Una PEC può contenere una truffa: cosa controllare prima di pagare

Redazione GRISK · 28 ottobre 2026

Una richiesta di pagamento arriva in ufficio, cita una violazione stradale e avverte che l’importo aumenterà se non si interviene subito. Il mittente usa una PEC. Per chi gestisce scadenze, fatture e mezzi aziendali, è una combinazione capace di far abbassare la guardia. Proprio quel passaggio — dalla credibilità del canale alla fiducia nella richiesta — merita un controllo in più.

Il 27 ottobre 2026 il CERT-AGID ha segnalato campagne di phishing osservate nell’ultima settimana: caselle PEC compromesse venivano usate per inviare false richieste a nome di PagoPA. Nei due casi descritti, i messaggi raggiungevano una casella ordinaria, con circa 340 indirizzi PEC in copia. La presunta multa era di 198 euro, destinati a diventare 268 in caso di ritardo. Il collegamento portava a un falso portale che chiedeva dati personali. [1]

Hardware Upgrade ha ripreso la segnalazione il 28 ottobre. Si tratta di un riscontro giornalistico della stessa analisi tecnica, non di una seconda indagine autonoma. Non sono documentati, nelle fonti qui considerate, il numero delle vittime o le perdite di queste specifiche campagne. [2]

Il controllo deve riguardare anche ciò che viene chiesto

Il CERT-AGID avverte che una provenienza PEC non rende automaticamente legittimo il contenuto. [1] Per un’impresa, la conseguenza operativa è precisa: l’indirizzo del mittente non dovrebbe bastare ad autorizzare un pagamento. Occorre collegare la richiesta a un fatto verificabile e a un soggetto che abbia effettivamente titolo a formularla.

Questo criterio si può applicare anche a fatture inattese, solleciti e variazioni delle coordinate bancarie: sono esempi di controlli aziendali suggeriti, non ulteriori episodi accertati nella campagna appena descritta. Il punto è evitare che chi riceve il messaggio debba decidere soltanto in base alla sua veste formale.

PagoPA precisa nel proprio centro assistenza che non invia direttamente richieste di pagamento via email e invita a verificare con l’ente creditore. Ciò non significa che ogni comunicazione di un ente relativa a un pagamento attraverso pagoPA sia falsa: va verificata la singola richiesta, senza affidarsi al marchio mostrato nel messaggio. [3]

Una verifica breve, ma separata dal messaggio

Per l’amministrazione aziendale è utile adottare una sequenza semplice, con un responsabile riconoscibile per ogni passaggio.

Prima, ricostruire il motivo del pagamento. Se si parla di un veicolo, confrontare targa, periodo e utilizzatore con i dati interni. Se si tratta di una fornitura, recuperare ordine e referente. Una corrispondenza plausibile consente di proseguire la verifica; non sostituisce la conferma dell’ente o della controparte.

Poi, aprire un canale indipendente. Accedere al sito ufficiale dell’ente da un indirizzo già conosciuto o cercato separatamente, senza passare dal pulsante della comunicazione. È la precauzione raccomandata anche da PagoPA. [3] Se occorre telefonare, usare un recapito verificato altrove e annotare quale ufficio ha risposto.

Infine, lasciare traccia dell’autorizzazione. Una breve nota dovrebbe indicare chi ha verificato la richiesta, attraverso quale canale e con quale esito. Per le anomalie, è opportuno prevedere un secondo controllo prima del pagamento: soprattutto quando viene chiesto di derogare alla procedura ordinaria per una presunta urgenza.

Sospendere il pagamento per verificarlo non significa ignorare una possibile scadenza reale. La richiesta va presa in carico tempestivamente, assegnando il controllo a qualcuno. Lasciarla senza responsabile espone al rischio opposto: accorgersi troppo tardi che era autentica.

Se qualcuno ha già interagito

La prima informazione da raccogliere è che cosa è successo: sola apertura del messaggio, visita al sito, inserimento di dati oppure pagamento. Sono situazioni diverse, da descrivere con precisione a chi presta assistenza, evitando ricostruzioni affrettate o interventi improvvisati sui dispositivi.

Come misura organizzativa, conviene conservare il messaggio originale, gli eventuali allegati, gli orari e le ricevute, limitandone la circolazione alle persone incaricate. Se sono coinvolti dati bancari o denaro, contattare subito la banca attraverso i suoi canali ufficiali e rivolgersi alle autorità competenti. PagoPA consente di segnalare i messaggi sospetti a truffe@pagopa.it, precisando che tale segnalazione non sostituisce il contatto con la banca né la denuncia. [4]

La misura più utile da introdurre oggi è una regola comprensibile a tutti: una richiesta inattesa deve avere una verifica documentata prima dell’autorizzazione, anche quando arriva attraverso un canale abitualmente considerato affidabile.

GRISK può supportare l’impresa nella verifica delle controparti e nella ricostruzione dei collegamenti societari e reputazionali rilevanti quando una richiesta sospetta coinvolge rapporti commerciali.