25% entro 30, l’1,39% entro 90, il 3,13% entro un anno e il 3,57% oltre l’anno. L’interesse legale è all’1,6% annuo dal 1° gennaio 2026.

Abbiamo rifatto i conti con quella tabella su due bolli di esempio, supponendo una scadenza a fine gennaio 2026 (così gli interessi cadono tutti nell’anno in corso). I risultati sono arrotondati al centesimo e valgono come ordine di grandezza: la Regione può avere regole proprie, e per i conti sul tuo veicolo c’è il nostro calcolatore del bollo auto.

Da questi numeri escono due cose. La prima: le cifre sono piccole, e quindi una «sanzione» da 15,87 euro è del tutto verosimile per chi ha una vaga idea di quanto costi un ritardo. È proprio per questo che è stata scelta. La seconda: nel ravvedimento vero la sanzione non viaggia mai da sola, perché la versi insieme al bollo non pagato. Se il bollo risulta invece pagato in ritardo e la Regione ti chiede soltanto la sanzione, lo fa con un avviso o un accertamento intestato a te, con un numero di pratica o un codice avviso pagoPA, non con una pagina web che ti chiede la targa per scoprire se sei in regola.

Un esempio che chiarisce la logica. Marco ha dimenticato il bollo da 219,30 euro e se ne accorge dopo 25 giorni: con il ravvedimento versa 219,30 più 2,98 euro, in tutto 222,28 euro, attraverso i canali ufficiali. Se invece riceve un SMS che gli chiede 15,87 euro «di sanzione» senza chiedergli il bollo, qualcosa non quadra già dal conto: sta pagando una multa per una tassa che, secondo il messaggio stesso, non ha ancora versato. Senza ravvedimento, per le violazioni dal 1° settembre 2024 la sanzione ordinaria per il mancato pagamento è scesa dal 30% al 25% del dovuto (la modifica è del decreto legislativo 87 del 2024, richiamato nella stessa pagina ACI): ecco perché conviene regolarizzare da soli prima che arrivi l’accertamento.

Come arriva una multa vera

Per le multe il Codice della strada fissa paletti precisi, e le campagne false li violano quasi tutti. L’articolo 201 stabilisce che, se la violazione non è contestata sul posto, il verbale va notificato entro 90 giorni dall’accertamento al trasgressore o al proprietario risultante dal PRA; se invece la violazione è stata contestata sul posto al conducente, il verbale va notificato agli altri obbligati, per esempio il proprietario, entro 100 giorni. Per chi risiede all’estero il termine sale a 360 giorni. Una multa che ti «trova» con un SMS e senza un verbale notificato semplicemente non è una notifica.

Poi c’è lo sconto, che è l’esca preferita. L’articolo 202 ammette il pagamento del minimo previsto entro 60 giorni dalla contestazione o dalla notificazione, e lo riduce del 30% se paghi entro cinque giorni. Cinque, non quindici. Lo sconto, poi, non vale per le violazioni che prevedono la confisca del veicolo o la sospensione della patente. Il «pagamento scontato entro 15 giorni» della falsa pagina della Polizia di Stato non esiste nel Codice.

Prendiamo un verbale notificato giovedì 8 ottobre 2026 per un’infrazione con sanzione minima di 100 euro: con lo sconto versi 70 euro entro il 13 ottobre; senza sconto, in misura ridotta, versi 100 euro entro il 7 dicembre. Su un minimo di 200 euro lo sconto vale 60 euro (paghi 140), su uno di 50 euro vale 15 (paghi 35). Lo stesso verbale da 100 euro, se ti arrivasse come «avviso» su un sito con lo sconto a 15 giorni, sarebbe falso per definizione. Se invece hai un verbale vero e pensi che sia sbagliato, le strade per contestarlo le abbiamo messe in fila nella guida al ricorso contro la multa.

SEND manda davvero email e SMS? Sì, ma a certe condizioni

Qui sta il punto che quasi tutti gli avvisi sbagliano. Si legge ovunque che SEND comunica solo via app IO, PEC o raccomandata, e che quindi qualunque SMS è falso. Il portale ufficiale di SEND racconta una storia un po’ diversa: per ogni notifica la piattaforma invia l’avviso alla tua PEC se l’hai indicata, e se hai registrato altri recapiti digitali (app IO, email, numero di cellulare) manda anche un avviso di cortesia. Chi non ha recapiti digitali e non accede online riceve la raccomandata cartacea.

Tradotto: un SMS o un’email di SEND possono essere veri, ma solo se sei stato tu a registrare quel numero o quell’indirizzo entrando su SEND con SPID o CIE. Se non l’hai mai fatto, un SMS «SEND» non ha un canale legittimo da cui arrivare. E anche quando il messaggio è vero, la notifica si legge entrando su SEND con la tua identità digitale o dall’app IO, e l’eventuale importo si paga da lì tramite pagoPA, oppure allo sportello con il modulo allegato. C’è un dettaglio che conviene sapere: se non hai una PEC e apri la notifica dal link entro 5 giorni (120 ore), la notifica risulta legalmente recapitata. È da quel momento che partono i termini, compresi i cinque giorni per lo sconto.

Perché ci cascano in tanti proprio adesso

Il tempismo non è casuale. Ad agosto è uscito il decreto legislativo 147 del 2026, la riforma del bollo di cui si parla da settimane: bollo dovuto anche con il fermo amministrativo, avvisi di accertamento che dal 2027 diventano direttamente titolo esecutivo, scadenze nuove dal 2028. Tutto spiegato nel nostro articolo sulla riforma del bollo auto. Chi ha letto un titolo di sfuggita sa soltanto che «il bollo cambia» e che «arrivano controlli più severi». Una pagina che minaccia il fermo amministrativo per un bollo non pagato cade su un terreno già arato dai giornali.

Il secondo ingrediente è l’importo. 15,87 euro, 42 euro: cifre precise, basse, credibili. È lo stesso trucco della truffa della tessera sanitaria da 6,39 euro: nessuno chiama il commercialista per quindici euro, e la cifra esatta con i centesimi sembra il risultato di un calcolo vero. Il vero bottino però non è quella somma. Con numero, scadenza e CVV i truffatori possono tentare altri acquisti, e con codice fiscale, targa, indirizzo e telefono hanno un profilo completo per la telefonata successiva, quella del finto operatore della banca che ti chiama «per bloccare un pagamento sospetto».

Il terzo è la grafica. Le campagne di settembre usano loghi e colori di ACI, SEND, pagoPA e Polizia di Stato, e la variante sulle multe arriva a mostrare un codice avviso e un ente creditore reale. Chi paga davvero bolli e multe con pagoPA riconosce le schermate, e proprio quella familiarità abbassa la guardia.

Hai inserito la carta: cosa fare, in ordine

Se ti sei fermato prima della pagina di pagamento, hai consegnato codice fiscale, targa ed eventualmente recapiti: nessun danno economico immediato, ma aspettati altri tentativi mirati nelle prossime settimane, anche telefonici. Se invece hai inserito i dati della carta, anche senza completare il pagamento, conta la velocità. L’ordine giusto è questo.

1. Blocca la carta subito, dall’app della banca o chiamando il numero sul retro, e chiedi la sostituzione: con numero e CVV nuovi i dati rubati non servono più.
2. Controlla i movimenti degli ultimi giorni e le notifiche di autorizzazione arrivate sull’app: se ne arriva una che non hai chiesto, non approvarla.
3. Disconosci ogni addebito non tuo per iscritto alla banca. Secondo la Banca d’Italia va fatto il prima possibile e comunque entro 13 mesi dall’addebito, e la banca deve rimborsare subito, al più tardi entro la fine della giornata operativa successiva.
4. Denuncia alla Polizia Postale, anche partendo dal portale commissariatodips.it, oppure presso Carabinieri o Polizia. Allega screenshot del messaggio e della pagina.
5. Segnala il messaggio: il CERT-AgID indica malware@cert-agid.gov.it, e per le truffe con il marchio pagoPA l’indirizzo truffe@pagopa.it.

Due precisazioni che evitano brutte sorprese. La Banca d’Italia chiarisce che la legge non richiede la denuncia alle autorità come condizione per chiedere il rimborso: farla resta utile, ma non è il biglietto d’ingresso per il disconoscimento. E la banca può negare il rimborso se dimostra dolo o colpa grave del cliente. Aver inserito i dati su un sito clone è il punto su cui la banca può fare leva, a maggior ragione se il cliente ha poi confermato l’operazione nell’app: per questo il blocco immediato pesa più di qualunque altra mossa. Se la banca risponde di no e non sei d’accordo, puoi presentare reclamo e poi rivolgerti all’Arbitro Bancario Finanziario.

Chi ha consegnato anche documenti o un selfie, come succede in altre campagne, ha un problema diverso e più lungo da gestire, che abbiamo raccontato nel pezzo su cosa succede ai documenti dopo lo smishing INPS.

Domande frequenti

Ho ricevuto un SMS sul bollo da pagare: come verifico se è vero?

Non aprire il link. Vai tu sul sito dell’ACI o della tua Regione digitando l’indirizzo, oppure apri l’app IO. Con il calcolo online dell’ACI, che non richiede login, vedi se c’è un importo da pagare partendo dalla targa; con SPID o CIE su ACI Space vedi lo stato dei pagamenti degli ultimi anni. Se non risulta nulla, il messaggio era falso.

Ho inserito solo targa e codice fiscale, sono a rischio?

Non per il conto corrente, perché con quei due dati non si fanno pagamenti. Il rischio è che vengano usati per messaggi o telefonate più credibili, visto che il truffatore conosce la tua auto. Nelle prossime settimane diffida di chi ti chiama citando la targa o un bollo arretrato.

Ho pagato 15,87 euro: basta bloccare la carta?

Il blocco è la prima cosa, ma poi va presentato il disconoscimento dell’addebito, anche per una cifra così piccola: serve a recuperarla e a mettere agli atti che l’operazione non era autorizzata, nel caso arrivino altri addebiti. Un addebito piccolo andato a buon fine, poi, dice ai truffatori che la carta è attiva.

SEND può mandarmi un SMS?

Sì, se hai registrato il tuo numero di cellulare tra i recapiti di cortesia sulla piattaforma. In quel caso il messaggio ti avvisa di una notifica, che leggi entrando su SEND con SPID o CIE o dall’app IO. Se non hai mai registrato il numero, un SMS a nome di SEND è da considerare falso.

Lo sconto sulle multe è di 5 o 15 giorni?

Cinque. L’articolo 202 del Codice della strada riduce del 30% il minimo della sanzione se paghi entro cinque giorni dalla contestazione o dalla notificazione, anche quando la multa arriva a casa e non è stata contestata sul posto. Il termine di 15 giorni compare solo nelle campagne di phishing.

Una multa può arrivare dopo mesi?

Il verbale non contestato sul posto va notificato entro 90 giorni dall’accertamento (360 per chi risiede all’estero); se hanno fermato il conducente, al proprietario va notificato entro 100 giorni. Oltre questi termini la notifica è tardiva. Dopo la notifica, se non paghi, possono arrivare solleciti e cartelle, ma sempre per un verbale che hai già ricevuto in forma legale.

Come faccio a non cascarci la prossima volta?

Una regola sola: i pagamenti verso la pubblica amministrazione partono da te, non da un link. Apri l’app IO, il sito dell’ente o il checkout di pagoPA scrivendo l’indirizzo, e inserisci il codice avviso che hai sul documento ricevuto. Se è una pagina a trovarti un debito partendo dalla targa, chiudila.