Le finte fatture inviate via PEC possono nascondere link e allegati malevoli, capaci di installare virus o sottrarre dati. Riconoscere i segnali sospetti, verificare i messaggi e sapere come reagire dopo un’apertura accidentale aiuta a limitare i rischi.
Il CERT-AgID, la squadra di risposta agli incidenti informatici dell’Agenzia per l’Italia Digitale, ha segnalato una campagna di finte fatture inviate anche tramite PEC. Gli allegati e i collegamenti contenuti nei messaggi sono progettati per sottrarre credenziali o installare software dannoso. Le comunicazioni imitano quelle dell’Agenzia delle Entrate o del Sistema di Interscambio (SdI) e fanno leva sulla fiducia che imprese e professionisti ripongono nella posta certificata.
La PEC certifica l’invio e la consegna del messaggio secondo le regole del servizio. Una casella certificata può essere stata compromessa oppure creata per rendere più credibile la truffa: per questo è necessario controllare il mittente insieme alla fattura.
Come funzionano le finte fatture via PEC
Le email riprendono formule amministrative familiari, come «Invio File», e notifiche che segnalano un pagamento non registrato o chiedono di aggiornare i dati fiscali. Il destinatario viene invitato a consultare una fattura, di solito tramite un archivio compresso o un link esterno. I messaggi possono arrivare sulla posta ordinaria oppure sulla PEC. Sono scritti in italiano o in inglese e riprendono il linguaggio dello SdI.
In alcuni casi, nell’archivio è presente un file HTML. Quando viene aperto, mostra un pulsante che promette di scaricare il documento fiscale, ma porta a una pagina fraudolenta. La vittima può essere indotta a inserire la password o altri dati personali; il percorso può anche avviare il download di malware sul computer. Aprire l’allegato può quindi esporre a un furto di credenziali o all’infezione del dispositivo.
La truffa diventa più insidiosa quando vengono compromesse caselle PEC aziendali. Il messaggio può provenire da un indirizzo che sembra coerente e appartenere a un’impresa reale, mentre l’account è stato preso sotto il controllo di altri. Anche il nome visualizzato può essere imitato. Il rischio riguarda in particolare imprese, commercianti e liberi professionisti che gestiscono molte fatture e ricevono abitualmente notifiche amministrative.
Controlli prima di aprire allegati e link
Una fattura inattesa, un sollecito urgente o una richiesta di credenziali richiedono attenzione, anche quando arrivano via PEC. Conviene esaminare l’indirizzo completo del mittente e confrontare la denominazione e la partita IVA indicate nel documento con quelle del fornitore conosciuto. Incongruenze, errori o riferimenti insoliti sono segnali per fermarsi e non procedere.
Per le notifiche PEC, lo SdI usa indirizzi nel formato sdiNN@pec.fatturapa.it, dove «NN» è sostituito da due cifre. Il formato è un riferimento utile per valutare il mittente; anche gli account di terzi, però, possono essere violati. Meglio non aprire archivi o documenti HTML inattesi e non seguire i collegamenti del messaggio per scaricare la fattura.
Per controllare se il documento esiste, si può accedere autonomamente all’area riservata del sito ufficiale dell’Agenzia delle Entrate e consultare lì le fatture elettroniche. Se la mail segnala un pagamento o un importo dovuto a un fornitore abituale, la conferma va richiesta usando un numero di telefono già registrato nei propri contatti. Non bisogna ricorrere ai recapiti o ai numeri indicati nel messaggio sospetto.
L’Agenzia delle Entrate ha dichiarato la propria estraneità a queste comunicazioni fraudolente. È quindi opportuno controllare l’indirizzo del mittente, verificare la partita IVA e la relazione commerciale e cercare il documento nel canale ufficiale.
Cosa fare dopo un’apertura accidentale
Se è stato aperto un allegato o sono state inserite credenziali, bisogna intervenire subito e interrompere l’uso del dispositivo per accedere ai servizi aziendali. Si può procedere così:
- Disconnettere il computer dalla rete, per limitare eventuali comunicazioni o propagazioni del software malevolo.
- Avvisare il referente IT o il tecnico che gestisce i sistemi, specificando quale file è stato aperto e quali dati sono stati inseriti.
- Cambiare le password degli account coinvolti da un dispositivo sicuro e controllare la presenza di accessi sospetti.
- Conservare il messaggio e l’allegato per la valutazione tecnica; se necessario, rivolgersi alle autorità competenti per la sicurezza informatica.
Per un piccolo studio o un’impresa, il controllo può partire da una fattura inattesa: si esaminano il mittente e la partita IVA, senza usare link o allegati per verificarla, e si consulta direttamente l’area riservata dell’Agenzia delle Entrate. Per chiedere conferma al fornitore, si usano recapiti già noti. Se il file è stato eseguito, il dispositivo va scollegato dalla rete e occorre avvisare subito il referente IT. La verifica al di fuori della casella PEC aiuta a proteggere i dati aziendali.
