La PEC Non E' Sicura Come Pensi

Il Falso Mito della PEC Sicura

La PEC e' quella cosa che usiamo tutti per mandare raccomandate digitali. Ha valore legale, e' obbligatoria per professionisti e aziende, e soprattutto — cosi' dicono tutti — e' sicura.

Spoiler: non e' cosi'.

La sicurezza PEC e' uno dei falsi miti piu' pericolosi nel mondo della cybersecurity italiana. E proprio perche' e' un mito cosi' diffuso, diventa una porta d'ingresso perfetta per gli attaccanti.

Cos'e' la PEC e Cosa Certifica Davvero

La Posta Elettronica Certificata certifica una cosa sola: che il messaggio e' stato consegnato. Punto.

Non certifica che il mittente e' chi dice di essere. Non certifica che il contenuto e' sicuro. Non certifica che l'allegato non sia un ransomware.

E' come la raccomandata con ricevuta di ritorno: sai che e' arrivata, ma non sai se dentro c'era davvero quello che ti aspettavi.

I provider PEC in Italia (come Aruba, Register, Legalmail) offrono filtri antivirus di base. Ma "di base" vuol dire che bloccano le minacce note, quelle gia' catalogate. Le minacce nuove, quelle zero-day, quelle costruite apposta per i target italiani? Le lasciano passare.

Perche' la PEC E' un Target Perfetto

Pensa a come tratti una email PEC quando arriva nella tua casella.

La leggi con attenzione. La prendi sul serio. Probabilmente apri l'allegato senza troppi dubbi, perche' "e' una PEC, dovra' essere importante".

Gli attaccanti lo sanno benissimo. Ed e' esattamente per questo che la PEC e' diventata uno dei vettori di attacco piu' efficaci in Italia.

Quando abbassi la guardia, diventi vulnerabile. E con la PEC, le persone abbassano la guardia sempre.

Casi Reali: Truffe Via PEC in Italia

Non stiamo parlando di scenari teorici. Questi attacchi sono gia' avvenuti.

Falsa Agenzia delle Entrate

Una delle campagne piu' comuni simula comunicazioni ufficiali dell'Agenzia delle Entrate via PEC. L'email arriva con oggetto urgente — "Notifica di accertamento fiscale" — e un allegato PDF che in realta' e' un file malevolo.

L'utente apre l'allegato perche' e' una PEC, perche' sembra ufficiale. Risultato: il sistema viene compromesso in pochi secondi.

Falso Tribunale

Altro classico: email PEC apparentemente da un tribunale italiano, con intimazioni di pagamento o citazioni a comparire. L'allegato contiene malware o rimanda a pagine di phishing dove vengono rubate credenziali bancarie.

Chi riceverebbe una lettera dal tribunale senza aprirla subito? Nessuno. E gli attaccanti lo sfruttano.

Business Email Compromise via PEC

Il BEC non colpisce solo le email ordinarie. Anche le caselle PEC vengono compromesse e usate per inviare richieste fraudolente di bonifici. Quando arriva una richiesta da una PEC aziendale reale — non falsificata, ma proprio da quella casella — e' quasi impossibile distinguerla da una comunicazione legittima.

Come Vengono Attaccate le Caselle PEC

Ci sono tre scenari principali.

1. Phishing verso gli utenti PEC

L'attaccante invia un'email che finge di essere il provider PEC. Il messaggio dice che la casella e' bloccata, che c'e' un problema con il rinnovo, che bisogna verificare le credenziali.

L'utente clicca, inserisce user e password su un sito falso, e da quel momento le credenziali sono in mano all'attaccante.

2. Malware negli allegati PEC

Le PEC che ricevi possono contenere allegati infetti. Word con macro, PDF con exploit, file ZIP con eseguibili nascosti. I filtri base dei provider PEC non rilevano le varianti nuove.

3. Compromissione dell'account

Se le credenziali vengono rubate (via phishing o data breach), l'attaccante ha accesso completo alla casella PEC. Puo' leggere tutte le comunicazioni legali, rispondere fingendosi te, inviare richieste fraudolente a clienti e partner.

Cosa Manca ai Provider PEC

I provider PEC rispettano la normativa AgID. Ma non offrono:

• Sandboxing degli allegati: esecuzione in ambiente isolato per rilevare comportamenti malevoli
• Analisi semantica AI: identificazione di phishing costruito ad arte
• Protezione BEC: rilevamento di anomalie comportamentali
• URL rewriting: controllo dei link in tempo reale prima del click
• Threat intelligence in tempo reale: aggiornamenti su nuove campagne italiane

Non e' colpa loro: il mandato dei provider PEC e' la certificazione, non la sicurezza avanzata. Ma la sicurezza PEC devi costruirtela tu.

DMARC e SPF: Necessari ma Non Sufficienti

Hai configurato DMARC e SPF? Ottimo, e' il primo passo.

Ma anche con DMARC a p=reject, un attaccante puo':

• Usare un dominio simile al tuo (tipo agenzia-entrate-notifiche.it)
• Compromettere una casella PEC legittima (DMARC non blocca email da account reali)
• Inviarti malware negli allegati — DMARC non analizza il contenuto

Per verificare come stai messo, usa il nostro strumento gratuito di verifica DNS.

Come Proteggere Davvero la Tua PEC

La buona notizia: la soluzione esiste e non e' complicata.

• Affianca un filtro antispam professionale: un gateway di sicurezza email analizza tutto il traffico PEC prima che arrivi nella tua casella
• Configura DMARC, SPF e DKIM: se non l'hai ancora fatto, verificalo gratis
• Non aprire allegati PEC automaticamente: anche se arriva da un ente ufficiale, pensaci due secondi
• Verifica il mittente reale: un indirizzo .pec.it non e' automaticamente legittimo
• Usa password uniche e MFA: se il tuo provider offre autenticazione a due fattori, attivala
• Forma il tuo team: chi usa la PEC deve sapere che non e' uno scudo automatico

Non sei sicuro di quanto sei esposto? Fai il nostro quiz sulla sicurezza email — ci vogliono 5 minuti.

MailSniper Protegge Anche le Caselle PEC

MailSniper tratta la PEC come qualsiasi altra casella email: con la massima attenzione.

Tutto il traffico PEC in ingresso passa attraverso l'analisi avanzata prima di arrivare nella tua casella ufficiale:

• Ogni allegato viene eseguito in sandbox
• Ogni URL viene controllato in tempo reale
• Le email di phishing vengono bloccate anche se costruite per sembrare comunicazioni ufficiali
• Gli attacchi BEC vengono identificati analizzando anomalie comportamentali

Tieni la PEC per la certificazione legale e aggiungi il livello di sicurezza che i provider PEC non ti danno.

Checklist Rapida: La Tua PEC E' Protetta?

Rispondi a queste domande. Se dici "no" a piu' di due, hai un problema:

• Hai un filtro antispam dedicato che analizza anche il traffico PEC?
• I record SPF, DKIM e DMARC del tuo dominio sono configurati correttamente?
• I tuoi dipendenti sanno che una PEC puo' contenere phishing?
• Hai l'autenticazione a due fattori attiva sul tuo account PEC?
• Controlli regolarmente se ci sono regole di inoltro non autorizzate?
• Hai un piano di risposta in caso di compromissione della PEC?

Se hai risposto "no" a tre o piu' domande, la tua casella PEC e' un bersaglio facile. La buona notizia e' che puoi sistemare tutto in una giornata. Inizia dal quiz di sicurezza per capire dove sei piu' esposto.

La PEC Non E' Uno Scudo di Sicurezza

C'e' un aspetto che va oltre la tecnologia, ed e' il piu' pericoloso.

La PEC gode di una reputazione di strumento ufficiale e affidabile. Questa reputazione e' meritata per la certificazione della consegna. Ma le persone estendono questa fiducia anche al contenuto — e qui sta il problema.

"E' arrivato via PEC, quindi e' autentico." Questo pensiero e' sbagliato, e gli attaccanti lo sfruttano consapevolmente.

La PEC e' pec sicura come strumento legale. Non e' uno scudo di sicurezza informatica. Trattala con lo stesso livello di attenzione di qualsiasi altra email.