En Italia, una empresa no tiene solo una dirección postal: tiene un «domicilio digital» (domicilio digitale). Es una dirección de correo electrónico certificado, la PEC (posta elettronica certificata), obligatoria y pública, cuyos mensajes tienen el valor de una carta certificada con acuse de recibo. La Administración envía allí sus notificaciones, los proveedores sus requerimientos de pago y los clientes sus reclamaciones. Es cómodo, y se ha convertido en una vía de ataque.
¿Qué es la PEC?
Un servicio de correo en el que cada envío lleva sello de tiempo y va acompañado de justificantes de envío y de entrega. Un mensaje enviado de un buzón PEC a otro «ha lo stesso valore legale di una tradizionale raccomandata con avviso di ricevimento»: tiene el mismo valor legal que una carta certificada con acuse de recibo (AgID). El país contaba con 16,2 millones de buzones PEC activos a finales de 2024, frente a 11,1 millones a principios de 2020, que intercambiaron casi 2.900 millones de mensajes en el año (AgID).
Las direcciones PEC de las empresas y los profesionales son públicas y figuran en un directorio nacional, INI-PEC, que cualquiera puede consultar (INI-PEC). Los particulares que lo deseen pueden declarar, de forma voluntaria, un domicilio digital en otro directorio, INAD (AgID).
Francia tiene un equivalente menos extendido: la lettre recommandée électronique, la carta certificada electrónica. Tiene los mismos efectos jurídicos que la carta certificada en papel, siempre que se envíe a través de un prestador cualificado según el reglamento europeo eIDAS, cualificación que en Francia otorga la ANSSI, la agencia nacional de ciberseguridad; un destinatario profesional no tiene que dar su consentimiento para recibirla, un particular sí (Ministerio de Economía francés). Pero ninguna empresa francesa está obligada a declarar una dirección específica, y no existe un directorio público comparable a INI-PEC.
¿Quién debe tenerla?
Todas las empresas. La obligación existe desde 2008 para las sociedades y desde 2012 para los empresarios individuales; un decreto-ley de 2020 la rebautizó como «domicilio digitale» y endureció las sanciones (Camera di Commercio di Reggio Calabria). Desde 2025, algunos administradores deben declarar además en el registro una dirección PEC personal, distinta de la de la sociedad: desde un decreto-ley de octubre de 2025, la obligación afecta al administrador único, a los consejeros delegados o, en su defecto, al presidente del consejo de administración de las sociedades de capital (Camera di Commercio di Ferrara e Ravenna).
Una empresa sin PEC válida se expone a una multa de 206 a 2.064 euros si es una sociedad y de 30 a 1.548 euros si es un empresario individual, y el registro le asigna de oficio un domicilio digital que solo sirve para recibir, en un espacio en línea propio del empresario (Camera di Commercio di Firenze). El procedimiento se sigue aplicando: en julio de 2026, la cámara de comercio de Reggio Calabria lo abrió contra 2.463 empresas, 2.005 empresarios individuales y 458 sociedades (Camera di Commercio di Reggio Calabria).
¿Por qué la PEC atrae a los estafadores?
Porque inspira confianza y las direcciones son públicas. El centro de alerta de la agencia italiana para lo digital, el CERT-AGID, registró en 2025 103 campañas maliciosas enviadas por PEC, un aumento de alrededor del 80 %: 77 de phishing, sobre todo para robar credenciales bancarias, y 26 de difusión de malware; la mayoría procedían de buzones legítimos comprometidos (CERT-AGID). Sumando todos los canales, los cebos del año fueron los del día a día de una empresa: pedidos, facturas, avisos de pago, mensajes bancarios, con archivos comprimidos, documentos de Office con macros o PDF con enlaces como adjuntos (Cybersecurity360).
Lo esencial está en otra parte. En septiembre de 2026, el CERT-AGID describió una campaña de falsas reclamaciones de facturas impagadas, con asuntos cambiantes como «Sollecito pagamento fattura scaduta» (reclamación de pago de factura vencida), enviadas desde buzones PEC auténticos pirateados: un archivo ZIP contenía un fichero HTML que, en varias fases, instalaba un programa de control remoto o de robo de datos. El CERT-AGID recuerda el límite del sistema: «La presenza di una PEC certifica il processo di trasmissione e consegna del messaggio». La PEC certifica el envío y la entrega del mensaje, no la honradez de quien lo envía (CERT-AGID).
Es la lección más útil del caso italiano: un canal certificado certifica el canal, no el contenido. Un mensaje que llega por PEC, por un correo profesional o desde la dirección habitual de un proveedor puede venir de un buzón comprometido.
¿Están en el punto de mira las empresas recién creadas?
Sí, igual que en Francia. Las cámaras de comercio italianas publican con regularidad avisos contra cartas que imitan su nombre o su logotipo, boletines de pago ya rellenados, inscripciones en directorios privados y falsas PEC con el asunto «Esazione diritto annuale» (cobro del derecho anual). Recuerdan que ese derecho es «l'unico importo che le imprese iscritte al Registro Imprese versano annualmente alla Camera di Commercio», el único importe que las empresas inscritas pagan cada año a la cámara, y que solo se abona con el modelo F24 o a través de PagoPA, la plataforma pública de pagos (Camera di Commercio Riviere di Liguria, Camera di Commercio di Sassari). La autoridad de la competencia, la AGCM, llama a esta artimaña «il trucco del bollettino» (el truco del boletín de pago) y advierte de que las empresas recién inscritas están especialmente expuestas (AGCM).
El paralelismo con las cartas falsas que reciben las empresas francesas tras su inscripción es llamativo (ver Las estafas tras registrar una empresa en Francia).
¿Y el equivalente del Kbis?
Donde Francia tiene el Kbis, el extracto oficial de su registro mercantil, el registro de empresas italiano expide dos documentos. La visura camerale recoge los datos de la empresa pero no tiene valor de certificación; el certificato, en cambio, es oponible a terceros y vale seis meses. En línea, una visura cuesta de 3 a 5 euros según la forma de la empresa, y el administrador obtiene gratis la de su propia empresa en el espacio en línea impresa italia, al que accede con su identidad digital (Registro Imprese). Allí encuentra también sus estatutos y sus últimas cuentas anuales.
Las visure llevan un código QR. Se escanea con la aplicación gratuita R.I. QR Code, o se introducen en la web del registro el número de protocolo y el código de seis cifras impreso junto al código QR, para descargar el documento original archivado y compararlo con la copia; la aplicación avisa si un código no procede de un documento oficial (Registro Imprese). El principio es el mismo que el del código de verificación del Kbis francés (ver Kbis: quién puede pedirlo y cómo detectar uno falso).
¿Y la identidad digital?
Italia tiene dos: SPID, que ofrecen prestadores privados, y el documento de identidad electrónico (CIE). En octubre de 2025, el país contaba con 55 millones de CIE y 41 millones de identidades SPID; el Gobierno habla de acompañar «la transizione verso l'identità digitale unica», la transición hacia una identidad digital única (AgID). Mientras tanto, ambas conviven, y varios proveedores de SPID cobran ya unos euros al año por ella: 6 euros a partir del segundo año en Poste Italiane desde enero de 2026 (Poste Italiane).
¿Qué puede sacar de esto un emprendedor en Francia?
Una dirección oficial no es una garantía. La PEC es el canal más formal que existe, y sirve para enviar malware. Un correo que llega desde la dirección habitual de un proveedor también puede proceder de un buzón pirateado. Cuando un mensaje exige un pago urgente o anuncia un cambio de datos bancarios, compruébalo por otro canal (ver Factura PDF falsificada, IBAN falso).
Un archivo ZIP o un fichero HTML que se presenta como factura es una señal de alarma. Una factura de verdad es un PDF o un archivo estructurado, no un programa; en Italia, además, las facturas entre empresas pasan por la plataforma de la Administración tributaria (ver Italia: siete años de factura electrónica). Para un PDF dudoso, Analizar un PDF detecta en tu navegador, sin enviarlo a ningún servidor, los mecanismos que usan los archivos trampa: JavaScript, acción al abrirlo, ejecución de programas, archivos adjuntos. Señala la presencia de enlaces y los cuenta, sin mostrar su dirección; no es un antivirus, y no abre archivos ZIP ni ficheros HTML.
Comprobar un documento en su origen. La visura italiana y el Kbis francés tienen cada uno un código de verificación: eso es lo que hay que comprobar, no el aspecto del documento.
PDFKami no envía ni recibe PEC y no verifica visure; sirve para inspeccionar los PDF que recibes sin subirlos.
Glosario
PEC (posta elettronica certificata): correo electrónico certificado italiano, cuyos envíos tienen el valor de una carta certificada.
Domicilio digitale: dirección electrónica legal de una empresa o una persona en Italia, normalmente una PEC.
INI-PEC: directorio público de las direcciones PEC de las empresas y los profesionales italianos.
INAD: directorio de los domicilios digitales de los particulares que deciden declarar uno, de forma voluntaria.
CERT-AGID: centro de alerta de seguridad informática de la agencia italiana para lo digital.
Visura camerale: extracto del registro de empresas italiano, sin valor de certificación, a diferencia del certificato.
SPID: sistema público de identidad digital italiano, ofrecido por prestadores autorizados.
Inspecciona un PDF recibido sin enviarlo a ningún servidor: PDFKami, en tu navegador.