Phishing via PEC e false multe pagoPA: come riconoscerli in azienda

La posta elettronica certificata è diventata uno dei canali preferiti dai truffatori proprio perché la consideriamo affidabile. Il phishing PEC e le false richieste di pagamento a tema pagoPA colpiscono soprattutto gli uffici amministrativi, che ricevono ogni giorno fatture, avvisi e comunicazioni ufficiali. In questo articolo spiego come funzionano questi attacchi, quali segnali li tradiscono e quali regole operative proteggono davvero l'azienda.

Cosa dicono i numeri

Il report sulle campagne malevole del 2025 del CERT-AGID, la struttura di AgID che monitora le minacce per la pubblica amministrazione, ha censito 3.620 campagne malevole in Italia nel corso dell'anno. Due tendenze riguardano direttamente le imprese:

• l'abuso della PEC come vettore è quasi raddoppiato rispetto al 2024, con circa 103 eventi, usati sia per phishing sia per diffondere malware;
• le campagne a tema pagoPA sono state 328, circa il 9% del totale, con un'intensificazione a partire da maggio 2025.

Sono numeri che spiegano perché, nel mio lavoro, considero la casella PEC aziendale un punto da proteggere come la posta ordinaria, se non di più.

Perché il phishing PEC funziona

Il valore legale della PEC certifica l'invio e la consegna, non le intenzioni del mittente. Una PEC può arrivare da una casella regolarmente registrata ma creata apposta per la truffa, oppure da una casella legittima di un'altra azienda che è stata violata. In entrambi i casi il messaggio supera i filtri e porta con sé l'autorevolezza del canale.

A questo si aggiungono tre fattori: chi legge la PEC è spesso abituato ad aprire allegati per lavoro, i messaggi imitano documenti reali come fatture, solleciti e atti, e il tono è quasi sempre urgente.

Gli schemi più ricorrenti

Falsa fattura o falso sollecito

Un fornitore apparente invia una fattura, un estratto conto o un sollecito con allegato compresso o un link per «scaricare il documento». L'allegato contiene un malware che ruba credenziali o apre un accesso remoto.

Falso atto o avviso ufficiale

Il messaggio imita un ente pubblico, un tribunale o un'agenzia e invita a consultare un provvedimento. Il link porta a una pagina che chiede le credenziali di accesso o fa scaricare un file malevolo.

Falsa multa o avviso pagoPA

Arriva via email, SMS o PEC un avviso di pagamento per una sanzione stradale o un tributo, con un link a una pagina che imita pagoPA e chiede i dati della carta. Il pagamento non estingue nulla: serve solo a rubare i dati.

Cambio IBAN

Un fornitore reale, o qualcuno che ne ha violato la casella, comunica nuove coordinate bancarie. È la truffa più costosa, perché il pagamento sembra una normale operazione di contabilità.

Come riconoscere il phishing PEC: la checklist

Le regole da dare all'amministrazione

La tecnologia aiuta, ma il phishing PEC si ferma soprattutto con regole chiare per chi lavora negli uffici amministrativi:

1. Nessun cambio IBAN senza verifica telefonica su un numero già presente in anagrafica, con traccia della verifica.
2. Doppia approvazione per pagamenti nuovi o sopra una soglia definita.
3. Allegati sospetti al responsabile IT prima dell'apertura, senza timore di disturbare.
4. Caselle PEC protette con password robuste e, dove il gestore lo consente, con l'autenticazione a più fattori; nessuna credenziale condivisa.
5. Elenco dei mittenti attesi: fornitori, enti e consulenti che scrivono via PEC. Ciò che non è nell'elenco merita attenzione.
6. Formazione breve e ripetuta, con esempi reali degli ultimi mesi.

Le stesse regole valgono verso i fornitori: se una loro casella viene violata, il problema diventa tuo. È il tema della sicurezza della catena di fornitura, che la NIS2 rende un obbligo esplicito per i soggetti nel perimetro.

Se hai già aperto l'allegato

• Scollega il computer dalla rete senza spegnerlo e avvisa subito l'IT.
• Cambia da un altro dispositivo le password della PEC e degli account usati su quel computer.
• Se hai pagato, contatta immediatamente la banca per tentare il richiamo del bonifico o il blocco della carta.
• Inoltra il messaggio sospetto al CERT-AGID (malware@cert-agid.gov.it) e conserva le prove per la denuncia.
• Se l'azienda è soggetta alla NIS2, valuta subito se l'evento va notificato al CSIRT Italia.

Cosa fare adesso

Prendi le sei regole per l'amministrazione e trasformale in una procedura di una pagina, firmata dalla direzione e condivisa con chi gestisce PEC e pagamenti. Poi verifica la protezione delle caselle e dei computer degli uffici. Per un controllo strutturato puoi partire dalla checklist NIS2 per PMI e fornitori; se ti serve un supporto per impostare procedure e controlli, trovi il mio approccio nella pagina sul consulente NIS2.