Ricevi una PEC che annuncia una fattura scaduta, una pratica da completare o un accesso da confermare. Il mittente ti sembra familiare e la comunicazione ha l’aspetto di un messaggio formale: prima di pagare, aprire un allegato o inserire credenziali, fermati a controllare che cosa certifica davvero la PEC.

La distinzione è essenziale per chi gestisce clienti, fornitori e pratiche amministrative: la consegna certificata non dimostra che la richiesta sia legittima. Puoi valutare il messaggio esaminando mittente, contesto, link e allegati, poi confermare l’operazione con un recapito ottenuto in precedenza da una fonte affidabile.

Che cosa certifica davvero una PEC?

La Posta Elettronica Certificata (PEC) è un sistema che attesta l’invio e la consegna di un messaggio fra caselle PEC e ne preserva l’integrità durante la trasmissione. Non è invece una garanzia che il testo sia stato scritto con buone intenzioni, che il mittente sia chi dichiara di essere o che gli allegati siano sicuri. Come spiega AgID nella descrizione della PEC, il sistema produce ricevute e riferimenti temporali per documentare la trasmissione: questo non equivale a una verifica commerciale o di sicurezza della richiesta.

La distinzione conta perché anche una casella autentica può essere usata da una persona non autorizzata se le credenziali sono state sottratte. Oppure un messaggio fraudolento può arrivare da un indirizzo creato appositamente per sembrare credibile. La certificazione del percorso non trasforma ogni allegato in un documento affidabile né rende legittimo un pagamento.

Il fenomeno non è solo teorico. Nel report sulle minacce osservate nel 2025, il CERT-AGID ha registrato 103 eventi malevoli veicolati tramite PEC, circa l’80% in più rispetto al 2024: 77 campagne di phishing e 26 campagne per distribuire malware. Il dato riguarda le attività osservate dal CERT nel proprio perimetro, non tutte le PEC ricevute in Italia. Il report CERT-AGID 2025 rileva inoltre 3.620 campagne malevole complessive, un totale che include diversi canali e non va confuso con i soli eventi PEC.

Quali segnali rendono sospetta una notifica?

Non esiste un singolo dettaglio che dimostri sempre una frode. Valuta invece la coerenza fra il messaggio, la pratica e il comportamento richiesto. Tratta con particolare cautela una PEC che:

  • introduce una fattura, una sanzione o una pratica che non riconosci;
  • pretende un pagamento urgente o minaccia la sospensione di un servizio;
  • ti invita a confermare password, codici temporanei o dati di pagamento tramite un collegamento;
  • contiene un allegato inatteso, soprattutto se compresso o presentato come fattura da saldare;
  • usa un tono pressante ma non riporta riferimenti verificabili alla pratica;
  • chiede di cambiare coordinate di pagamento o recapiti senza una conferma indipendente.

Errori grammaticali e loghi insoliti possono essere indizi, ma la loro assenza non prova l’autenticità: le comunicazioni fraudolente possono essere ben scritte e costruite intorno a dettagli plausibili. Il CERT-AGID ha documentato anche una campagna con falsi solleciti di pagamento provenienti da caselle PEC reali compromesse. In quella campagna, il contenuto faceva leva su fatture non pagate e richieste di regolarizzare rapidamente la posizione. La sua segnalazione sui falsi solleciti via PEC avverte di non fidarsi automaticamente dell’indirizzo visibile o della forma formale del messaggio.

Come distinguere le opzioni di verifica?

Per una comunicazione inaspettata, puoi scegliere fra tre livelli di controllo, da applicare insieme quando la posta in gioco è importante.

Il controllo visivo è il primo filtro: leggi l’indirizzo completo del mittente, l’oggetto, il testo e il nome del file allegato. Non fermarti al nome visualizzato nella casella, che può essere generico o fuorviante. Un indirizzo che somiglia a quello di un fornitore, ma differisce nel dominio o in pochi caratteri, merita una verifica ulteriore.

Il controllo del contesto consiste nel confrontare il messaggio con ciò che sai già. Aspettavi quella fattura? L’importo, la scadenza, il numero del documento e i riferimenti al rapporto commerciale corrispondono ai tuoi registri? Una richiesta inattesa non diventa sicura soltanto perché contiene il nome corretto dell’azienda o un dato reale: informazioni di questo tipo possono essere note al mittente o reperibili da comunicazioni precedenti.

La verifica tramite un canale indipendente è il controllo più solido per pagamenti, credenziali o modifiche amministrative. Chiama il referente a un numero già presente in rubrica o conferma la richiesta usando un contatto salvato prima di ricevere la PEC. Non usare il numero telefonico, l’indirizzo o il link riportato nel messaggio sospetto: potrebbe condurti proprio alla persona o al sito controllato da chi ha preparato la truffa.

Per le comunicazioni meno rischiose, la verifica visiva e del contesto possono bastare a decidere di non procedere e chiedere chiarimenti. Quando sono coinvolti denaro, password, documenti riservati o coordinate bancarie, non basarti soltanto sull’aspetto del messaggio: conferma l’operazione fuori dalla comunicazione ricevuta.

Prima di aprire un collegamento, osserva l’indirizzo di destinazione senza visitarlo e chiediti se corrisponde al dominio ufficiale che usi normalmente. Il nome dell’ente nel testo del link non dimostra che la pagina conduca davvero al sito dell’ente. Se devi accedere a un servizio, apri l’app che usi abitualmente o digita tu l’indirizzo già noto, senza passare dal messaggio.

Non scaricare un allegato inatteso per scoprire che cosa contiene. Un file chiamato “fattura” o “documento” può non essere il documento che dichiara di essere; anche un archivio compresso può nascondere contenuti diversi da quelli attesi. Se il documento sembra legato a un rapporto reale, chiedi conferma al mittente con un canale indipendente prima di aprirlo. In azienda, rispetta le procedure interne per la gestione di file sospetti.

Per un pagamento, confronta i dati con le fatture e le istruzioni già verificate. Una variazione delle coordinate bancarie è un motivo per sospendere l’operazione e chiamare il fornitore usando il recapito che avevi prima della richiesta. Non effettuare bonifici soltanto perché il messaggio cita un importo o una scadenza: una richiesta legittima può essere verificata senza usare il collegamento ricevuto.

Se vuoi approfondire le verifiche successive a un tentativo sospetto, puoi consultare le indicazioni su come proteggere subito i tuoi account. Per altri temi digitali utili alla gestione quotidiana dell’attività, trovi contenuti nella sezione Web e tecnologia.

Che cosa fare se hai già interagito con il messaggio?

Se hai cliccato un link ma non hai inserito dati, chiudi la pagina e non scaricare file né concedere autorizzazioni. Se hai digitato una password, cambiala accedendo al servizio dal canale ufficiale; aggiorna anche gli altri account dove usavi la stessa credenziale. Quando possibile, attiva una verifica aggiuntiva dell’accesso e controlla le sessioni o gli accessi recenti dalle impostazioni del servizio.

Se hai comunicato dati di pagamento o disposto un bonifico, contatta subito la banca tramite i recapiti ufficiali e descrivi l’accaduto. Se hai aperto un allegato sospetto su un dispositivo di lavoro, avvisa il referente informatico o chi si occupa della sicurezza: evita di continuare a usare quel dispositivo per operazioni sensibili finché non hai ricevuto istruzioni. Non inoltrare il file ad altri colleghi come avvertimento.

Conserva la comunicazione e le ricevute pertinenti, senza rispondere al mittente e senza seguire le istruzioni incluse nella PEC. Per la segnalazione, usa la procedura indicata dal gestore della casella e, se la minaccia riguarda caselle PEC, considera il canale indicato dal CERT-AGID. La segnalazione non sostituisce il contatto immediato con banca, gestore del servizio o referente aziendale quando sono state esposte credenziali o somme di denaro.

Come verificare che la procedura interna funzioni?

Per freelance e piccole imprese, il controllo è più efficace quando non dipende dalla memoria o dalla fretta di una singola persona. Definisci chi può approvare pagamenti e cambi di coordinate, come verificare un referente e a chi inoltrare una comunicazione sospetta. Per una richiesta insolita, prevedi una pausa e un secondo controllo prima di eseguire l’operazione.

Rivedi periodicamente i recapiti dei fornitori e dei clienti importanti, mantenendoli in una rubrica aziendale accessibile alle persone autorizzate. Se una conferma telefonica non è possibile, usa un altro canale già conosciuto, non uno fornito nel messaggio inatteso. Conserva le istruzioni operative in un luogo condiviso e chiarisci che una ricevuta PEC attesta la consegna, non l’autenticità della richiesta.

Dopo un controllo, chiediti se la decisione si basa su elementi indipendenti: pratica riconosciuta, dati contabili coerenti e conferma ottenuta da un recapito verificato in precedenza. Se manca uno di questi riscontri per un’operazione rilevante, non procedere finché il dubbio non è chiarito. Questa verifica semplice riduce il rischio di confondere una comunicazione formalmente certificata con un ordine legittimo.

Domande frequenti

Una PEC ricevuta da un indirizzo conosciuto può essere falsa?

Sì. L’indirizzo può appartenere davvero a un cliente o a un fornitore, ma la casella potrebbe essere stata compromessa e usata da terzi. Per questo la familiarità del mittente non basta: controlla se il contenuto è coerente con la pratica in corso e verifica richieste insolite contattando la persona o l’azienda tramite un recapito già noto.

La ricevuta di consegna prova che la richiesta è autentica?

No. La ricevuta attesta l’avvenuta consegna secondo il sistema PEC, non che il contenuto sia vero, sicuro o autorizzato dal titolare della casella mittente. Puoi quindi ricevere una comunicazione regolarmente consegnata che contiene un tentativo di frode. Valuta separatamente la validità della trasmissione e la legittimità della richiesta.

Non usare di nuovo il link. Accedi al servizio digitandone l’indirizzo ufficiale o usando l’app abituale e cambia la password; se la riutilizzi altrove, aggiornala anche sugli altri account. Contatta il gestore della PEC e il servizio coinvolto attraverso recapiti ufficiali. Se si tratta di credenziali aziendali, avvisa subito il referente informatico.

Come si segnala una PEC sospetta?

Conserva il messaggio e le informazioni utili senza aprire link o allegati, quindi segui le indicazioni del gestore della tua casella per segnalare un abuso. Il CERT-AGID chiede di segnalare attività sospette al gestore PEC e mette a disposizione l’indirizzo malware@cert-agid.gov.it per comunicazioni pertinenti. La procedura completa dipende dal tipo di tentativo e dal servizio coinvolto.