Arriva una PEC. Oggetto: Fattura Elettronica. Il mittente è una casella di posta certificata, quindi il primo istinto è fidarsi — la PEC è il canale ufficiale su cui ogni partita IVA riceve documenti fiscali ogni giorno. Ed è proprio questa fiducia il bersaglio. Il CERT-AGID, il CERT della Pubblica Amministrazione che fa capo all’Agenzia per la Cybersicurezza Nazionale, ha diffuso un avviso su una campagna di phishing che viaggia via PEC usando caselle realmente compromesse per recapitare finte fatture elettroniche. Qui non c’è una vulnerabilità da correggere: c’è un canale di cui ti fidi che viene usato contro di te.
Come funziona l’inganno
Il meccanismo è costruito per superare i controlli, sia quelli automatici sia quelli dell’occhio. La PEC arriva da una casella compromessa, non falsificata: per i filtri antispam è un mittente autentico, e per chi la riceve sembra a tutti gli effetti una comunicazione legittima. In allegato c’è un archivio compresso (un file ZIP) che contiene una pagina HTML a tema “Fattura Elettronica”. Aperta, mostra un’interfaccia curata: un riquadro centrale, il titolo, un breve testo descrittivo e un pulsante “Scarica Fattura”.
Il trucco velenoso è tutto in quel pulsante. Il link malevolo non è visibile: compare solo passando il mouse sopra il bottone. Chi ha imparato la buona abitudine di “controllare sempre l’URL prima di cliccare” viene aggirato, perché l’indirizzo vero resta nascosto dietro un’etichetta rassicurante. È un attacco pensato per battere anche l’utente prudente.
1) Arriva da una casella PEC compromessa, non contraffatta: per i filtri è un mittente vero. 2) L'allegato è un archivio compresso con dentro una pagina HTML, non un semplice PDF. 3) Il pulsante 'Scarica Fattura' nasconde il link malevolo, che appare solo al passaggio del mouse: il controllo visivo dell'URL non basta più.
Il fenomeno non è un caso isolato. Sempre secondo il CERT-AGID, da gennaio 2026 sono stati gestiti oltre 650 eventi legati a caselle PEC abusate o registrate per soli fini illeciti: la posta certificata è diventata un vettore d’attacco stabile, non un’eccezione.
Casella per casella compromessa o creata apposta per truffare, monitorate dal CERT-AGID da gennaio 2026. La PEC non è più un canale 'sicuro per definizione': va trattata con la stessa prudenza di una email normale.
Fonte: CERT-AGID — 2026
La difesa è una regola, non un software
La forza di questa truffa — colpire la fiducia nella PEC — è anche il suo punto debole: si neutralizza con una consegna al personale, senza spendere un euro. La contromisura indicata dallo stesso CERT-AGID è netta: non aprire allegati compressi che contengono file HTML o altri file attivi, anche se la PEC sembra attendibile. Una fattura elettronica vera non ha bisogno di un file HTML dentro uno ZIP, né di un pulsante che rimanda a un sito esterno per “scaricarla”.
Da qui, tre mosse pratiche da mettere per iscritto per chi apre la posta aziendale. La prima: verificare la coerenza tra ciò che il messaggio dichiara e l’estensione del file. Se l’oggetto parla di fattura ma l’allegato è un archivio con dentro una pagina web, è un campanello d’allarme, non un dettaglio. La seconda: la fattura elettronica reale si consulta nei canali ufficiali — il cassetto fiscale, il portale Fatture e Corrispettivi dell’Agenzia delle Entrate o il proprio gestionale — non cliccando un pulsante dentro un allegato. Nel dubbio, si controlla lì, non nella PEC. La terza: nel dubbio non si clicca, si segnala, a un referente o a una casella condivisa, prima di agire.
In breve
Il CERT-AGID segnala finte fatture elettroniche via PEC, spedite da caselle realmente compromesse: superano i filtri perché il mittente è autentico e ingannano l’occhio perché il link malevolo si nasconde nel pulsante “Scarica Fattura”, visibile solo al passaggio del mouse. Con oltre 650 eventi di abuso di PEC gestiti nel 2026, la posta certificata va trattata come qualsiasi altra email. Per una PMI la difesa non è un acquisto ma una regola condivisa: niente allegati compressi con file HTML, la fattura vera si guarda nei canali ufficiali e nel dubbio si segnala invece di cliccare. Più un backup testato, per non dipendere mai da un solo clic andato storto.