Le email dei Comuni del Lazio si possono falsificare: in 9 su 10 nessuno le ferma

Immagina di ricevere un'email da «tributi@comune.tuopaese.it» che ti chiede di pagare entro tre giorni un arretrato della tassa sui rifiuti, con un link per farlo. L'indirizzo del mittente è quello del Comune. Il link porta altrove. È un esempio inventato, ma è esattamente il genere di truffa che il CERT-AgID, la struttura che segue gli incidenti informatici della pubblica amministrazione, segnala da anni: email con il mittente di un ente pubblico falsificato [1].

Falsificare il mittente di un'email è facile: il sistema della posta, da solo, non lo impedisce. Ma esiste un'impostazione, chiamata DMARC, con cui il proprietario di un indirizzo dice a Gmail, Outlook e agli altri servizi di posta: «se arriva un messaggio a mio nome che non viene davvero da me, respingilo». Il CERT-AgID raccomanda di adottarla [2]. L'abbiamo cercata in tutti i 378 Comuni del Lazio.

Cosa abbiamo trovato

• Su 369 Comuni che è stato possibile verificare, solo 29 fermano davvero le email false scritte a loro nome: 21 le respingono, 8 le mandano fra lo spam.
• 240 Comuni, il 65%, hanno l'impostazione, ma con l'istruzione più debole: «non fare niente». Un'email falsa arriva come se fosse vera.
• 99 Comuni, il 27%, non hanno nessuna impostazione.
• Uno, Mentana, la applica solo al 30% dei messaggi.
• Per 9 Comuni il dato non è disponibile: il dominio indicato nell'indice ufficiale non esiste, oppure il Comune non ha un dominio di posta suo.

Nessun capoluogo è protetto

Roma Capitale, alla data della rilevazione, non ha nessuna impostazione DMARC sul dominio della sua posta ordinaria. Latina, Frosinone, Viterbo e Rieti ce l'hanno, ma su «non fare niente». Sono i Comuni con più abitanti e più comunicazioni ai cittadini, cioè quelli il cui nome un truffatore ha più interesse a usare.

L'allarme c'è, ma è spento

Il dato che ci ha sorpreso di più è un altro. Dei 240 Comuni con l'impostazione su «non fare niente», 192 hanno esattamente lo stesso testo, carattere per carattere. Centinaia di configurazioni identiche non sono centinaia di scelte: sono un'impostazione predefinita, messa quando è stato configurato il dominio e mai completata.

Non solo. 227 di quei 240 Comuni non chiedono nemmeno di ricevere i rapporti, cioè gli avvisi automatici che direbbero se qualcuno sta già spedendo email a loro nome. È come avere l'allarme in casa, tenerlo spento e aver staccato anche il telefono che ti avviserebbe dei ladri.

Provincia per provincia

La provincia di Rieti è l'unica in cui nessun Comune è protetto. Quella di Roma è la messa meglio, ma anche lì i Comuni protetti sono meno di uno su sei.

Chi lo fa già bene

Vale la pena nominarli, perché dimostrano che si può fare anche in un Comune piccolo: Acquapendente, Alatri, Anguillara Sabazia, Bellegra, Carpineto Romano, Castel San Pietro Romano, Castelliri, Cerveteri, Colonna, Fondi, Frascati, Gerano, Guidonia Montecelio, Ladispoli, Lanuvio, Manziana, Monte San Biagio, Palestrina, Pisoniano, Pofi, Ponza, Sabaudia, San Cesareo, Sant'Oreste, Sora, Tarquinia, Tivoli, Vasanello e Zagarolo.

Un dato in più: la posta ufficiale su Libero e Gmail

Nell'indice ufficiale della pubblica amministrazione, IndicePA [4], 46 Comuni indicano come indirizzo di posta ordinaria soltanto una casella di un servizio gratuito: 28 su Libero, 7 su Virgilio, 6 su Gmail e 5 su Tiscali. Chiunque può aprire una casella con un nome simile, e chi riceve un messaggio non ha modo di capire quale sia quella vera.

Cosa può fare un cittadino

• Diffidare di qualunque email del Comune che chieda di pagare tramite un link, soprattutto se mette fretta.
• Pagare tributi e multe solo partendo dal sito ufficiale del Comune o dall'app IO, mai da un link ricevuto.
• Nel dubbio, telefonare al Comune usando il numero scritto sul sito ufficiale, non quello indicato nell'email.
• Cercare il proprio Comune nella pagina dell'Osservatorio, e se non è protetto segnalarlo all'ufficio comunale: spesso basta che qualcuno lo chieda.

Cosa può fare un Comune

La correzione non richiede acquisti: è una modifica alla configurazione del dominio, che si fa per gradi per non bloccare per errore la posta vera. Prima si attiva l'invio dei rapporti e li si legge per qualche settimana, poi si passa a «metti fra lo spam» e infine a «respingi». La procedura passo per passo, con i testi da copiare, è nella pagina dell'Osservatorio.

E la tua azienda?

Lo stesso controllo vale per qualunque dominio, compreso quello di una piccola impresa. Se il dominio aziendale non ha questa impostazione, chiunque può scrivere ai tuoi clienti fingendosi te, per esempio con una falsa fattura e un IBAN cambiato, e le tue email vere rischiano di finire fra lo spam.

Come abbiamo misurato

L'elenco dei Comuni viene da IndicePA [4]. Per ciascuno abbiamo letto i record pubblici del dominio della posta ordinaria, quelli che qualunque servizio email legge prima di consegnare un messaggio, seguendo lo standard DMARC [3]. Il giudizio dipende solo dall'istruzione che il Comune dà per le email false: respingerle, metterle fra lo spam o non fare niente. Una fotografia del 20 ottobre 2026: se un Comune ha cambiato la configurazione dopo, lo mostrerà la prossima rilevazione. Metodo completo, limiti e dati scaricabili, con licenza CC BY 4.0, sono nella pagina dell'Osservatorio.