Phishing e spam, l’allerta: viaggiano anche su PEC
Le truffe viaggiano anche via Posta elettronica certificata. Da gennaio 2026 CERT-AGID, la struttura dell’Agenzia per l’Italia digitale che monitora l’ecosistema PEC italiano, ha gestito oltre 650 eventi relativi a caselle PEC abusate o registrate per finalità esclusivamente illecite.
“Nell’ambito della consueta attività di monitoraggio sulle minacce veicolate tramite Posta Elettronica Certificata, il CERT-AGID – informa una nota – rileva con continuità la circolazione di messaggi indesiderati e potenzialmente malevoli trasmessi attraverso caselle PEC legittime riconducibili ad account compromessi o a caselle registrate per finalità illecite”.
Il dato sull’abuso di caselle PEC è in progressiva crescita nei mesi ed evidenzia “un interesse sempre più marcato da parte degli attori malevoli nei confronti di questo canale di comunicazione, tradizionalmente percepito come affidabile e sicuro”. La struttura dell’Agenzia per l’Italia digitale ricorda allora che “la PEC non certifica la sicurezza del contenuto del messaggio, ma esclusivamente l’avvenuta consegna. Un messaggio ricevuto da una casella PEC può pertanto contenere link a siti malevoli, allegati infetti o altri tentativi di truffa”.
Phishing via PEC, le false fatture elettroniche
Avvisi di sicurezza e truffe sono sempre più frequenti. Uno degli ultimi arriva dall’Agenzia delle Entrate, che pochi giorni fa ha individuato una nuova campagna di phishing riguardante false fatture elettroniche. La campagna si è appunto diffusa attraverso messaggi PEC provenienti da caselle compromesse.
Questi messaggi, spiega l’Agenzia, contengono come allegato un archivio compresso malevolo. Su Windows compare un pulsante “Scarica Fattura”: questo conduce, una volta cliccato, ad un dominio malevolo, che avvia il processo vero e proprio di compromissione del PC attraverso il download ed esecuzione di script PowerShell sul dispositivo della vittima.
L’Agenzia delle Entrate mette in evidenza nel suo alert che la campagna è costruita in modo da evitare l’individuazione immediata di un contenuto malevolo. La casella PEC che invia il messaggio è, anche se solo in apparenza, verosimile e fidata e questo “aumenta la fiducia percepita nel contenuto della comunicazione dannosa”. Ma è appunto una campagna di phishing e l’Agenzia delle Entrate ne è estranea.
Codici: non cliccare d’istinto sul link
Sulla diffusione di truffe e spam anche via PEC interviene l’associazione Codici che richiama i consumatori a fare attenzione anche nei confronti di comunicazioni che sembrano ufficiali ma non lo sono affatto.
“Anche per questi casi vale una regola da seguire per tutte le e-mail che riceviamo e inviamo – afferma l’avvocato Antonella Votta, referente del Settore Privacy e Nuove Tecnologie di Codici – È importante controllare bene l’indirizzo del mittente. Se è presente un link, non bisogna cliccare di istinto ma cercare di capire se è effettivamente utile e necessario. Quando si ha notizia di un data breach, ovvero una violazione dei dati personali provocata da un incidente di sicurezza, è opportuno capire cosa è accaduto e, nel caso, esercitare i propri diritti sanciti dal Gdpr. L’uso malevolo della PEC deriva da una precedente esfiltrazione, una di quelle che, magari, ci è stata comunicata via PEC ma che abbiamo cancellato con leggerezza. Quindi attenzione ai messaggi”.
