Sicurezza della PEC e phishing: le misure pratiche per ridurre i rischi di data breach

Riduci i rischi di data breach sulla PEC con misure immediate: attiva l’autenticazione a due fattori, verifica i mittenti sul registro ufficiale, apri gli allegati in ambiente isolato e applica controlli di dominio e log. Standardizza le verifiche in ufficio e prova le procedure con simulazioni rapide.

Rischi reali sulla PEC

Il canale è affidabile, ma non immune. I truffatori imitano enti pubblici, studi legali e fornitori. Usano domini simili, caselle compromesse e allegati malevoli camuffati da documenti contabili o notifiche.

Il phishing sfrutta urgenza e routine amministrative: variazioni IBAN “da confermare subito”, false notifiche di atti, fatture non richieste. Un clic sbagliato può esporre credenziali, documenti riservati e dati personali.

Potrebbe interessarti anche

PEC e diritto all’oblio: come esercitarlo e cosa cambia per la tua organizzazioneCosa succede se non aggiorni l’informativa privacy per l’uso della PEC? Le conseguenze concrete sottovalutateDelegare la gestione della PEC a un collaboratore: il sistema pratico per non perdere comunicazioni importantiFattura elettronica senza intermediari: risparmiare tempo con la PEC diretta

Nel back office ho visto il rischio maggiore nelle caselle condivise: più utenti, responsabilità diffusa, controlli non uniformi. Serve disciplina operativa, non solo tecnologia.

Misure tecniche immediate

• Abilita 2FA su tutte le caselle PEC. Se il provider offre OTP o app, attivale. Disabilita l’accesso legacy e le password deboli.
• Gestione credenziali: password manager aziendale, segreti lunghi 12+ caratteri, rotazione mirata dopo cambi di ruolo o incidenti.
• Protezione del dominio: implementa SPF, DKIM e una policy DMARC a “quarantine” o “reject”. Riduce lo spoofing e rende più chiari i report di abuso.
• Filtri e sandbox: antivirus multilivello sul gateway, analisi comportamentale degli allegati, blocco macro per default.
• Tag di avviso: etichetta automatica “Mittente esterno” sugli oggetti provenienti da fuori dominio.
• Logging e alert: conserva i log di accesso e invio, attiva notifiche su IP anomali, tentativi falliti e forwarding sospetti.
• Separazione degli ambienti: apri allegati PEC in VM o viewer isolato; niente esecuzione diretta su PC operativo.
• Principio del minimo privilegio: caselle funzionali con accesso nominativo, audit trail e revoca immediata al cambio mansioni.

Procedure per l’ufficio amministrativo

• Registro mittenti verificati: crea una lista di PEC di partner e PA, validata periodicamente tramite INI-PEC. Aggiorna quando cambia un fornitore o un legale rappresentante.
• Verifica a due vie per pagamenti e IBAN: conferma telefonica su numero già noto in anagrafica. Mai sui contatti indicati nella mail.
• Triaging degli allegati: controlla estensioni e firme digitali. I .p7m si validano con un lettore aggiornato, offline. Diffida di zip protetti da password e link a portali “per scaricare”.
• Canale di segnalazione rapido: un pulsante “Segnala” in client o un canale dedicato su Teams/Slack. Entro 5 minuti dalla ricezione sospetta.
• Template di risposta: messaggi predefiniti per chiedere conferme al mittente ufficiale, senza inoltrare l’originale a catena.
• Conservazione e protocollazione: separa lavorazione e archiviazione; i messaggi PEC originali (.eml) si custodiscono in repository a prova di manomissione.

Formazione essenziale: 45 minuti ben spesi

Contenuto minimo per ogni team che usa la PEC:

• 10 segnali di rischio: urgenza, tono intimidatorio, mittente simile, incongruenze grafiche, link off-domain, allegati inattesi, errori ricorrenti, richieste fuori processo, orari insoliti, numeri di pratica generici.
• Due esercizi pratici su casi amministrativi reali: una finta variazione IBAN e una falsa notifica PA.
• Regola “Stop, verifica, segnala”: fermati, verifica con canali indipendenti, segnala al referente IT/Privacy.
• Simulazioni trimestrali e metriche: tasso di clic, tempo di segnalazione, completamento delle verifiche a due vie.

Cosa fare se succede davvero

• Isola subito: disconnetti il dispositivo, revoca sessioni attive, cambia password, abilita 2FA se assente.
• Allerta il DPO e l’IT: registra eventi, orari, mittente, contenuti toccati. Valuta dati coinvolti e impatto sul trattamento.
• Valuta obblighi di notifica: se c’è rischio per gli interessati, notifica al Garante e, se necessario, agli interessati secondo GDPR (72 ore).
• Coinvolgi il provider PEC: richiedi log, verifica inoltri, ripristina impostazioni, chiudi eventuali regole di auto-forward.
• Bonifica endpoint: scansione EDR, rimozione file malevoli, aggiornamenti e hardening.
• Comunicazione trasparente: usa template approvati; indica azioni intraprese e misure di prevenzione future.

Checklist operativa

• 2FA attiva su tutte le caselle PEC e sul pannello amministrativo.
• SPF, DKIM e DMARC implementati e monitorati.
• Lista mittenti verificati con controllo trimestrale via INI-PEC.
• Procedura a due vie obbligatoria per modifiche di pagamento.
• Sandbox allegati e lettore firme digitali aggiornato.
• Log accessi con retention minima di 6-12 mesi e alert.
• Formazione iniziale + simulazioni trimestrali con KPI.
• Playbook incidenti con ruoli, tempi e contatti.
• Archiviazione legale separata e immutabile dei messaggi PEC.
• Revisione semestrale di ruoli e permessi sulle caselle.

La sicurezza della PEC non è un progetto una tantum. È una routine chiara, praticabile e misurabile. Con poche regole applicate sempre, la finestra di rischio si restringe e l’operatività resta fluida.