Em Itália, uma empresa não tem apenas uma morada postal: tem um «domicílio digital» (domicilio digitale). Trata-se de um endereço de correio eletrónico certificado, a PEC (posta elettronica certificata), obrigatório, público, e cujas mensagens valem como carta registada com aviso de receção. A administração envia para lá as suas notificações, os fornecedores as suas interpelações, os clientes as suas reclamações. É prático, e tornou-se um vetor de ataque.
O que é a PEC?
Um serviço de correio em que cada envio leva data e hora certificadas e é acompanhado de recibos de envio e de entrega. Uma mensagem enviada de uma caixa PEC para outra «ha lo stesso valore legale di una tradizionale raccomandata con avviso di ricevimento»: tem o mesmo valor legal que uma carta registada com aviso de receção (AgID). O país contava 16,2 milhões de caixas PEC ativas no final de 2024, contra 11,1 milhões no início de 2020, que trocaram perto de 2,9 mil milhões de mensagens ao longo do ano (AgID).
Os endereços PEC das empresas e dos profissionais são públicos e estão reunidos num diretório nacional, o INI-PEC, que qualquer pessoa pode consultar (INI-PEC). Os particulares que o queiram podem declarar um domicílio digital noutro diretório, o INAD, a título voluntário (AgID).
A França tem um equivalente menos difundido: a lettre recommandée électronique, a carta registada eletrónica. Produz os mesmos efeitos jurídicos que a carta registada em papel, desde que passe por um prestador qualificado nos termos do regulamento europeu eIDAS, qualificação atribuída em França pela ANSSI, a agência nacional de cibersegurança; um destinatário profissional não tem de dar o seu acordo para a receber, um particular tem (Ministério da Economia francês). Mas nenhuma empresa francesa é obrigada a declarar um endereço próprio para o efeito, e não existe nenhum diretório público comparável ao INI-PEC.
Quem tem de ter uma?
Todas as empresas. A obrigação existe desde 2008 para as sociedades e desde 2012 para os empresários em nome individual; um decreto-lei de 2020 rebatizou-a «domicilio digitale» e agravou as sanções (Camera di Commercio di Reggio Calabria). Desde 2025, alguns gerentes e administradores têm também de declarar no registo um endereço PEC pessoal, distinto do da sociedade: desde um decreto-lei de outubro de 2025, a obrigação abrange o administrador único, os administradores delegados ou, na falta destes, o presidente do conselho de administração das sociedades de capitais (Camera di Commercio di Ferrara e Ravenna).
Uma empresa sem PEC válida arrisca uma coima de 206 a 2064 euros, no caso de uma sociedade, e de 30 a 1548 euros, no caso de um empresário em nome individual, e o registo atribui-lhe oficiosamente um domicílio digital que só funciona para receção, numa área online própria do empresário (Camera di Commercio di Firenze). O procedimento continua a ser aplicado: em julho de 2026, a câmara de comércio de Reggio Calabria instaurou-o contra 2463 empresas, 2005 empresários em nome individual e 458 sociedades (Camera di Commercio di Reggio Calabria).
Porque é que a PEC atrai os burlões?
Porque inspira confiança, e porque os endereços são públicos. O centro de alerta da administração digital italiana, o CERT-AGID, registou em 2025 103 campanhas maliciosas enviadas por PEC, um aumento de cerca de 80 %: 77 de phishing, sobretudo para roubar credenciais bancárias, e 26 de difusão de software malicioso; tratava-se sobretudo de caixas legítimas comprometidas (CERT-AGID). Somando todos os canais, os iscos do ano foram os do dia a dia de uma empresa: encomendas, faturas, avisos de pagamento, mensagens bancárias, com anexos em arquivos comprimidos, documentos Office com macros ou PDF com links (Cybersecurity360).
O essencial está noutro ponto. Em setembro de 2026, o CERT-AGID descrevia uma campanha de falsos lembretes de faturas por pagar, com assuntos variáveis como «Sollecito pagamento fattura scaduta» (lembrete de pagamento de fatura vencida), enviados a partir de caixas PEC verdadeiras pirateadas: um arquivo ZIP continha um ficheiro HTML que, em várias etapas, instalava um programa de controlo remoto ou de roubo de dados. O CERT-AGID lembra o limite do sistema: «La presenza di una PEC certifica il processo di trasmissione e consegna del messaggio». A PEC certifica o envio e a entrega da mensagem, não a honestidade de quem a envia (CERT-AGID).
É a lição mais útil do caso italiano: um canal certificado certifica o canal, não o conteúdo. Uma mensagem que chega por PEC, por um serviço de correio profissional ou a partir do endereço habitual de um fornecedor pode vir de uma caixa comprometida.
As empresas novas são visadas?
Sim, como em França. As câmaras de comércio italianas publicam regularmente avisos contra cartas que imitam o seu nome ou o seu logótipo, guias de pagamento pré-preenchidas, inscrições em diretórios privados e falsas PEC intituladas «Esazione diritto annuale» (cobrança da taxa anual). Lembram que essa taxa é «l'unico importo che le imprese iscritte al Registro Imprese versano annualmente alla Camera di Commercio», o único montante que as empresas registadas pagam todos os anos à câmara, e que só se paga através do modelo F24 ou do PagoPA, a plataforma pública de pagamentos (Camera di Commercio Riviere di Liguria, Camera di Commercio di Sassari). A autoridade da concorrência, a AGCM, chama a este expediente «il trucco del bollettino» (o truque da guia de pagamento) e avisa que as empresas acabadas de registar estão particularmente expostas (AGCM).
O paralelo com as cartas falsas que as empresas francesas recebem depois do registo é flagrante (ver Depois do registo, as cartas falsas).
E o equivalente do Kbis?
O registo das empresas italiano emite dois documentos, onde a França tem o extrato Kbis, a sua certidão do registo comercial. A visura camerale reproduz as informações da empresa mas não tem valor de certidão; o certificato, esse, é oponível a terceiros e vale seis meses. Online, uma visura custa de 3 a 5 euros, consoante a forma da empresa, e o gerente obtém gratuitamente a da sua própria empresa na área online impresa italia, a que acede com a sua identidade digital (Registro Imprese). Encontra lá também os estatutos e as últimas contas.
As visure têm um código QR. Lê-se com a aplicação gratuita R.I. QR Code, ou introduz-se no site do registo o número de protocolo e o código de seis algarismos impresso junto ao código QR, para descarregar o documento original arquivado e compará-lo com a cópia; a aplicação assinala um código que não provenha de um documento oficial (Registro Imprese). O princípio é o mesmo do código de verificação do Kbis francês (ver Kbis: como detetar um falso).
E a identidade digital?
A Itália tem duas: o SPID, fornecido por prestadores privados, e o cartão de identidade eletrónico (CIE). Em outubro de 2025, o país contava 55 milhões de CIE e 41 milhões de identidades SPID; o governo fala em acompanhar «la transizione verso l'identità digitale unica», a transição para uma identidade digital única (AgID). Entretanto, as duas coexistem, e vários fornecedores de SPID passaram a cobrá-lo a alguns euros por ano: 6 euros a partir do segundo ano nos Poste Italiane, desde janeiro de 2026 (Poste Italiane).
O que pode retirar daqui um empresário em França?
Um endereço oficial não é uma garantia. A PEC é o canal mais formal que existe, e serve para enviar software malicioso. Um e-mail vindo do endereço habitual de um fornecedor pode, também ele, provir de uma caixa pirateada. Quando uma mensagem exige um pagamento urgente ou anuncia uma alteração de dados bancários, confirme por outro canal (ver Fatura falsa, IBAN falso).
Um arquivo ZIP ou um ficheiro HTML que se apresenta como fatura é um sinal de alarme. Uma fatura verdadeira é um PDF ou um ficheiro estruturado, não um programa; em Itália, aliás, as faturas entre empresas passam pela plataforma da administração fiscal (ver Itália: sete anos de fatura eletrónica). Para um PDF duvidoso, Analisar um PDF deteta no seu navegador, sem o enviar para um servidor, os mecanismos usados pelos ficheiros armadilhados: JavaScript, ação ao abrir, execução de programas, ficheiros anexos. Assinala a presença de links e conta-os, sem mostrar o seu endereço; não é um antivírus, e não abre arquivos ZIP nem ficheiros HTML.
Verificar um documento na fonte. A visura italiana e o Kbis francês têm cada um o seu código de verificação: é isso que deve ser controlado, não o aspeto do documento.
O PDFKami não envia nem recebe PEC e não verifica visure; serve para inspecionar os PDF recebidos sem os carregar para um servidor.
Glossário
PEC (posta elettronica certificata): correio eletrónico certificado italiano, cujos envios valem como carta registada.
Domicilio digitale: endereço eletrónico legal de uma empresa ou de uma pessoa em Itália, geralmente uma PEC.
INI-PEC: diretório público dos endereços PEC das empresas e dos profissionais italianos.
INAD: diretório dos domicílios digitais dos particulares que declaram um, a título voluntário.
CERT-AGID: centro de alerta de segurança informática da agência italiana para o digital.
Visura camerale: extrato do registo das empresas italiano, sem valor de certidão, ao contrário do certificato.
SPID: sistema público de identidade digital italiano, fornecido por prestadores acreditados.
Inspecionar um PDF recebido sem o enviar para um servidor: PDFKami, no seu navegador.