Se hai ricevuto una Posta Elettronica Certificata (PEC) che ti sembra sospetta, la regola d’oro è: non cliccare su link e non scaricare allegati. Anche se la PEC è considerata un mezzo sicuro, i criminali informatici utilizzano tecniche di “PEC-to-PEC” phishing per rubare credenziali o infettare dispositivi con malware, sfruttando la naturale fiducia che gli utenti ripongono in questo strumento.
In sintesi
- Non interagire: Mai aprire link o scaricare file (spesso .zip o .pdf) da PEC sospette.
- Verifica il mittente: Controlla se l’indirizzo corrisponde a un contatto noto o a una pubblica amministrazione reale.
- Segnali di allarme: Errori grammaticali, urgenza eccessiva o richieste di pagamenti tramite link esterni.
- Azione immediata: Segnala come spam (se possibile) e cancella il messaggio dopo aver avvisato il tuo responsabile IT o il supporto del gestore.
Qual è il rischio
Il rischio principale è il Malware-Drip o il Phishing mirato. Poiché la PEC garantisce l’identità del mittente e l’integrità del messaggio, i cybercriminali cercano di hackerare account PEC reali per inviare migliaia di messaggi malevoli. Ricevere una PEC falsa può portare a:
- Installazione di Ransomware: Criptazione dei file aziendali o personali.
- Furto di identità digitale: Sottrazione di credenziali SPID, CIE o dati bancari.
- Compromissione della firma digitale: Accesso non autorizzato a strumenti di firma.
Come riconoscerla
Sebbene provenga da un indirizzo certificato, una PEC falsa presenta spesso queste anomalie:
- Oggetto generico o allarmistico: “Fattura scaduta”, “Notifica atto giudiziario”, “Esecuzione forzata”.
- Allegati insoliti: File compressi (.zip, .7z) o file con doppia estensione (es.
documento.pdf.exe). - Testo scarno o tradotto male: Spesso il corpo della mail è molto breve e invita a cliccare subito per “evitare sanzioni”.
- Incoerenza: Ricevi una comunicazione da un ente con cui non hai rapporti o per un servizio che non utilizzi.
Cosa fare subito
Se hai appena ricevuto il messaggio:
- Isola il messaggio: Non rispondere e non inoltrarlo (per evitare di diffondere il rischio).
- Verifica l’indirizzo: Se il mittente dichiara di essere un ente pubblico, controlla sul sito ufficiale dell’ente se l’indirizzo PEC corrisponde a quelli pubblicati nell’Indice dei domicili digitali (IPA o INI-PEC).
- Contatta il presunto mittente: Usa un canale diverso (telefono o sito web ufficiale) per chiedere conferma della spedizione.
Cosa evitare
- NON aprire gli allegati: Sono il veicolo principale per i virus.
- NON inserire password: Se un link ti rimanda a una pagina di login (es. finto portale Aruba, Poste o Agenzia delle Entrate), chiudi subito il browser.
- NON pagare: Le pubbliche amministrazioni non chiedono mai pagamenti diretti tramite link inseriti nel corpo di una PEC, ma utilizzano il sistema pagoPA.
Come proteggersi
- Aggiorna l’Antivirus: Molti software moderni analizzano anche il traffico PEC.
- Abilita l’MFA: Se il tuo gestore PEC lo permette, attiva l’autenticazione a due fattori per l’accesso alla webmail.
- Formazione: Se gestisci una PEC aziendale, istruisci il personale a diffidare delle comunicazioni non attese.
Casi particolari
- PEC da un contatto noto: Se ricevi una PEC sospetta da un fornitore abituale, è probabile che il suo account sia stato violato. Avvisalo immediatamente tramite via telefonica.
- Ricezione su mail ordinaria: Se ricevi una “notifica di PEC” sulla tua mail normale (Gmail, Outlook) con un link per leggere il messaggio, fai estrema attenzione: potrebbe essere un tentativo di phishing per rubare le credenziali della tua casella ordinaria.
Azioni immediate (Checklist)
- [ ] Identifica: Verifica se l’oggetto o il mittente sono sospetti.
- [ ] Blocca: Non cliccare su nulla.
- [ ] Segnala: Avvisa il reparto IT o il gestore del servizio PEC.
- [ ] Elimina: Rimuovi la mail definitivamente dal cestino dopo la segnalazione.
- [ ] Scansiona: Avvia una scansione completa del PC con un antivirus aggiornato.
FAQ – Domande Frequenti
La PEC non è sicura per definizione? La tecnologia PEC è sicura perché certifica l’invio e la ricezione, ma non può impedire a un criminale di utilizzare un account rubato o creato con documenti falsi per inviare contenuti malevoli.
Posso prendere un virus solo aprendo il messaggio? Raramente. Il rischio reale scatta quando si scarica l’allegato o si clicca su un link esterno. Tuttavia, visualizzare l’anteprima di alcuni allegati su sistemi non aggiornati può presentare vulnerabilità.
Cosa faccio se ho già cliccato sul link? Disconnetti il dispositivo dalla rete Wi-Fi/Ethernet, cambia le password dei tuoi account principali da un altro dispositivo sicuro e contatta un tecnico per una bonifica del sistema.
Giornalista e analista, scrive di economia italiana, innovazione e imprese. Appassionato di tecnologia e finanza, racconta il presente e il futuro delle aziende che fanno muovere il Paese.
