Una PEC arriva da un mittente che sembra affidabile, chiede il pagamento di una multa da 198 euro entro pochi giorni e minaccia un aumento a 268 euro in caso di ritardo. Il messaggio è credibile, la grafica imita PagoPA e tutto sembra regolare perché, in fondo, è arrivato via posta elettronica certificata. È esattamente questo il meccanismo che il CERT-AgID ha segnalato il 27 ottobre 2026, e che riguarda ogni azienda italiana, perché la PEC non è un optional ma un obbligo di legge.
Perché una PEC compromessa non è più garanzia di nulla
Il punto centrale della segnalazione del CERT-AgID è semplice e scomodo: la provenienza di un messaggio da una casella PEC non garantisce più la legittimità del contenuto. I truffatori non hanno bisogno di creare un indirizzo PEC finto, più facile da individuare come sospetto: usano caselle di aziende o professionisti già compromesse, magari a causa di una password debole o rubata in precedenza, e le sfruttano per inviare messaggi che appaiono tecnicamente autentici. In un caso analizzato dal CERT-AgID, il messaggio fraudolento risultava inviato da una PEC compromessa verso una casella ordinaria, con circa 340 indirizzi PEC inseriti in copia: un volume che mostra come questi attacchi colpiscano tante aziende contemporaneamente, usando ciascuna casella violata come amplificatore per le altre.
Per chi riceve il messaggio, il canale PEC abbassa automaticamente la guardia: si tratta di una modalità di comunicazione che per anni è stata associata a validità legale e tracciabilità. Proprio questa fiducia pregressa è ciò che i truffatori sfruttano.
I segnali del falso: cosa deve insospettire chi legge il messaggio
La campagna segnalata dal CERT-AgID presenta alcuni elementi ricorrenti che, se riconosciuti, permettono di smascherare il tentativo di frode prima di cliccare:
- Importo molto specifico: la richiesta è quasi sempre di 198 euro, con la minaccia di un aumento a 268 euro superata una scadenza ravvicinata, tipicamente pochi giorni.
- Link verso un dominio estero: il pulsante di pagamento rimanda a siti ospitati su domini .ru che replicano fedelmente la grafica del portale PagoPA, con un pannello di controllo lato criminale che aggiorna le schermate mostrate alla vittima ogni mezzo secondo, per guidarla passo dopo passo fino alla pagina di raccolta dati.
- Richiesta di dati di pagamento completi: numero di carta, scadenza e CVV, informazioni che nessun ente pubblico chiede mai per il pagamento di una sanzione tramite un link ricevuto via email o PEC.
Parallelamente, nello stesso periodo il CERT-AgID ha censito anche campagne che sfruttano il nome di ACI con un meccanismo simile ma dedicato al bollo auto: un falso portale chiede prima il codice fiscale e la targa del veicolo per una presunta verifica, poi i dati anagrafici completi e infine il pagamento di una somma contenuta (pochi euro) richiedendo però i dati completi della carta, CVV incluso. ACI ha chiarito pubblicamente che il servizio ufficiale di calcolo e pagamento del bollo è disponibile solo tramite autenticazione SPID o CIE sul sito aci.it, e che l'ente non chiede mai dati di carta o CVV attraverso canali non ufficiali.
Nella sola settimana tra il 24 e il 30 ottobre 2026, secondo i dati diffusi dal CERT-AgID, le campagne a tema multe hanno sfruttato il nome di PagoPA in 14 casi, di SEND in 9 e di ACI in 2: un quadro che conferma come i truffatori stiano colpendo in parallelo più marchi istituzionali con lo stesso schema.
Cosa fare operativamente quando arriva un messaggio di questo tipo
La regola pratica da applicare in ufficio, soprattutto per chi si occupa di amministrazione e contabilità, è una sola: non cliccare mai sui link presenti in email o PEC che chiedono un pagamento, indipendentemente da quanto sembrino ufficiali. Il percorso corretto è aprire manualmente il browser e digitare l'indirizzo del portale ufficiale (pagopa.gov.it oppure aci.it), verificare lì l'eventuale pendenza e procedere al pagamento solo da quel canale. Nessun ente pubblico chiede dati completi di carta di pagamento o CVV per il pagamento di una multa o del bollo tramite un link ricevuto via email.
Vale anche la pena controllare con attenzione l'indirizzo che compare nella barra del browser prima di inserire qualsiasi dato: un dominio che termina in .ru, o che contiene varianti del nome ufficiale (come accaduto con i domini usati nelle campagne a tema ACI), è di per sé un segnale sufficiente per interrompere l'operazione.
Cosa deve controllare chi gestisce la posta aziendale
Per chi amministra la PEC e la posta elettronica dell'azienda, questo episodio indica alcune verifiche concrete da fare subito:
- verificare che i filtri antiphishing e antispam applicati alla casella PEC e alla posta ordinaria siano aggiornati e che il gestore PEC utilizzato riceva con continuità gli indicatori di compromissione distribuiti dal CERT-AgID alle pubbliche amministrazioni accreditate;
- segmentare chi in azienda può autorizzare un pagamento, evitando che una singola persona che riceve una PEC possa anche disporre un bonifico o inserire dati di una carta aziendale senza un secondo controllo;
- formare in modo specifico il personale amministrativo e contabile, che è il bersaglio tipico di questi messaggi: la formazione deve includere esempi reali come questo, non solo regole generiche sul phishing;
- diffondere internamente la regola che la provenienza da PEC non è, da sola, garanzia di autenticità, un concetto che fino a poco tempo fa non era scontato nemmeno per il personale più attento.
Perché conviene segnalare le comunicazioni sospette
Il CERT-AgID ha censito, dal 21 aprile 2025 al 27 ottobre 2026, complessivamente 1.874 campagne di phishing a tema multe che sfruttano i nomi di PagoPA e SEND, distribuendo alle pubbliche amministrazioni accreditate 14.279 indicatori di compromissione. Questi numeri crescono anche grazie alle segnalazioni di chi riceve i messaggi: ogni comunicazione sospetta inoltrata contribuisce ad ampliare le liste di blocco distribuite a livello nazionale, rendendo più difficile ai truffatori riutilizzare lo stesso dominio o la stessa casella compromessa contro altre aziende. Per segnalare un messaggio sospetto è sufficiente inoltrarlo, senza cliccare sui link contenuti, attraverso i canali di contatto indicati sul sito del CERT-AgID (cert-agid.gov.it); per il filone che sfrutta il nome ACI, le segnalazioni possono essere indirizzate anche ai canali ufficiali dell'ente.
Il ruolo di Hi-Keep
Hi-Keep supporta le PMI proprio su questo tipo di rischio concreto: verifica la configurazione dei filtri antiphishing su PEC e posta aziendale, aiuta a definire regole di separazione dei compiti tra chi riceve comunicazioni di pagamento e chi può autorizzarlo, e organizza sessioni di formazione mirate per il personale amministrativo basate su casi reali come quello descritto in questo articolo. Chi vuole una verifica puntuale della propria esposizione a questo tipo di truffa può rivolgersi a Hi-Keep per un controllo della configurazione attuale della posta aziendale.