La tua società è appena stata iscritta. Una settimana dopo arriva una lettera: intestazione dall'aria ufficiale, numero SIREN esatto (il codice di nove cifre che identifica ogni impresa francese), un importo da pagare «entro sette giorni, pena la cancellazione» e un QR code per pagare. Il 6 agosto 2026 l'INPI, l'istituto francese della proprietà industriale, che gestisce anche lo sportello online per le pratiche delle imprese, ha pubblicato un'allerta su questo tipo di lettera, con una frase da ricordare: «Queste richieste sono fraudolente, poiché l'INPI non invia mai lettere con richiesta di pagamento tramite QR code» (INPI).
Questo articolo fa parte della nostra serie sulle carte da sbrigare per avviare un'impresa in Francia. È rivolto a chi ha appena costituito o rilevato una società in Francia, o si è registrato come lavoratore autonomo in Francia, e ora trova nella cassetta delle lettere richieste di pagamento dall'aspetto ufficiale. Gli enti e le procedure descritti sono francesi; il riquadro più avanti riguarda l'Italia.
Non è un caso isolato. Già nel 2019 il governo francese constatava che «numerose imprese, spesso di nuova costituzione, sono bersaglio di pratiche fraudolente» (Assemblée nationale).
Perché queste lettere ti trovano così in fretta?
Perché l'iscrizione è pubblica, per principio. Appena la società esiste, la denominazione, il SIREN, l'indirizzo, la data di costituzione e il nome dell'amministratore sono consultabili gratuitamente, e l'annonce légale (l'avviso legale che ogni società francese deve pubblicare su un giornale abilitato al momento della costituzione) li ha già resi noti (vedi l'episodio sugli statuti). I truffatori non devono violare nulla: leggono le nuove iscrizioni e spediscono le lettere agli indirizzi indicati. Un sito specializzato osserva che queste lettere arrivano tra 7 e 30 giorni dopo l'iscrizione (Jedeclaremonmeuble).
È anche ciò che le rende credibili: la lettera conosce il tuo numero, la data di costituzione, a volte l'attività. Ma sono informazioni pubbliche; conoscerle non prova nulla.
Che aspetto hanno?
Il falso avviso dell'INPI. Lettera cartacea, intestazione INPI, QR code, richiesta di pagamento «entro sette giorni, pena la cancellazione» (INPI). I diritti per le pratiche si pagano online al momento del deposito sul guichet unique, lo sportello unico pubblico per le pratiche delle imprese, non dopo, per posta.
Il falso registro. Un «Registre des sociétés et des indépendants» (registro delle società e degli autonomi) ha chiesto 890 euro entro sette giorni, con un QR code che portava a una pagina di pagamento; «questo registro non esiste e non dovete nulla a nessuno», conclude una piattaforma specializzata (Superindep). Un «Registre numérique des entreprises» (registro digitale delle imprese) chiede 195,18 euro entro otto giorni «per completare la tua iscrizione», con un falso numero Cerfa, il codice che portano i moduli ufficiali francesi (Jedeclaremonmeuble). Infogreffe, il portale online delle cancellerie dei tribunali di commercio francesi (i greffes), censisce oltre 120 siti e lettere di questo tipo in un repertorio aggiornato all'8 settembre 2026: RSCI, E-siren, CNRCS, ANRCS, «Identification légale», «Registre TVA Intracommunautaire»… (Infogreffe). LegalPlace, una piattaforma francese di servizi legali, ne cita altri e ricorda che «l'URSSAF non ti chiederà mai di pagare altro che i tuoi contributi sociali» (LegalPlace); l'Urssaf è l'ente che riscuote i contributi previdenziali in Francia.
L'elenco professionale. Un modulo presentato come un semplice «aggiornamento dei tuoi recapiti» è in realtà un ordine per un inserimento a pagamento in un elenco, spesso per più anni. La DGCCRF, l'autorità francese per la tutela dei consumatori e la repressione delle frodi, nota che le imprese appena iscritte sono bersagli privilegiati e consiglia: «Non firmate mai di fretta» (DGCCRF).
La falsa fattura per il marchio. Se hai depositato un marchio, alcune società propongono di «pubblicarlo» o di «rinnovarlo» in registri privati. L'INPI ricorda che solo la pubblicazione nel BOPI, il suo bollettino ufficiale della proprietà industriale, produce effetti giuridici: «Qualsiasi altro inserimento è privo di effetti giuridici» (INPI, avvertenza scaricabile da questa pagina).
Attenzione ai nomi: l'European Business Register era una rete legittima di registri ufficiali europei, che ha cessato i suoi servizi il 31 marzo 2026 (registro estone). Le truffe giocano su nomi simili a quelli di enti reali.
Come riconoscere una falsa lettera?
Nessun segnale è decisivo da solo, ma messi insieme lo sono:
- l'urgenza: sette o otto giorni per pagare, con la minaccia della cancellazione o di una sanzione;
- un metodo di pagamento insolito: QR code, IBAN estero, pagina di pagamento online generica;
- un nome che sembra quello di un ente ufficiale senza esserlo: «registro», «repertorio», «nazionale», «ufficiale», una Marianne approssimativa (l'emblema che compare sui documenti dello Stato francese);
- caratteri minuti che rivelano un'offerta commerciale facoltativa, spesso sul retro;
- un ente che non conosci e con cui non hai mai avuto rapporti.
Ricorda che cosa hai pagato davvero, al momento del deposito: per una società, i diritti di cancelleria e l'annonce légale; per una micro-entreprise (il regime semplificato francese per le ditte individuali), nulla, perché l'iscrizione è gratuita. Non esistono costi di iscrizione aggiuntivi da pagare per posta dopo l'iscrizione.
E in Italia? Lo stesso schema esiste, e l'Autorità Garante della Concorrenza e del Mercato (AGCM) lo chiama «il trucco del bollettino»: bollettini precompilati con i dati aziendali, simili a quelli della Camera di commercio o dell'Ufficio Italiano Brevetti e Marchi, che nascondono l'iscrizione a pagamento in una banca dati privata. Il suo vademecum «Io non ci casco!» avverte che le imprese appena iscritte al Registro delle imprese sono «soggetti potenzialmente a rischio di inganno» (AGCM). Le Camere di commercio ricordano che il diritto annuale si paga esclusivamente con il modello F24 o tramite PagoPA, mai con un bollettino ricevuto per posta o per e-mail, e che le pratiche commerciali scorrette si possono segnalare all'AGCM, anche online (Camera di commercio di Bologna).
Cosa fare in caso di dubbio, o se hai pagato?
Non scansionare il QR code e non chiamare il numero indicato nella lettera. Vai tu stesso sul sito ufficiale, digitando l'indirizzo: formalites.entreprises.gouv.fr per le pratiche, inpi.fr per un marchio, il tuo spazio Urssaf o impots.gouv.fr, il sito del fisco francese. Un QR code non mostra dove porta prima di essere scansionato: è per questo che è lo strumento preferito di queste lettere, come spieghiamo in I QR code trappola si nascondono nei PDF. Se la lettera arriva in PDF allegato a un'e-mail, non aprirla alla cieca: Analizzare un PDF segnala, senza trasmettere il file a un server, la presenza di link e di meccanismi attivi (JavaScript, azione automatica all'apertura, file allegato, invio di modulo). Non mostra l'indirizzo dei link e non legge i QR code.
Se hai pagato: avvisa subito la tua banca, che a volte può bloccare o contestare il pagamento; conserva la lettera e le prove del pagamento; segnala i fatti su SignalConso, il servizio pubblico francese per segnalare problemi con un'impresa, e sporgi denuncia. Per un ordine di inserimento in un elenco già firmato, la DGCCRF consiglia prima un tentativo di composizione amichevole con raccomandata con ricevuta di ritorno, poi, in assenza di risposta, di rivolgersi alla DDPP, il suo ufficio locale nel dipartimento; se la società ha sede all'estero, raccomanda di sporgere denuncia per truffa. Avverte anche che, quando il contratto è stato firmato regolarmente, il carattere fraudolento «è difficile da dimostrare» (DGCCRF). Cybermalveillance.gouv.fr, il servizio pubblico francese di assistenza alle vittime di reati informatici, accompagna le vittime: nel 2025 il phishing vi figurava «al primo posto tra le minacce, per tutti i tipi di pubblico», in aumento del 70% (Cybermalveillance.gouv.fr).
Tieni traccia. Archivia i veri giustificativi delle pratiche (la ricevuta del guichet unique, la fattura dell'annonce légale) in un'unica cartella: davanti a una lettera dubbia, basta verificare che non corrisponda a nulla che tu abbia davvero ordinato.
Glossario
Phishing: tecnica che consiste nello spacciarsi per un ente di fiducia per ottenere un pagamento o delle informazioni.
BOPI: Bulletin officiel de la propriété industrielle, il bollettino ufficiale della proprietà industriale, l'unica pubblicazione dei marchi che produce effetti giuridici.
SignalConso: servizio pubblico francese per segnalare i problemi incontrati con un'impresa.
DDPP: direction départementale de la protection des populations, l'ufficio locale della DGCCRF in ogni dipartimento.
Pratica commerciale ingannevole: pratica che induce in errore sulla natura di un servizio o sull'identità di chi lo offre; in Francia è un reato.
Verifica un PDF sospetto senza inviarlo a nessuno: PDFKami, nel tuo browser.