En Italie, une entreprise n'a pas seulement une adresse postale : elle a un « domicile numérique ». C'est une adresse de courrier électronique certifiée, la PEC (posta elettronica certificata), obligatoire, publique, et dont les messages ont la valeur d'une lettre recommandée avec accusé de réception. L'administration y envoie ses notifications, les fournisseurs leurs mises en demeure, les clients leurs réclamations. C'est commode, et c'est devenu un vecteur d'attaque.
Qu'est-ce que la PEC ?
Une messagerie dont chaque envoi est horodaté et accompagné de reçus d'envoi et de remise. Un message envoyé d'une boîte PEC à une autre « ha lo stesso valore legale di una tradizionale raccomandata con avviso di ricevimento », a la même valeur légale qu'un recommandé avec accusé de réception (AgID). Le pays comptait 16,2 millions de boîtes PEC actives fin 2024, contre 11,1 millions début 2020, qui ont échangé près de 2,9 milliards de messages dans l'année (AgID).
Les adresses PEC des entreprises et des professionnels sont publiques, réunies dans un annuaire national, INI-PEC, que chacun peut consulter (INI-PEC). Les particuliers qui le souhaitent peuvent, eux, déclarer un domicile numérique dans un autre annuaire, INAD, à titre volontaire (AgID).
La France a un équivalent moins répandu : la lettre recommandée électronique. Elle a les mêmes effets juridiques que le recommandé papier, à condition de passer par un prestataire qualifié au sens du règlement européen eIDAS, qualifié en France par l'ANSSI ; un destinataire professionnel n'a pas à donner son accord pour la recevoir, un particulier si (ministère de l'Économie). Mais aucune entreprise française n'est tenue de déclarer une adresse dédiée, et il n'existe pas d'annuaire public comparable à INI-PEC.
Qui doit en avoir une ?
Toutes les entreprises. L'obligation existe depuis 2008 pour les sociétés et depuis 2012 pour les entreprises individuelles ; un décret-loi de 2020 l'a rebaptisée « domicilio digitale » et a alourdi les sanctions (Camera di Commercio di Reggio Calabria). Depuis 2025, certains dirigeants doivent aussi déclarer au registre une adresse PEC personnelle, distincte de celle de la société : depuis un décret-loi d'octobre 2025, l'obligation vise l'administrateur unique, les administrateurs délégués ou, à défaut, le président du conseil d'administration des sociétés de capitaux (Camera di Commercio di Ferrara e Ravenna).
Une entreprise sans PEC valide s'expose à une amende, de 206 à 2 064 euros pour une société et de 30 à 1 548 euros pour une entreprise individuelle, et le registre lui attribue d'office un domicile numérique qui ne fonctionne qu'en réception, dans un espace en ligne propre à l'entrepreneur (Camera di Commercio di Firenze). La procédure reste appliquée : en juillet 2026, la chambre de commerce de Reggio de Calabre l'a engagée contre 2 463 entreprises, 2 005 entreprises individuelles et 458 sociétés (Camera di Commercio di Reggio Calabria).
Pourquoi la PEC attire-t-elle les escrocs ?
Parce qu'elle inspire confiance, et que les adresses sont publiques. Le centre d'alerte de l'administration numérique italienne, le CERT-AGID, a recensé en 2025 103 campagnes malveillantes passées par la PEC, en hausse d'environ 80 %, dont 77 d'hameçonnage, surtout pour voler des identifiants bancaires, et 26 de diffusion de logiciels malveillants ; il s'agissait surtout de boîtes légitimes compromises (CERT-AGID). Tous canaux confondus, les leurres de l'année étaient ceux du quotidien d'une entreprise : commandes, factures, avis de paiement, messages bancaires, avec en pièce jointe des archives compressées, des documents Office à macros ou des PDF contenant des liens (Cybersecurity360).
Le point essentiel est ailleurs. En septembre 2026, le CERT-AGID décrivait une campagne de fausses relances de factures impayées, aux objets changeants comme « Sollecito pagamento fattura scaduta », envoyées depuis de vraies boîtes PEC piratées : une archive ZIP contenait un fichier HTML qui, en plusieurs étapes, installait un logiciel de prise de contrôle à distance ou de vol de données. Le CERT-AGID rappelle la limite du système : « La presenza di una PEC certifica il processo di trasmissione e consegna del messaggio », la PEC certifie l'envoi et la remise du message, pas l'honnêteté de son expéditeur (CERT-AGID).
C'est la leçon la plus utile du cas italien : un canal certifié certifie le canal, pas le contenu. Un message qui arrive par PEC, par une messagerie professionnelle ou depuis l'adresse habituelle d'un fournisseur peut venir d'une boîte compromise.
Les nouvelles entreprises sont-elles visées ?
Oui, comme en France. Les chambres de commerce italiennes publient régulièrement des avertissements contre des courriers qui imitent leur nom ou leur logo, des bulletins de paiement préremplis, des inscriptions à des annuaires privés et de fausses PEC intitulées « Esazione diritto annuale », perception du droit annuel. Elles rappellent que ce droit est « l'unico importo che le imprese iscritte al Registro Imprese versano annualmente alla Camera di Commercio », le seul montant que les entreprises versent chaque année à la chambre, et qu'il se paie uniquement par le modèle F24 ou par PagoPA (Camera di Commercio Riviere di Liguria, Camera di Commercio di Sassari). L'autorité de la concurrence, l'AGCM, appelle ce procédé « il trucco del bollettino » et avertit que les entreprises tout juste immatriculées sont particulièrement exposées (AGCM).
Le parallèle avec les faux courriers reçus par les entreprises françaises après leur immatriculation est frappant (voir Après l'immatriculation, les faux courriers).
Et l'équivalent du Kbis ?
Le registre des entreprises italien délivre deux documents. La visura camerale reprend les informations de l'entreprise mais n'a pas valeur de certification ; le certificato, lui, est opposable aux tiers et vaut six mois. En ligne, une visura coûte de 3 à 5 euros selon la forme de l'entreprise, et le dirigeant obtient gratuitement celle de sa propre entreprise dans l'espace en ligne impresa italia, accessible avec son identité numérique (Registro Imprese). Il y retrouve aussi ses statuts et ses derniers bilans.
Les visure portent un QR code. On le scanne avec l'application gratuite R.I. QR Code, ou l'on saisit sur le site du registre le numéro de protocole et le code à six chiffres imprimé près du QR code, pour télécharger le document original archivé et le comparer à sa copie ; l'application signale un code qui ne provient pas d'un document officiel (Registro Imprese). Le principe est le même que le code de vérification du Kbis français (voir Kbis : comment repérer un faux).
Et l'identité numérique ?
L'Italie en a deux : SPID, fourni par des prestataires privés, et la carte d'identité électronique (CIE). En octobre 2025, le pays comptait 55 millions de CIE et 41 millions d'identités SPID ; le gouvernement parle d'accompagner « la transizione verso l'identità digitale unica », la transition vers une identité numérique unique (AgID). En attendant, les deux coexistent, et plusieurs fournisseurs de SPID le facturent désormais quelques euros par an : 6 euros à partir de la deuxième année chez Poste Italiane depuis janvier 2026 (Poste Italiane).
Que peut en retenir un entrepreneur français ?
Une adresse officielle n'est pas une garantie. La PEC est le canal le plus formel qui soit, et elle sert à envoyer des logiciels malveillants. Un e-mail venant de l'adresse habituelle d'un fournisseur peut, lui aussi, provenir d'une boîte piratée. Quand un message réclame un paiement urgent ou annonce un changement de coordonnées bancaires, vérifiez par un autre canal (voir Fausse facture, faux RIB).
Une archive ZIP ou un fichier HTML qui se présente comme une facture est un signal d'alerte. Une vraie facture est un PDF ou un fichier structuré, pas un programme ; en Italie, les factures entre entreprises passent d'ailleurs par la plateforme de l'administration fiscale (voir Italie : sept ans de facture électronique). Pour un PDF douteux, Analyser un PDF détecte dans votre navigateur, sans l'envoyer à un serveur, les mécanismes qu'utilisent les fichiers piégés : JavaScript, action à l'ouverture, lancement de programme, fichiers joints. Il signale la présence de liens et les compte, sans afficher leur adresse ; ce n'est pas un antivirus, et il n'ouvre ni les archives ZIP ni les fichiers HTML.
Vérifier un document à sa source. La visura italienne et le Kbis français ont chacun un code de vérification : c'est lui qu'il faut contrôler, pas l'apparence du document.
PDFKami n'envoie ni ne reçoit de PEC et ne vérifie pas les visure ; il sert à inspecter les PDF reçus sans les téléverser.
Lexique
PEC (posta elettronica certificata) : messagerie électronique certifiée italienne, dont les envois ont la valeur d'une lettre recommandée.
Domicilio digitale : adresse électronique légale d'une entreprise ou d'une personne en Italie, généralement une PEC.
INI-PEC : annuaire public des adresses PEC des entreprises et des professionnels italiens.
INAD : annuaire des domiciles numériques des particuliers qui en déclarent un, à titre volontaire.
CERT-AGID : centre d'alerte en sécurité informatique de l'agence italienne pour le numérique.
Visura camerale : extrait du registre des entreprises italien, sans valeur de certification, à la différence du certificato.
SPID : système public d'identité numérique italien, fourni par des prestataires agréés.
Inspecter un PDF reçu sans l'envoyer à un serveur : PDFKami, dans votre navigateur.