Allegati compressi e pulsanti di download imitano procedure fiscali ordinarie per compromettere dispositivi, credenziali e archivi aziendali
L’Agenzia delle Entrate segnala una nuova campagna di phishing che sfrutta messaggi PEC con presunte fatture elettroniche in allegato. Le comunicazioni arrivano da caselle certificate reali ma compromesse e risultano estranee ai canali ufficiali dell’Agenzia. Il meccanismo punta sulla familiarità della fatturazione elettronica e sull’affidabilità percepita della posta certificata per spingere contribuenti, imprese e professionisti ad aprire un archivio compresso. All’interno si trova una pagina HTML che imita una normale schermata di recupero del documento fiscale. Il pulsante “Scarica Fattura” rimanda però a un dominio malevolo e può esporre il dispositivo a programmi dannosi, furto di credenziali e compromissione dei dati. La PEC certifica invio e consegna del messaggio, mentre allegati e link richiedono sempre controlli autonomi. Ogni fattura inattesa va verificata accedendo direttamente al portale dell’Agenzia, al servizio Fatture e Corrispettivi, al gestionale aziendale o al commercialista.
Se vuoi andare oltre alla sintesi della nostra notizia leggi qui di seguito l’approfondimento:
Attenti ai messaggi di posta elettronica certificata, PEC, che contengono in allegato presunte fatture elettroniche. Potrebbero essere lo strumento di una nuova campagna di phishing che mira a compromettere computer, credenziali e dati. A segnalarlo è l’Agenzia delle Entrate, che invita contribuenti, imprese e professionisti a prestare attenzione alle comunicazioni sospette ricevute tramite caselle certificate.
I messaggi risultano inviati da caselle PEC reali ma compromesse. La comunicazione contiene un archivio compresso e, al suo interno, una pagina HTML che imita una schermata per il recupero della fattura. Il pulsante “Scarica Fattura” rimanda però a un dominio malevolo e può esporre il dispositivo utilizzato a programmi dannosi, furto di credenziali e compromissione dei dati.
Le email sono estranee alle comunicazioni ufficiali dell’Agenzia delle Entrate. La truffa sfrutta la familiarità della fatturazione elettronica e il senso di affidabilità associato alla PEC, che certifica l’invio e la consegna del messaggio, mentre allegati e collegamenti richiedono sempre una verifica autonoma.
Indice
- 1 Che cosa segnala l’Agenzia delle Entrate?
- 2 Perché la PEC rende più credibile l’inganno?
- 3 Come funziona il falso download della fattura?
- 4 Quali segnali aiutano a riconoscere una PEC sospetta?
- 5 Che cosa rischiano computer, dati e attività professionali?
- 6 Cosa fare quando arriva una PEC con una fattura inattesa?
- 7 Come può difendersi una piccola impresa?
Che cosa segnala l’Agenzia delle Entrate?
L’Agenzia delle Entrate ha pubblicato un avviso per mettere in guardia i contribuenti da una campagna fraudolenta legata a presunte fatture elettroniche. Il meccanismo punta su un’abitudine ormai diffusa tra aziende, partite IVA, studi contabili e cittadini: ricevere, controllare e archiviare documenti fiscali in formato digitale.
La provenienza rappresenta il punto più delicato. I messaggi circolano tramite caselle PEC compromesse, quindi possono apparire formalmente credibili pur essendo estranei ai canali dell’Agenzia. L’obiettivo degli aggressori è spingere il destinatario ad aprire l’allegato e a seguire una falsa procedura di download.
Perché la PEC rende più credibile l’inganno?
La posta elettronica certificata viene associata a comunicazioni importanti, rapporti con enti pubblici, fornitori, clienti e consulenti. Proprio questa reputazione rende la truffa più insidiosa rispetto a una normale email.
Il valore della PEC riguarda la trasmissione del messaggio e le ricevute digitali. Il contenuto resta un elemento da controllare, soprattutto quando la comunicazione arriva in modo inatteso, contiene file compressi o chiede di scaricare documenti da una pagina esterna.
Negli uffici amministrativi il rischio cresce perché fatture, ordini, pagamenti e scadenze fiscali fanno parte del lavoro quotidiano. Una richiesta apparentemente ordinaria può ridurre il tempo dedicato alla verifica e favorire un clic impulsivo.
Come funziona il falso download della fattura?
La comunicazione allega un archivio compresso. Dentro l’archivio compare un file HTML, cioè una pagina web salvata come file. Una volta aperta, la pagina mostra una schermata costruita per sembrare una normale procedura di recupero della fattura elettronica.
Il pulsante “Scarica Fattura” rappresenta il passaggio critico. Il collegamento indirizza verso un dominio malevolo e può avviare tentativi di infezione, sottrazione di credenziali o accesso ai dati presenti nel dispositivo.
In alcuni casi il comportamento cambia in base al sistema operativo. Su computer Windows può comparire la pagina di download della presunta fattura, mentre su altri dispositivi può apparire un messaggio di errore. Questa tecnica consente agli aggressori di concentrare l’attacco sui dispositivi più utili per ottenere credenziali, documenti fiscali, accessi a gestionali, caselle email e servizi aziendali.
Quali segnali aiutano a riconoscere una PEC sospetta?
Una PEC collegata a una fattura elettronica merita attenzione quando arriva da una casella inattesa, contiene un archivio compresso o invita a scaricare il documento da una pagina esterna. Archivi zip, file HTML, pulsanti di download, link verso domini sconosciuti e istruzioni insolite sono segnali da trattare con cautela.
Una fattura elettronica reale si controlla attraverso strumenti riconoscibili, come il gestionale aziendale, il cassetto fiscale, il servizio Fatture e Corrispettivi, il canale del commercialista o le comunicazioni collegate al Sistema di Interscambio. Quando il messaggio spinge ad agire in fretta e porta il destinatario fuori da questi percorsi, la verifica va fatta prima di qualsiasi apertura.
Che cosa rischiano computer, dati e attività professionali?
L’apertura dell’allegato può esporre il dispositivo a programmi dannosi, furto di credenziali, accesso abusivo alla casella email, sottrazione di documenti fiscali, compromissione del gestionale e blocco dei file aziendali. Per uno studio professionale, una piccola impresa o un ufficio amministrativo, una sola postazione infetta può creare problemi nella gestione dell’attività.
Il rischio cresce quando la casella PEC viene usata da più persone o contiene comunicazioni sensibili. Un account compromesso può diventare un nuovo punto di partenza per inviare altri messaggi fraudolenti a clienti, fornitori e collaboratori, sfruttando rapporti reali e indirizzi conosciuti.
Sul piano giuridico, condotte di questo tipo possono richiamare reati informatici come l’accesso abusivo a sistema informatico e la frode informatica, quando gli elementi del caso concreto lo consentono. L’inquadramento spetta agli investigatori e all’autorità giudiziaria. Per cittadini e imprese conta soprattutto il comportamento immediato: lasciare chiuso l’allegato, isolare il rischio e verificare la comunicazione da fonti certe.
Cosa fare quando arriva una PEC con una fattura inattesa?
Davanti a una PEC inattesa su una fattura elettronica, la scelta più sicura consiste nel lasciare chiuso l’allegato e aprire il portale dell’Agenzia delle Entrate digitando direttamente l’indirizzo nel browser. La verifica può avvenire nell’area riservata, nel servizio Fatture e Corrispettivi, nel gestionale abitualmente usato o attraverso il commercialista.
Le credenziali vanno inserite solo su pagine raggiunte direttamente dall’utente. Link e pulsanti contenuti in una comunicazione sospetta vanno evitati, anche quando il messaggio appare formalmente corretto.
In caso di dubbio, conviene cancellare il messaggio e informare chi gestisce la contabilità o la sicurezza informatica. Se l’allegato è già stato aperto, il dispositivo va scollegato dalla rete e controllato. Le password della PEC, dell’email ordinaria, dei servizi fiscali, del gestionale e degli account bancari vanno cambiate da un dispositivo sicuro. Per le attività professionali, serve anche verificare eventuali invii anomali partiti dalla casella.
Come può difendersi una piccola impresa?
La difesa più efficace nasce da regole operative semplici. Ogni azienda dovrebbe stabilire come gestire le fatture elettroniche ricevute via PEC, quali mittenti risultano attesi e quali allegati possono essere aperti. Una fattura arrivata in modo anomalo va controllata dal gestionale, dal portale dell’Agenzia, dal cassetto fiscale o dal consulente.
La tecnologia aiuta quando resta aggiornata. Sistema operativo, browser, antivirus, filtri antispam e software di posta devono ricevere gli aggiornamenti di sicurezza. L’autenticazione a due fattori va attivata sulle caselle e sugli account più importanti. I backup devono essere separati dal computer principale, verificati periodicamente e disponibili in caso di blocco dei file.
La formazione del personale resta decisiva. Chi lavora ogni giorno con fatture, preventivi, ordini e scadenze fiscali deve riconoscere gli schemi più comuni del phishing. Un controllo condiviso prima di aprire un allegato inatteso può evitare perdita di dati, interruzioni dell’attività e costi tecnici.
Link utili:
Agenzia delle Entrate – Avviso sulla truffa PEC del 17 giugno 2026
Agenzia per la Cybersicurezza Nazionale
