La PEC garantisce l'integrità e la prova di invio/ricezione, ma non è immune dal phishing, dal furto di credenziali e dall'uso fraudolento. Anzi: proprio la sua autorità percepita la rende un bersaglio privilegiato. Chi riceve una PEC abbassa la guardia, ed è esattamente quello che i cybercriminali sfruttano.
I rischi della PEC nel 2026
Phishing via PEC, furto di credenziali, intercettazione di comunicazioni legali, attacchi BEC (Business Email Compromise): il quadro delle minacce alla posta certificata si è aggravato in modo significativo. Secondo il Report CERT-AGID 2025, le campagne malevole che hanno sfruttato caselle PEC compromesse sono aumentate di circa l'80% rispetto all'anno precedente, con 103 eventi censiti. Di questi, 77 erano campagne di phishing mirate al furto di credenziali bancarie e 26 campagne di distribuzione malware.
Il vettore d'attacco più frequente rimane la posta elettronica. FormBook è risultato il malware più diffuso in Italia nel 2025, appartenente alla categoria degli infostealer (circa il 60% dei campioni analizzati dal CERT-AGID). Questi strumenti sottraggono silenziosamente credenziali, sessioni attive e dati sensibili prima che l'utente si accorga della compromissione. Un ulteriore 30% dei campioni rientra nella categoria dei RAT (Remote Access Trojan), spesso distribuiti tramite allegati apparentemente legittimi.
Aggravante non trascurabile: il 38% degli accessi non autorizzati a caselle PEC avviene per password deboli o riutilizzate (dato CERT-AGID 2025). Il problema non è tecnologico, ma comportamentale.
Misure di protezione concrete
Proteggere la PEC aziendale richiede un approccio a strati: autenticazione robusta, monitoraggio continuativo e policy di utilizzo chiare. Le misure fondamentali sono l'attivazione dell'autenticazione a due fattori (2FA/MFA) sull'account, l'uso di password univoche e complesse, il monitoraggio degli accessi con alert su sessioni anomale, la formazione specifica del personale, il backup periodico delle comunicazioni PEC (che hanno valore legale) e una policy interna di gestione degli accessi.
Non tutti i provider offrono lo stesso livello di protezione. La tabella seguente confronta i principali gestori PEC italiani accreditati AgID sulle funzionalità di sicurezza rilevanti:
| Provider | MFA/2FA | PEC europea REM | Monitoraggio AgID | Log accessi |
|---|---|---|---|---|
| Aruba PEC | Sì | In corso (2026) | Sì | Sì |
| InfoCert / Legalmail | Sì | In corso (2026) | Sì | Sì |
| Namirial | Sì | Già adeguato | Sì | Sì |
| Register.it PEC | Parziale | In corso | Sì | Limitato |
Per le aziende che gestiscono più caselle PEC, strumenti di monitoraggio centralizzato consentono di assegnare ruoli e livelli di autorizzazione differenziati, generare log certificabili e ricevere alert su comportamenti anomali — funzionalità utili anche ai fini della compliance GDPR e NIS2.
PEC e NIS2: gli obblighi del D.Lgs. 138/2024
Le comunicazioni PEC sono spesso critiche per l'operatività aziendale: notifiche legali, scambi con la PA, contratti. La loro compromissione può avere conseguenze dirette e documentabili, incluse responsabilità legali. La NIS2 — recepita in Italia con il D.Lgs. 138/2024 in vigore dal 16 ottobre 2024 — include esplicitamente la sicurezza delle comunicazioni tra le misure obbligatorie per le entità essenziali e importanti.
L'articolo 24 del D.Lgs. 138/2024 richiede di adottare misure che includono: politiche per l'uso della crittografia e la cifratura delle comunicazioni; autenticazione a più fattori (MFA) o autenticazione continua; comunicazioni vocali, video e testuali protette. In pratica: una casella PEC aziendale senza 2FA attivo, senza log degli accessi e senza policy di gestione documentata è una potenziale non-conformità NIS2. Dall'autunno 2026 l'ACN potrà avviare le verifiche ispettive.
Sul fronte della PEC europea, la transizione allo standard REM (Registered Electronic Mail) definito dal regolamento eIDAS 2.0 renderà obbligatoria l'identificazione forte del titolare (via SPID o CIE) e l'attivazione della 2FA per tutte le caselle che vorranno mantenere validità legale in ambito europeo. I principali gestori italiani stanno già procedendo all'adeguamento in accordo con AgID. Per una stima dei costi di compliance, vedi costi di adeguamento NIS2 e le sanzioni per la non conformità.