Phishing via PEC: come funziona la nuova truffa e cosa devono sapere le aziende italiane

Nel panorama sempre più complesso della sicurezza informatica, anche gli strumenti pensati per garantire l’affidabilità delle comunicazioni stanno diventando bersaglio di attacchi sempre più sofisticati. È il caso della Posta Elettronica Certificata (PEC), ormai diffusissima nel settore pubblico e tra i professionisti italiani, che è stata recentemente al centro di una campagna di phishing su larga scala, capace di eludere la fiducia attribuita a questo canale ufficiale.

PEC e phishing: un binomio inaspettato

Da sempre considerata una garanzia di autenticità e validità legale, la PEC rappresenta uno degli strumenti più importanti per le comunicazioni istituzionali, fiscali e aziendali. Tuttavia, proprio per la sua diffusione e per il livello di fiducia che ispira, è diventata anche un obiettivo privilegiato per i cybercriminali, che trovano sempre nuovi modi per amplificare le diverse tipologie di minacce informatiche. L’obiettivo è quasi sempre lo stesso: ottenere informazioni sensibili o deviare pagamenti verso conti bancari fraudolenti, sfruttando la truffa delle finte fatture elettroniche.

La tecnica della falsa fattura e del nuovo SdI

Uno degli schemi più efficaci scoperti negli ultimi mesi è quello che simula una comunicazione da parte di un fornitore, apparentemente inviata tramite PEC, che avvisa il destinatario del cambio dell’indirizzo del Sistema di Interscambio (SdI) per l’invio delle fatture elettroniche. Il messaggio può contenere una fattura falsa (spesso in formato .p7m), oppure un semplice testo con istruzioni dettagliate per aggiornare i dati di pagamento.

Le aziende, convinte dell’autenticità della comunicazione, inseriscono il nuovo indirizzo fraudolento nel proprio sistema di fatturazione e, inconsapevolmente, inviano dati e documenti a un canale controllato dagli attaccanti.

Secondo fonti ufficiali, diverse campagne di phishing sono attualmente in corso, con messaggi provenienti da indirizzi PEC compromessi o imitati con estrema precisione. In alcuni casi, le e-mail contengono anche sistemi di tracciamento nascosti, in grado di monitorare l’apertura del messaggio e raccogliere informazioni sulle attività della vittima.

Caratteristiche dei messaggi malevoli

Questi attacchi si distinguono per alcune caratteristiche tecniche ricorrenti:

• Oggetto del messaggio: spesso nella forma “Invio File XXXXXXXXXX”, dove le X sono cifre casuali.
• Presenza di riferimenti ad allegati firmati digitalmente che, però, risultano assenti o corrotti.
• Mittente: in apparenza legittimo, può essere un indirizzo PEC realmente esistente ma compromesso, appartenente a un ordine professionale o a una società nota.
• Comunicazioni clonate: in alcuni casi sono state copiate email ufficiali di enti pubblici per aumentare la credibilità della truffa.

L’evoluzione delle minacce: malware e tecniche avanzate

Oltre alla frode diretta, molte campagne via PEC veicolano malware complessi, come AsyncRat, Gootkit o DanaBot, che una volta installati sul sistema possono sottrarre credenziali, documenti e dati bancari. I cybercriminali utilizzano strumenti avanzati come il Domain Generation Algorithm (DGA) per aggirare i filtri di sicurezza e mantenere attivi i canali di comunicazione con i dispositivi infetti.

In passato, la PEC è stata anche utilizzata per diffondere ransomware come FTCODE, ma oggi l’attenzione sembra concentrarsi su attacchi meno vistosi ma più insidiosi, costruiti sulla manipolazione dell’identità e delle procedure amministrative.

Perché le aziende italiane devono preoccuparsi

L’uso della PEC è obbligatorio in molte procedure aziendali e fiscali in Italia. Questo rende il rischio di phishing via PEC particolarmente alto per:

• Studi professionali (commercialisti, avvocati, ingegneri);
• Piccole e medie imprese che gestiscono direttamente la fatturazione elettronica;
• Pubbliche amministrazioni e società partecipate.

Un attacco ben riuscito può portare alla perdita di dati sensibili, compromissione delle comunicazioni ufficiali e danni economici rilevanti.

Buone pratiche per difendersi

La prevenzione è l’arma più efficace contro questo tipo di minacce. Ecco alcune misure raccomandate dagli esperti:

1. Verificare sempre il mittente della PEC e non fidarsi solo del nome visualizzato, ma controllare il dominio e l’effettiva intestazione tecnica.
2. Non cliccare su link o aprire allegati se ci sono dubbi sull’autenticità del messaggio, anche se proviene da un indirizzo noto.
3. Contattare telefonicamente il fornitore o partner in caso di comunicazioni inattese riguardo cambi di coordinate bancarie o aggiornamenti dell’indirizzo SdI.
4. Formare il personale interno su questi rischi, soprattutto chi gestisce amministrazione, finanza e PEC.
5. Aggiornare gli antivirus e attivare soluzioni di protezione avanzata, comprese le VPN con filtro antiphishing.

Conclusioni

Il phishing via PEC dimostra che nessuno strumento è sicuro per definizione, nemmeno quelli istituzionali e regolamentati. L’adozione massiva della posta certificata nel sistema italiano, se non accompagnata da adeguata formazione e cultura della sicurezza, può trasformarsi in un punto debole.

Per le startup e le imprese digitali, è fondamentale conoscere e aggiornarsi continuamente sulle tecniche di attacco più recenti, perché la protezione dei dati e la resilienza informatica non sono solo responsabilità dei reparti IT, ma una priorità strategica per la sopravvivenza stessa del business.