)
Arriva una comunicazione che parla di una multa. L’importo va pagato entro pochi giorni, altrimenti aumenterà. Il linguaggio è formale, ci sono riferimenti normativi e un pulsante che promette di portarti al portale istituzionale.
Il messaggio proviene da una PEC.
A questo punto è facile pensare: «Se è certificata, sarà autentica».
È proprio qui che vale la pena fermarsi. Una comunicazione può partire da una casella PEC reale e contenere comunque una richiesta fraudolenta. La certificazione della trasmissione non garantisce che ciò che viene chiesto sia vero, né che chi ha usato la casella fosse autorizzato a farlo.
Non è soltanto un’ipotesi. Il 27 ottobre 2026 il CERT-AGID ha segnalato campagne di phishing che sfruttavano caselle PEC compromesse per diffondere false richieste di pagamento a nome di pagoPA. Nei casi analizzati, i collegamenti portavano a pagine fraudolente che imitavano un servizio ufficiale.
Se ricevi una richiesta inattesa, soprattutto quando ti chiede di pagare o inserire dati, non usare subito il link nel messaggio. Verifica la comunicazione attraverso un recapito o un sito ufficiale che hai raggiunto indipendentemente.
Che cosa certifica davvero una PEC?
La PEC è uno strumento utile proprio perché permette di documentare alcuni passaggi della trasmissione.
Quando una comunicazione viene inviata nel circuito PEC, le ricevute possono attestare l’accettazione del messaggio e l’avvenuta consegna nella casella del destinatario. La consegna, però, non significa che il messaggio sia stato letto.
La certificazione riguarda la trasmissione e l’integrità del messaggio durante il percorso. Non certifica che il contenuto sia vero, che una richiesta di pagamento sia dovuta o che l’allegato sia innocuo. Inoltre, l’uso di una casella non dimostra da solo quale persona abbia materialmente scritto il messaggio.
Per capirci, immagino una raccomandata consegnata correttamente: la ricevuta mi aiuta a documentare la spedizione e la consegna, ma non trasforma automaticamente in vere tutte le affermazioni contenute nella lettera.
Con la PEC c’è un aspetto ulteriore: se qualcuno riesce ad accedere a una casella altrui, può utilizzarla per inviare messaggi che sembrano provenire dal suo legittimo titolare.
Il caso delle false multe
Nella campagna descritta dal CERT-AGID, il messaggio presentava una presunta violazione del Codice della Strada e chiedeva il pagamento di 198 euro, prospettando un aumento a 268 euro in caso di ritardo.
Il pulsante rimandava a un sito fraudolento che riproduceva elementi grafici di pagoPA e chiedeva dati personali. L’analisi ha inoltre evidenziato un meccanismo attraverso il quale gli attaccanti potevano indirizzare la persona verso ulteriori schermate, potenzialmente dedicate anche alla raccolta di dati bancari e codici di verifica.
La forza del messaggio non stava in un solo elemento, ma nella loro combinazione: una casella certificata, un linguaggio istituzionale, una cifra precisa e una scadenza ravvicinata.
È una situazione pensata per farci passare rapidamente dalla preoccupazione all’azione.
Come verificare una richiesta senza ignorarla
Ricevere un messaggio sospetto non significa che ogni comunicazione urgente sia falsa. Una scadenza può essere reale e una richiesta può richiedere attenzione. Per questo, secondo me, la risposta migliore non è ignorare tutto: è verificare attraverso un percorso indipendente.
Io partirei da questi controlli:
Non pagare dal pulsante ricevuto. Apri autonomamente il sito o l’app ufficiale che conosci già e verifica se la richiesta compare tra le comunicazioni disponibili.
Contatta l’ente o il mittente usando un recapito verificato. Cercalo sul sito ufficiale o utilizza un numero che hai già, invece di affidarti soltanto a quello indicato nel messaggio.
Controlla i dettagli della richiesta. Chiedi conferma del numero di riferimento, dell’importo, della motivazione e delle modalità di pagamento.
Fai attenzione ai cambi di coordinate bancarie. Se un fornitore comunica un nuovo IBAN, verifica la modifica con una persona di riferimento attraverso un canale già noto.
Tratta con prudenza link e allegati inattesi. Anche un messaggio apparentemente formale o proveniente da un indirizzo conosciuto merita un controllo, soprattutto se chiede di inserire password, dati della carta o codici temporanei.
Un indirizzo riconoscibile può essere un elemento utile da controllare, ma non basta da solo: il caso segnalato dal CERT-AGID dimostra che anche una casella reale può essere compromessa.
Se c’è una scadenza, farei la verifica appena possibile. Prendersi qualche minuto per contattare il soggetto corretto è diverso dal lasciare una comunicazione senza risposta.
E se ho già cliccato o inserito i dati?
La prima cosa da capire è che cosa è successo dopo l’apertura del collegamento. Aver cliccato non significa necessariamente aver comunicato dati, ma la situazione cambia se hai compilato una pagina, scaricato un file o autorizzato un’operazione.
Se hai inserito i dati della carta o autorizzato un pagamento, contatta subito la banca o l’emittente tramite i recapiti ufficiali e segui le loro indicazioni.
Se hai inserito una password, cambiala accedendo direttamente al servizio ufficiale. Se la usavi anche altrove, cambiala anche sugli altri account interessati.
Se hai comunicato un codice temporaneo o approvato un accesso, avvisa immediatamente il servizio coinvolto: potrebbe essere necessario bloccare sessioni o operazioni.
Se hai scaricato o aperto un allegato sospetto, interrompi l’attività e chiedi assistenza tecnica qualificata, indicando con precisione cosa hai aperto e su quale dispositivo.
Se sospetti che sia stata compromessa la tua PEC, contatta anche il gestore attraverso i suoi canali ufficiali e controlla con il suo supporto accessi, impostazioni e messaggi inviati.
Conservare il messaggio originale e le informazioni disponibili può aiutare chi effettua le verifiche. Eviterei invece di inoltrare allegati o collegamenti sospetti a colleghi e clienti senza una ragione precisa.
La sicurezza riguarda anche chi invia
Quando si parla di truffe si pensa soprattutto a chi riceve il messaggio. Ma se una casella viene compromessa, il problema coinvolge anche il professionista o l’attività a cui appartiene.
Chi la controlla può leggere comunicazioni, raccogliere informazioni e inviare richieste apparentemente credibili a contatti già abituati a riceverle.
Per questo considero la protezione della PEC parte dell’organizzazione quotidiana, non un’impostazione da controllare solo il giorno dell’attivazione.
Alcune domande utili sono:
La password della casella è unica e conservata in modo sicuro?
È disponibile l’autenticazione a più fattori? Se sì, è attiva?
Sappiamo chi può accedere e come rimuovere l’accesso quando non serve più?
Controlliamo periodicamente le impostazioni e i messaggi inviati?
Se sospettiamo un accesso non autorizzato, sappiamo chi contattare?
Le funzioni disponibili possono cambiare da un gestore all’altro. Vale quindi la pena verificare direttamente nel proprio servizio quali protezioni siano effettivamente attivabili.
Fidarsi non significa rinunciare a verificare
Nel lavoro digitale cerchiamo spesso strumenti capaci di rendere i processi più veloci: inviare un documento, firmare una richiesta, pagare un servizio, condividere informazioni.
La PEC svolge una funzione importante in questo percorso. Ma nessuno strumento elimina da solo la necessità di capire chi ci sta chiedendo cosa e perché.
È un principio che considero fondamentale anche nella consulenza: una tecnologia è davvero utile quando sappiamo sia che cosa ci permette di fare, sia quali verifiche restano responsabilità nostra.
La prossima volta che ricevi una richiesta inattesa, non devi diventare un esperto di sicurezza informatica. Puoi iniziare da una domanda semplice:
Se tolgo il link dal messaggio, riesco comunque a verificare questa richiesta attraverso un canale ufficiale?