Assicurazioni fantasma, la truffa che imita la fiducia: perché riconoscere un falso intermediario è sempre più difficile

Comprare una polizza online è diventato un gesto ordinario. Si confronta un preventivo, si compila un modulo, si paga, si riceve un documento in PDF. È proprio questa normalità ad aver creato l’ambiente ideale per una generazione di frodi che non somiglia affatto all’immagine tradizionale della truffa: non siti palesemente sospetti, ma copie credibili dell’ecosistema assicurativo, costruite per superare esattamente le verifiche superficiali che un utente ragionevole è disposto a fare.

Un fenomeno strutturale, non una serie di episodi

Il 7 agosto 2026 l’IVASS ha ordinato l’oscuramento di un sito che offriva abusivamente servizi assicurativi. Con quel provvedimento il numero complessivo dei siti bloccati dall’Istituto da novembre 2023, data di avvio dell’esercizio del potere di oscuramento, è salito a 386.

Il dato interessante non è il totale, è il ritmo. Il 13 marzo 2026 il contatore si fermava a 352. In meno di cinque mesi sono stati aggiunti 34 siti. Nella sezione siti abusivi del sito dell’Istituto, tra il 17 aprile e il 7 agosto 2026 si contano dieci comunicati per un totale di 27 domini colpiti (conteggio GrifoNews sui comunicati pubblicati dall’IVASS). Non si tratta di episodi isolati che emergono per caso: è un flusso continuo, con una cadenza di circa due interventi al mese, che l’autorità gestisce come attività ordinaria.

Chi legge questo dato come una notizia di cronaca ne coglie solo la superficie. Un’attività che genera provvedimenti a questa frequenza, per quasi tre anni consecutivi, non è un’anomalia del mercato: è una linea di produzione.

L’anatomia dell’imitazione

Gli ordini di cessazione pubblicati dall’IVASS permettono di ricostruire il metodo con una precisione che le cronache di solito non offrono. I domini colpiti nel 2026 seguono uno schema riconoscibile: rca.aspeviroma.it, servizi.assicurazioneroma.it, direzione.nobileassicurazioni.it, assi.polizzeistantanee.eu, rca.assicurarsinovara.it.

Tre elementi ricorrono. Il primo è l’uso di sottodomini di terzo livello su uno stesso dominio di secondo livello: quando un indirizzo viene oscurato, ne subentra un altro sulla medesima radice, come mostrano i casi in cui l’Istituto è intervenuto a distanza di settimane su varianti dello stesso nome. Il secondo è la plausibilità toponomastica e professionale del nome: prefissi come “rca”, “servizi”, “direzione”, “assi” replicano la nomenclatura interna di un’agenzia reale, mentre il riferimento a una città o a una provincia costruisce l’idea di una struttura radicata sul territorio. Il terzo è l’evocazione di marchi vigilati, con denominazioni che richiamano compagnie note al pubblico. Va precisato con nettezza, perché la distinzione è rilevante: gli ordini IVASS colpiscono i siti, non le imprese il cui nome viene evocato, che di quei siti sono estranee e in molti casi le prime danneggiate.

Sul piano operativo, le raccomandazioni dell’Istituto individuano segnali ricorrenti nelle proposte fraudolente: il contatto tramite messaggistica veloce, WhatsApp o SMS, e la richiesta di pagamento con carte di credito prepagate. L’IVASS segnala inoltre una cautela specifica per le offerte relative a polizze temporanee di responsabilità civile auto, che per la loro brevità riducono la probabilità che l’acquirente scopra l’inganno prima della scadenza. Sono indicatori utili proprio perché non riguardano l’aspetto del sito, che è la variabile più facile da perfezionare, ma la struttura della transazione, che è la parte più difficile da rendere credibile.

La tesi: il costo della simulazione è crollato

Qui si colloca il punto che spiega perché il fenomeno sia strutturale e non congiunturale. Un’organizzazione abusiva, per operare, non ha più bisogno di costruire una struttura commerciale: le basta costruire una rappresentazione sufficientemente credibile di quella struttura. Registrare un dominio costa poche decine di euro. Un logo, un template grafico, un set di documenti contrattuali formalmente ineccepibili e un preventivatore funzionante hanno oggi un costo di produzione prossimo allo zero e un costo di riproduzione nullo.

Il problema, per chi acquista, è che gli indicatori di affidabilità su cui il mercato ha addestrato i consumatori negli ultimi vent’anni sono esattamente gli elementi diventati economicamente irrilevanti. Un sito curato, un preventivo dettagliato, un certificato in PDF con numero di polizza e codice a barre, un operatore che risponde al telefono e conosce il prodotto: nessuno di questi segnali distingue più un intermediario iscritto da un’organizzazione abusiva. La fiducia è stata delegata all’interfaccia in un momento storico in cui l’interfaccia ha smesso di essere un’informazione.

È lo stesso meccanismo che si osserva altrove nel sistema finanziario. La Banca d’Italia ha registrato nel 2025 un raddoppio delle segnalazioni per uso indebito del proprio nome e logo, in parte legate a contenuti generati con intelligenza artificiale. Nel comparto delle garanzie fideiussorie, IVASS, Banca d’Italia e ANAC sono intervenute con un documento congiunto il 18 luglio 2025 sulle polizze false o rilasciate da soggetti non legittimati, un fenomeno che colpisce stazioni appaltanti e imprese in gara. Cambiano il prodotto e la vittima, resta identico il modello: replicare i segni esteriori dell’autorizzazione a un costo marginale trascurabile.

Perché la rimozione è più lenta della produzione

L’IVASS non dispone, per questi casi, di una potestà di vigilanza assicurativa in senso proprio. Il potere di oscuramento si fonda sull’articolo 9, paragrafo 4, lettera g), del Regolamento UE 2017/2394 sulla cooperazione tra autorità nazionali per la tutela dei consumatori, e sull’articolo 144-bis del Codice del consumo. È, in altri termini, uno strumento consumeristico applicato a una materia assicurativa.

Da questa architettura discendono due limiti che l’Istituto stesso dichiara in ogni comunicato. L’oscuramento è eseguito dai provider che operano sul territorio italiano, quindi non ha effetto su chi raggiunge il sito attraverso infrastrutture estere. E richiede alcuni giorni per diventare effettivo, per ragioni tecniche.

Il risultato è un’asimmetria temporale: il tempo necessario per rimuovere un dominio si misura in settimane fra segnalazione, istruttoria, provvedimento ed esecuzione, mentre il tempo necessario per registrarne un altro si misura in minuti. Un sistema di enforcement che opera per rimozione successiva non può, per costruzione, chiudere il divario. Può contenere il fenomeno e documentarlo, che è precisamente quello che l’archivio degli ordini di cessazione fa, ma non eliminarlo. Questa non è una critica all’autorità: è una descrizione della struttura di incentivi entro cui l’autorità lavora, e spiega perché l’onere della verifica resti, di fatto, sull’acquirente.

Che cosa rischia davvero chi acquista

La conseguenza più insidiosa della polizza fantasma è che la vittima non scopre l’inganno al momento del pagamento, ma settimane o mesi dopo, in occasione di un controllo su strada o di un sinistro. In entrambi i casi la posizione giuridica è quella di un veicolo privo di copertura.

Sul piano amministrativo, l’articolo 193 del Codice della strada punisce la circolazione senza copertura assicurativa con una sanzione pecuniaria che, negli importi attualmente applicati, va da 866 a 3.464 euro, accompagnata dal sequestro del veicolo. Gli importi non sono variati nel 2026: l’aggiornamento biennale delle sanzioni è stato nuovamente sospeso, con applicazione dei nuovi valori rinviata al 1° gennaio 2027. Il comma 4-bis prevede inoltre la confisca amministrativa del veicolo fatto circolare con documenti assicurativi falsi o contraffatti e la sospensione della patente per un anno a carico di chi ha falsificato o contraffatto i documenti. Su questo punto occorre una precisazione: la sanzione base per la circolazione senza copertura opera in modo oggettivo, mentre le conseguenze aggravate presuppongono una condotta di falsificazione, il cui accertamento in capo all’acquirente in buona fede è questione che si risolve caso per caso.

Sul piano civilistico l’esposizione è più pesante. In caso di sinistro con danni a terzi, il danneggiato può rivolgersi al Fondo di garanzia per le vittime della strada, disciplinato dall’articolo 283 del Codice delle assicurazioni private, ma il risarcimento erogato non estingue la responsabilità di chi ha causato il danno: l’impresa designata agisce in regresso verso conducente e proprietario. Chi credeva di aver comprato una polizza si trova quindi a rispondere in proprio, con il proprio patrimonio, di somme che nei sinistri con lesioni gravi raggiungono ordini di grandezza incompatibili con la capacità finanziaria di una famiglia o di una piccola impresa.

Quanto a chi ha organizzato la frode, l’articolo 305, comma 2, del Codice delle assicurazioni punisce l’esercizio dell’attività di intermediazione senza iscrizione al registro previsto dall’articolo 109 con la reclusione da sei mesi a due anni e la multa da 10.000 a 100.000 euro, mentre l’esercizio di attività assicurativa senza autorizzazione è sanzionato al comma 1 con la reclusione da due a quattro anni. Sono pene che presuppongono l’identificazione dell’autore, condizione tutt’altro che scontata quando la struttura è puramente digitale.

Il profilo d’impresa: flotte, noleggio e responsabilità gestoria

Per un’impresa il rischio cambia natura. Un veicolo aziendale scoperto non produce solo una sanzione: produce un’esposizione patrimoniale diretta della società proprietaria, un problema di continuità operativa in caso di sequestro del mezzo, e una questione di adeguatezza degli assetti organizzativi in capo all’organo amministrativo, tanto più rilevante quanto più la flotta è numerosa e la gestione delle scadenze decentrata.

Il punto critico è procedurale. Nelle organizzazioni in cui il rinnovo delle polizze è affidato a singoli responsabili di sede, senza un presidio centralizzato che verifichi l’iscrizione dell’intermediario e la riferibilità del contratto a un’impresa autorizzata, la ricerca autonoma del preventivo più conveniente diventa il canale attraverso cui la frode entra in azienda. È la stessa vulnerabilità documentata nel comparto delle garanzie fideiussorie, dove la verifica preventiva dell’abilitazione del garante al ramo cauzione rientra ormai negli standard di diligenza attesi.

Come si verifica davvero un intermediario

Le verifiche che contano sono poche e tutte ricadono su fonti pubbliche gestite dall’autorità di vigilanza.

Il primo controllo riguarda il soggetto: l’intermediario deve risultare iscritto al Registro unico degli intermediari assicurativi e riassicurativi, o all’Elenco annesso degli intermediari dell’Unione europea, entrambi consultabili sul portale pubblico dell’IVASS con aggiornamento quotidiano. Il secondo riguarda l’impresa: la compagnia che emette il contratto deve figurare tra quelle autorizzate a operare in Italia, con elenchi specifici per il ramo responsabilità civile auto. Il terzo, spesso trascurato, riguarda il canale: l’IVASS pubblica le liste dei siti internet degli intermediari iscritti e delle imprese vigilate, aggiornate con cadenza settimanale, e raccomanda di diffidare dei siti che non vi compaiono. Il quarto riguarda la coerenza fra il dominio da cui arriva la proposta e l’identità dichiarata dell’intermediario, elemento che nei casi documentati risulta spesso l’unico segnale realmente discriminante.

Un accorgimento operativo merita attenzione perché neutralizza il vettore d’ingresso più comune: l’Istituto raccomanda di digitare manualmente, o di copiare nella barra del browser, gli indirizzi presenti nelle liste ufficiali, invece di raggiungere il sito attraverso un link ricevuto per messaggio, email o annuncio pubblicitario. Restano poi gli indicatori di transazione già richiamati, dalla trattativa condotta interamente su messaggistica istantanea alla richiesta di pagamento su carte prepagate. Per i dubbi, l’Istituto mette a disposizione il Contact Center Consumatori al numero verde 800 486661, attivo dal lunedì al venerdì dalle 8.30 alle 14.30.

La direzione della verifica

Il cambiamento che questo fenomeno impone è meno tecnico di quanto sembri e riguarda l’orientamento del controllo. Per anni l’educazione al rischio digitale ha insegnato a riconoscere i segnali del falso: errori di ortografia, grafica approssimativa, indirizzi improbabili, promesse fuori mercato. Quei segnali oggi sono facoltativi per chi costruisce la frode, perché eliminarli non costa quasi nulla.

Ne consegue che la sicurezza non può più consistere nel riconoscere ciò che appare falso, ma nel verificare ciò che appare vero, e la verifica ha senso solo se avviene su una fonte esterna al soggetto che si sta valutando. È l’unica asimmetria informativa che resta dalla parte dell’acquirente: gli elenchi pubblici dell’autorità di vigilanza non sono replicabili a costo zero, mentre tutto il resto ormai lo è.

L’autore

Gianluca Damilano

Consigliere di amministrazione di GrifoFinance

Gianluca Damilano è mediatore creditizio iscritto all’Organismo degli Agenti e dei Mediatori e Consigliere di amministrazione di GrifoFinance. Ha maturato una consolidata esperienza nel credito alle imprese e nella consulenza finanziaria specialistica. Su GrifoNews scrive di credito aziendale e gestione finanziaria.

Aree di competenza: mediazione creditizia, credito alle imprese, corporate finance, consulenza finanziaria business, accesso ai finanziamenti e sostenibilità finanziaria.