In Italia un'impresa non ha soltanto un indirizzo postale: ha un domicilio digitale. È la PEC, una casella di posta elettronica certificata obbligatoria, pubblica, i cui messaggi valgono come una raccomandata con avviso di ricevimento. La pubblica amministrazione ci invia le sue notifiche, i fornitori le diffide, i clienti i reclami. Per chi la guarda dalla Francia è una singolarità: comoda, e diventata un vettore d'attacco.
Che cos'è la PEC?
Un servizio di posta in cui ogni invio è marcato temporalmente e accompagnato da ricevute di accettazione e di consegna. Un messaggio inviato da una casella PEC a un'altra «ha lo stesso valore legale di una tradizionale raccomandata con avviso di ricevimento» (AgID). A fine 2024 le caselle PEC attive erano 16,2 milioni, contro 11,1 milioni a inizio 2020, e nell'anno si sono scambiate quasi 2,9 miliardi di messaggi (AgID).
Gli indirizzi PEC di imprese e professionisti sono pubblici, raccolti nell'elenco nazionale INI-PEC, consultabile da chiunque (INI-PEC). I privati che lo desiderano possono invece eleggere un domicilio digitale in un altro elenco, INAD, su base volontaria (AgID).
La Francia ha un equivalente meno diffuso: la lettre recommandée électronique, la raccomandata elettronica. Ha gli stessi effetti giuridici della raccomandata cartacea, a condizione di passare per un prestatore qualificato ai sensi del regolamento europeo eIDAS, qualificato in Francia dall'ANSSI, l'agenzia nazionale per la sicurezza informatica; un destinatario professionale non deve dare il proprio consenso per riceverla, un privato sì (ministero dell'Economia francese). Ma nessuna impresa francese è tenuta a dichiarare un indirizzo dedicato, e non esiste un elenco pubblico paragonabile a INI-PEC.
Chi deve averne una?
Tutte le imprese. L'obbligo vale dal 2008 per le società e dal 2012 per le imprese individuali; un decreto-legge del 2020 l'ha ribattezzato «domicilio digitale» e ha inasprito le sanzioni (Camera di Commercio di Reggio Calabria). Dal 2025 alcuni amministratori devono inoltre iscrivere nel registro un proprio indirizzo PEC personale, distinto da quello della società: con un decreto-legge dell'ottobre 2025, l'obbligo riguarda l'amministratore unico, gli amministratori delegati o, in mancanza, il presidente del consiglio di amministrazione delle società di capitali (Camera di Commercio di Ferrara e Ravenna).
Un'impresa senza una PEC valida rischia una sanzione da 206 a 2.064 euro se è una società, da 30 a 1.548 euro se è un'impresa individuale, e il registro le assegna d'ufficio un domicilio digitale che funziona solo in ricezione, in un'area online riservata all'imprenditore (Camera di Commercio di Firenze). La procedura è tuttora applicata: nel luglio 2026 la Camera di Commercio di Reggio Calabria l'ha avviata nei confronti di 2.463 imprese, 2.005 individuali e 458 società (Camera di Commercio di Reggio Calabria).
Perché la PEC attira i truffatori?
Perché ispira fiducia, e gli indirizzi sono pubblici. Il CERT-AGID ha censito nel 2025 103 campagne malevole veicolate via PEC, in aumento di circa l'80%: 77 di phishing, soprattutto per rubare credenziali bancarie, e 26 di diffusione di malware; si trattava per lo più di caselle legittime compromesse (CERT-AGID). Su tutti i canali, le esche dell'anno erano quelle della quotidianità di un'impresa: ordini, fatture, avvisi di pagamento, comunicazioni bancarie, con in allegato archivi compressi, documenti Office con macro o PDF contenenti link (Cybersecurity360).
Il punto essenziale è un altro. Nel settembre 2026 il CERT-AGID ha descritto una campagna di falsi solleciti di fatture non pagate, con oggetti variabili come «Sollecito pagamento fattura scaduta», inviati da vere caselle PEC violate: un archivio ZIP conteneva un file HTML che, in più fasi, installava un software di controllo remoto o di furto di dati. Il CERT-AGID ricorda il limite del sistema: «La presenza di una PEC certifica il processo di trasmissione e consegna del messaggio», non l'onestà di chi lo invia (CERT-AGID).
È la lezione più utile del caso italiano, anche vista dalla Francia: un canale certificato certifica il canale, non il contenuto. Un messaggio che arriva via PEC, da una casella aziendale o dall'indirizzo abituale di un fornitore può provenire da una casella compromessa.
Le nuove imprese sono prese di mira?
Sì, come in Francia. Le Camere di Commercio pubblicano regolarmente avvisi contro lettere che imitano il loro nome o logo, bollettini di pagamento precompilati, iscrizioni a elenchi privati e false PEC intitolate «Esazione diritto annuale». Ricordano che il diritto annuale è «l'unico importo che le imprese iscritte al Registro Imprese versano annualmente alla Camera di Commercio», e che si paga solo con il modello F24 o tramite PagoPA (Camera di Commercio Riviere di Liguria, Camera di Commercio di Sassari). L'AGCM chiama questo espediente «il trucco del bollettino» e avverte che le imprese appena iscritte sono particolarmente esposte (AGCM).
Il parallelo con le false lettere che ricevono le imprese francesi dopo l'iscrizione è impressionante (vedi Dopo l'iscrizione, le false lettere).
E l'equivalente del Kbis?
Il Registro delle Imprese rilascia due documenti, dove la Francia ha l'estratto Kbis. La visura camerale riporta le informazioni dell'impresa ma non ha valore di certificazione; il certificato, invece, è opponibile ai terzi e vale sei mesi. Online una visura costa da 3 a 5 euro a seconda della forma dell'impresa, e l'imprenditore ottiene gratis quella della propria impresa nell'area online impresa italia, a cui accede con la propria identità digitale (Registro Imprese). Lì trova anche lo statuto e gli ultimi bilanci.
Le visure riportano un QR code. Lo si scansiona con l'app gratuita R.I. QR Code, oppure si inseriscono sul sito del registro il numero di protocollo e il codice a sei cifre stampato accanto al QR code, per scaricare il documento originale archiviato e confrontarlo con la propria copia; l'app segnala un codice che non proviene da un documento ufficiale (Registro Imprese). Il principio è lo stesso del codice di verifica del Kbis francese (vedi Kbis: come riconoscere un falso).
E l'identità digitale?
L'Italia ne ha due: SPID, fornito da gestori privati, e la carta d'identità elettronica (CIE). Nell'ottobre 2025 il Paese contava 55 milioni di CIE e 41 milioni di identità SPID; il governo parla di accompagnare «la transizione verso l'identità digitale unica» (AgID). Nel frattempo le due convivono, e diversi gestori SPID ora lo fanno pagare qualche euro l'anno: 6 euro dal secondo anno con Poste Italiane da gennaio 2026 (Poste Italiane).
Che cosa ne può trarre un imprenditore in Francia?
Un indirizzo ufficiale non è una garanzia. La PEC è il canale più formale che ci sia, e serve a recapitare malware. Anche un'e-mail che arriva dall'indirizzo abituale di un fornitore può provenire da una casella violata. Quando un messaggio chiede un pagamento urgente o annuncia un cambio di coordinate bancarie, verifica attraverso un altro canale (vedi Fattura falsa, IBAN falso).
Un archivio ZIP o un file HTML che si presenta come fattura è un campanello d'allarme. Una vera fattura è un PDF o un file strutturato, non un programma; in Italia, del resto, le fatture tra imprese passano dal Sistema di Interscambio dell'Agenzia delle Entrate (vedi Italia: sette anni di fattura elettronica). Per un PDF dubbio, Analizzare un PDF rileva nel tuo browser, senza inviarlo a un server, i meccanismi usati dai file trappola: JavaScript, azione all'apertura, avvio di un programma, file allegati. Segnala la presenza di link e li conta, senza mostrarne l'indirizzo; non è un antivirus, e non apre né archivi ZIP né file HTML.
Verificare un documento alla fonte. La visura italiana e il Kbis francese hanno ciascuno un codice di verifica: è quello che va controllato, non l'aspetto del documento.
PDFKami non invia né riceve PEC e non verifica le visure; serve a esaminare i PDF ricevuti senza caricarli online.
Glossario
PEC (posta elettronica certificata): posta elettronica i cui invii hanno il valore di una raccomandata con avviso di ricevimento.
Domicilio digitale: indirizzo elettronico legale di un'impresa o di una persona in Italia, di norma una PEC.
INI-PEC: elenco pubblico degli indirizzi PEC di imprese e professionisti.
INAD: elenco dei domicili digitali dei privati che scelgono di eleggerne uno.
CERT-AGID: struttura di allerta per la sicurezza informatica dell'Agenzia per l'Italia Digitale.
Visura camerale: estratto del Registro delle Imprese, senza valore di certificazione, a differenza del certificato.
SPID: Sistema Pubblico di Identità Digitale, fornito da gestori accreditati.
Esaminare un PDF ricevuto senza inviarlo a un server: PDFKami, nel tuo browser.