La PEC è certificata, ma chi la manda no

Ti arriva una PEC. Dice che hai una fattura non pagata e che devi rispondere subito. In allegato c'è un file compresso con il dettaglio. È posta certificata, quindi pensi che sia una cosa seria.

È proprio su questo pensiero che contano i truffatori.

Il caso che ha fatto scuola

A metà settembre si è saputo che Revolut, la banca online usata anche da molti italiani, ha consegnato a dei criminali i dati di circa 680 clienti. La cifra è quella stimata dal Financial Times. Hanno avuto documenti d'identità, i selfie usati per il riconoscimento, IBAN, estratti conto e movimenti, compresi quelli in criptovalute.

Le richieste sembravano arrivare dalle forze dell'ordine italiane, come se fossero indagini in corso. Partivano da una casella PEC vera, riconducibile alla Prefettura di Reggio Calabria. I truffatori non avevano inventato un indirizzo simile: erano entrati nella casella autentica. Le richieste sono andate avanti per circa cinque mesi. Poi Revolut ha avuto dei dubbi e ha chiesto direttamente all'ente, che ha negato di averle mandate. La Polizia Postale sta indagando.

Se ci è cascata una banca, con un ufficio dedicato a queste richieste, il punto non è la distrazione di qualcuno. Il punto è un equivoco su cosa sia la PEC.

Cosa certifica davvero la PEC

La PEC certifica che un messaggio è partito da una certa casella ed è arrivato nella tua, intatto, in un certo momento. Per questo vale come una raccomandata.

Non certifica chi c'era davanti alla tastiera. Se qualcuno ruba la password di una casella PEC, può scrivere da lì. I suoi messaggi saranno "certificati" esattamente come quelli del titolare.

Il CERT-AgID è la struttura pubblica che segue gli attacchi informatici in Italia. Da gennaio a metà giugno 2026 ha gestito oltre 650 casi di caselle PEC rubate o aperte apposta per truffare. È più di sei volte il totale di tutto il 2025. E il sistema della PEC non è stato "bucato": secondo il CERT-AgID, i truffatori entrano con password rubate altrove, che i titolari usavano anche per altri servizi.

Cosa sta arrivando adesso

La sera del 23 settembre, intorno alle 21:50, il CERT-AgID ha visto partire una nuova ondata. Erano falsi solleciti di pagamento inviati da caselle PEC vere, con oggetti come "fattura non pagata" o "sollecito di pagamento per fattura scaduta".

In allegato c'era un file compresso (ZIP). Dentro c'era una pagina che, una volta aperta, installava sul computer un programma malevolo chiamato MintsLoader. Il suo compito è aprire la porta ad altri programmi dannosi.

Anche la Polizia Postale ha diffuso un avviso sulle PEC truffa. Le riconosci da tre cose:

Cosa fare quando ne ricevi una

Cosa fare per la tua casella

Se hai una PEC, è anche una porta d'ingresso per chi vuole scrivere a nome tuo.

C'è un lato scomodo da ammettere: nessuna di queste precauzioni ti protegge se a essere rubata è la casella di qualcun altro. Lì l'unica difesa è non fidarsi del bollino. Un messaggio che ti chiede soldi, dati o di aprire un allegato va verificato per un'altra strada, anche se è certificato.

In una riga

La PEC garantisce che un messaggio è arrivato, non che chi l'ha scritto sia chi dice di essere. Se ti chiede soldi, documenti o di aprire un allegato, verifica con una telefonata o sul sito ufficiale prima di fare qualsiasi cosa.