Il SOC Netech, corroborato da quanto comunicato dal CERT-AGID nella sua costante attività di monitoraggio delle minacce, ha rilevato negli ultimi mesi un aumento nelle campagne di phishing che sfruttano indirizzi e-mail PEC di posta elettronica certificata compromessi, o riconducibili a caselle PEC registrate per finalità illecite. In questa nuova tipologia di attacco, i cybercriminali sfruttano quindi uno strumento che viene solitamente percepito come affidabile e sicuro dalle aziende, per veicolare attacchi e indurre le vittime a scaricare codice malevolo.
Il CERT-AGID (Computer Emergency Response Team dell’Agenzia per l’Italia Digitale), da gennaio 2026, ha in particolare registrato oltre 650 eventi legati all’uso a fini malevoli di caselle PEC compromesse o create per scopi illeciti. La campagna, come rilevano gli esperti analisti del SOC Netech, sfrutta comunicazioni alle aziende provenienti da caselle PEC che richiedono in genere il pagamento urgente di fatture scadute o in scadenza, o altri avvisi fiscali urgenti. Le e-mail malevole contengono tipicamente in allegato un archivio compresso ZIP, denominato con un presunto numero di Partita IVA. Il file allegato contiene un documento HTML che, se aperto dall’utente con l’intento di scaricare la documentazione relativa alla richiesta, reindirizza a una pagina che replica l’aspetto di servizi di fatturazione elettronica comunemente utilizzati in Italia. L’interazione con tale pagina avvia una catena di download di script JavaScript e PowerShell offuscati, finalizzati a stabilire una connessione con infrastrutture controllate dagli attaccanti, consentendo il furto di dati sensibili degli utenti e il download di ulteriore malware sui sistemi della vittima.
Particolarmente insidioso in questo nuovo genere di attacco è quindi il ricorso a domini che sono ospitati presso provider legittimi, oltreché a domini di non recente registrazione: tecnica che consente agli attaccanti di evitare l’immediata individuazione di un contenuto malevolo, eludendo i tradizionali controlli di sicurezza basati solamente sulla reputazione o sull’età del dominio. Il ricorso a codice malevolo offuscato ostacola inoltre le attività di analisi. Ad aumentare l’efficacia di questa tipologia di attacco contribuiscono poi anche l’eliminazione degli artefatti al termine dell’esecuzione e la rotazione frequente delle infrastrutture utilizzate dagli attaccanti.
Per difendersi da questa campagna di phishing tramite caselle PEC, le aziende devono allora prestare grande attenzione nell’interagire innanzitutto con messaggi di posta elettronica che richiedono pagamenti urgenti di fatture, contenenti allegati zip con file HTML. Attenzione anche alle partite IVA cui i messaggi fanno riferimento, verificare se sono riferibili a fornitori noti con cui l’azienda intrattiene rapporti commerciali o di servizio. Occorre quindi prestare attenzione a pagine web che simulano portali di fatturazione o servizi amministrativi, e monitorare attività anomale di PowerShell (o simili) sulle postazioni di lavoro. In tal senso, la difesa informatica nella fattispecie richiede un approccio multilivello, che combini tecniche di difesa e formazione del personale nel riconoscere e diffidare da questa tipologia di campagna phishing particolarmente insidiosa. Al riguardo, CERT-AGID ricorda quindi che ricevere un messaggio via PEC non certifica in automatico la sicurezza del contenuto del messaggio stesso, ma ‘esclusivamente l’avvenuta consegna’. Pertanto, ne discende che un messaggio ricevuto da una casella PEC – che può essere stata compromessa a seguito ad esempio di una precedente esfiltrazione – può contenere link a siti malevoli, allegati infetti o altri tentativi di truffa.
Oltre alla raccomandazione di non cliccare su link presenti in messaggi PEC inattesi o sospetti e, più in generale, di non aprire allegati di cui non sia verificata l’origine, Netech suggerisce l’adozione di una serie di pratiche di sicurezza finalizzate a ridurre il rischio di compromissione associato a questa nuova campagna di phishing tramite caselle PEC:
- Verificare sempre l’autenticità delle richieste di pagamento facendo dei controlli incrociati mediante canali alternativi;
- Non aprire allegati HTML provenienti da mittenti inattesi;
- Assicurarsi che le soluzioni EDR, antispam e web filtering siano sempre aggiornate e costantemente monitorate;
- Monitorare eventuali connessioni verso domini e infrastrutture riconducibili alla campagna;
- Infine, sensibilizzare periodicamente il personale sui rischi legati al phishing.