Il phishing via PEC e le false multe a nome di pagoPA o SEND sfruttano la fiducia che le aziende ripongono nella posta certificata e negli avvisi di pagamento ufficiali. Per riconoscerli bastano poche verifiche: controllare il mittente reale, non usare mai il link ricevuto ma raggiungere il servizio digitando l’indirizzo, diffidare dell’urgenza e confrontare ogni importo con i canali ufficiali. Una PEC certifica che il messaggio è stato consegnato, non che chi lo ha inviato sia in buona fede.
Di seguito vediamo cosa è emerso nelle ultime settimane, come si presentano questi messaggi e cosa fare se qualcuno in azienda ha già cliccato.
Cosa sta succedendo
Nella settimana dal 24 al 30 ottobre 2026 il CERT-AGID ha censito 121 campagne malevole, 76 delle quali rivolte specificamente all’Italia. Il tema più usato è stato quello delle multe, con 25 campagne di phishing che imitavano pagoPA, SEND e ACI. Alcune di queste partivano da caselle PEC compromesse e conducevano a un falso portale costruito per sottrarre dati personali e bancari (fonte: CERT-AGID).
Nello stesso periodo sono comparsi altri temi che arrivano facilmente sulle scrivanie di un ufficio amministrativo: rinnovi di domini e servizi, avvisi di spedizione, documenti da firmare, richieste di pagamento a nome dell’Agenzia delle Entrate.
Perché la PEC non basta a fidarsi
La posta elettronica certificata garantisce che un messaggio è partito da una certa casella ed è stato consegnato. Non garantisce che chi controlla quella casella sia chi dice di essere. Se una casella PEC viene compromessa, ad esempio con una password rubata, i messaggi che ne partono sono PEC a tutti gli effetti.
Per questo una PEC inattesa che chiede un pagamento o un accesso va verificata come qualunque altra email. Vale anche al contrario: se la casella PEC della propria azienda viene usata da altri, i destinatari ricevono messaggi che sembrano autentici a vostro nome.
Come si riconosce un messaggio falso
| Segnale | Cosa controllare |
|---|---|
| Urgenza e minaccia | Scadenze di poche ore, maggiorazioni, sospensioni: servono a far agire senza pensare. |
| Link per pagare o accedere | Non usarlo. Raggiungere il servizio digitando l’indirizzo o usando l’app ufficiale, e cercare lì l’avviso. |
| Mittente | Controllare l’indirizzo completo, non solo il nome visualizzato. Un mittente legittimo non rende autentico il contenuto se la casella è compromessa. |
| Dati della sanzione | Targa, data, luogo e verbale devono corrispondere a fatti reali e verificabili. |
| Richiesta di dati bancari o di carta | Un avviso di pagamento non richiede di inserire le credenziali della banca in una pagina raggiunta da un link. |
| Allegati inattesi | Archivi compressi, documenti che chiedono di «abilitare il contenuto» o file con doppia estensione vanno aperti solo dopo una verifica. |
Le varianti che colpiscono le aziende
Rinnovo del dominio o della casella. Un avviso finto annuncia la scadenza del dominio o dello spazio di posta e chiede il pagamento o l’accesso al pannello. È particolarmente efficace perché la scadenza è un evento reale che prima o poi arriva.
Falsa comunicazione fiscale. Messaggi a nome dell’Agenzia delle Entrate che segnalano irregolarità o rimborsi e invitano ad aprire un allegato o a cliccare un link. L’Agenzia pubblica regolarmente gli avvisi sulle campagne in corso nella sua pagina dedicata al phishing.
Documento da firmare o da scaricare. Un finto servizio di firma o di condivisione porta a una pagina che chiede le credenziali della posta aziendale. È spesso il primo passo verso la compromissione della casella e verso frodi successive.
Se qualcuno ha già cliccato
- se sono stati inseriti dati di carta o di conto, avvisare subito la banca;
- se sono state inserite le credenziali della posta o della PEC, cambiarle da un dispositivo sicuro e attivare l’autenticazione a più fattori dove possibile;
- se è stato aperto un allegato, scollegare il computer dalla rete e avvisare chi gestisce l’informatica;
- controllare nella casella la presenza di regole di inoltro o di cancellazione create da altri;
- conservare il messaggio, senza inoltrarlo ai colleghi, e valutare la denuncia alla Polizia Postale.
Per i passi da seguire in caso di incidente più ampio: attacco informatico in azienda: cosa fare nelle prime ore.
Come proteggere l’azienda
- Una regola scritta per i pagamenti: nessun pagamento su richiesta arrivata via email o PEC senza una verifica su un canale diverso.
- Credenziali della PEC diverse da ogni altra password, conosciute da poche persone e cambiate quando qualcuno lascia l’azienda.
- Autenticazione a più fattori sulla posta aziendale e, dove il fornitore lo consente, sulla PEC.
- Formazione breve e ricorrente per chi lavora in amministrazione, con esempi reali delle campagne in corso.
- Un modo semplice per segnalare un messaggio sospetto senza timore di sbagliare.
Per approfondire: phishing, cos’è e come difendersi e business email compromise. Per una verifica completa delle difese, la checklist qui sotto raccoglie 32 controlli in 8 aree.
