PEC e fiducia digitale: cosa garantisce davvero e cosa devi controllare tu

Nelle aziende italiane circola una convinzione molto comune: se un messaggio arriva via PEC, allora è ufficiale, controllato e quindi vero. È un'idea rassicurante, ma pericolosa. Il caso Revolut, ripreso di recente dalla stampa di settore, è uno spunto utile per ragionare su un punto più ampio: la domanda giusta non è se la PEC sia sicura, ma che cosa garantisce e che cosa no. Se hai un sito, un e-commerce o uno studio professionale, la differenza riguarda direttamente i tuoi soldi e i tuoi dati.

Che cosa certifica la PEC

Il modo più semplice per capire la PEC è paragonarla a una raccomandata con ricevuta di ritorno. Il gestore ti consegna due prove: il messaggio è partito in un certo giorno e a una certa ora, ed è arrivato nella casella del destinatario. Queste prove hanno valore legale e sono molto utili in caso di contestazioni, per esempio una diffida, una disdetta di contratto o l'invio di un documento a una scadenza precisa.

Per questo la PEC è obbligatoria per imprese e professionisti e funziona bene per ciò che deve fare. Il punto è che la ricevuta dimostra che qualcosa è stato spedito e consegnato, non che sia corretto o onesto.

Che cosa la PEC non garantisce

Come la raccomandata, la PEC non dice nulla su tre aspetti fondamentali:

• L'affidabilità di chi scrive. Chiunque può aprire una casella PEC. Averne una non rende un mittente serio.
• La veridicità del contenuto. Una richiesta di pagamento, un nuovo IBAN o una comunicazione "urgente" possono essere false anche se il canale è certificato.
• L'assenza di intrusioni. Se la casella di un fornitore viene violata, chi la controlla può scrivere ai tuoi clienti da un indirizzo PEC del tutto autentico.

È lo stesso motivo per cui una raccomandata non diventa credibile solo perché l'ha consegnata il postino. Il postino fa il suo mestiere, ma non ha letto la lettera e non conosce chi l'ha scritta.

Perché il caso Revolut interessa anche una piccola impresa

Revolut è una realtà grande e strutturata, ma l'episodio mostra un meccanismo che riguarda tutti. Il canale usato per comunicare crea un'aspettativa di fiducia, e quell'aspettativa può portare a abbassare la guardia. Quando un messaggio sembra formale, con intestazioni ufficiali e ricevute allegate, siamo più propensi a eseguire quello che chiede senza fare domande.

Nel mondo reale delle PMI questo si traduce in situazioni molto concrete:

• un presunto fornitore ti scrive che il suo conto è cambiato e chiede di pagare la prossima fattura su un nuovo IBAN;
• ricevi una comunicazione che sembra di un ente o di una banca e ti chiede di cliccare un link per "regolarizzare" una posizione;
• un messaggio che imita una PEC (con tanto di scritta "messaggio certificato" nel testo) arriva in realtà da un normale indirizzo email, costruito per sembrare affidabile.

In tutti questi casi il rischio non è tecnico, è di processo: qualcuno in azienda esegue un'azione perché si fida del canale.

Cosa rischi se ti fidi ciecamente

Le conseguenze più frequenti sono pagamenti dirottati su conti sbagliati, dati dei clienti consegnati a chi non doveva averli e credenziali di accesso al sito o al gestionale cedute a un truffatore. Per chi ha un e-commerce c'è anche un tema normativo: un errore nella gestione dei dati personali può avere effetti ai sensi del GDPR, con obblighi di segnalazione e possibili danni alla reputazione. Recuperare un bonifico già eseguito, poi, è spesso lungo e incerto.

Come si costruisce la fiducia: più livelli di controllo

La soluzione non è smettere di usare la PEC, ma smettere di considerarla l'unico filtro. La fiducia digitale si costruisce con più livelli, come una porta con serratura e catenaccio:

1. Il canale: la PEC ti dice come è arrivato il messaggio.
2. L'identità: devi verificare che il mittente sia davvero chi dice di essere.
3. La procedura interna: devi sapere cosa fare quando la richiesta riguarda soldi o dati sensibili.

Tre azioni da fare subito

1. Stabilisci una regola per pagamenti e cambi di dati. Ogni richiesta di modificare un IBAN, un indirizzo di fatturazione o le coordinate di pagamento va confermata con una telefonata a un numero che hai già in archivio, non a quello scritto nel messaggio. Basta una riga nelle procedure aziendali.
2. Controlla il mittente vero, non solo il nome. Guarda l'indirizzo completo, confrontalo con quello usato in passato e diffida di domini simili ma leggermente diversi. Diffida anche delle scritte "PEC" o "certificato" inserite nel testo: possono essere copiate in due minuti.
3. Parlane con chi gestisce amministrazione e segreteria. Sono le persone più esposte, perché aprono ogni giorno comunicazioni formali. Una breve riunione con qualche esempio reale vale più di un lungo manuale. Proteggi inoltre la tua casella PEC con una password robusta e, dove possibile, con la verifica in due passaggi.

In sintesi

La PEC resta uno strumento prezioso, perché dà una prova legale di invio e consegna. Ma non è un certificato di buona fede. Trattala come una raccomandata: ti dice che qualcosa è arrivato, e sta a te decidere se fidarti di ciò che c'è dentro. Poche regole semplici e condivise in azienda sono la difesa più efficace, e costano molto meno di un bonifico sbagliato.