Mittente PEC: cosa certifica la posta certificata e cosa no
Il caso Revolut, cosa garantiscono ricevute e busta firmata dal gestore, come verificare la PEC di un ente e come avere una casella con titolare identificato
La PEC garantisce l'identità del mittente?
No: la PEC non garantisce chi ha scritto il messaggio, ma certifica da quale casella è partito, quando è stato consegnato e che non è stato alterato. Il caso Revolut, emerso a settembre 2026, è nato da richieste inviate da una casella PEC istituzionale. Alcune caselle, come la SuperPEC attivata con firma digitale, identificano il titolare già all'attivazione.
La posta elettronica certificata prova l'invio e la consegna di un messaggio con ricevute firmate dal gestore, ma non attesta chi ha scritto il testo né se la richiesta che contiene sia legittima.
La differenza conta perché anche le caselle PEC vere possono finire nelle mani sbagliate. Nel 2026, fino a metà giugno, il CERT-AGID ha gestito oltre 650 eventi di phishing e spam partiti da caselle PEC legittime, compromesse o create per scopi illeciti.
Ricevute, valore legale e regole della posta certificata sono spiegati nella guida a cosa prova la PEC e a come si usa.
Takeaways - Punti chiave dell'articolo
- Caso Revolut: Emerso il 15 settembre 2026, riguarda dati di circa 680 clienti, secondo le stime della stampa, consegnati dopo richieste arrivate da una casella PEC istituzionale.
- Cosa prova la PEC: Le ricevute di accettazione e di avvenuta consegna attestano la trasmissione e la ricezione del messaggio (art. 4, c. 6, e art. 6 del DPR 68/2005).
- Busta firmata dal gestore: La busta di trasporto è firmata dal gestore del mittente e garantisce che il messaggio non sia stato alterato, non chi lo ha scritto.
- Caselle abusate: Nel 2026, fino a metà giugno, il CERT-AGID ha gestito oltre 650 eventi di phishing e spam partiti da caselle PEC legittime, compromesse o create ad hoc.
- Indici pubblici: IPA, INI-PEC e INAD si consultano online senza autenticazione (art. 6-quinquies del CAD) e indicano a chi appartiene un indirizzo PEC.
Vuoi una PEC legata a un'identità verificata?
Attiva una PEC con titolare identificato Identità verificata con CIE di livello 3 o video • Casella emessa da un gestore autorizzato AgID • Attivazione senza SPIDCosa è successo nel caso Revolut con la PEC?
Nel caso Revolut, emerso il 15 settembre 2026, la banca ha consegnato dati personali e finanziari di alcuni clienti dopo aver ricevuto via PEC richieste che sembravano arrivare dalle forze dell'ordine.
Le richieste partivano da una casella PEC su un dominio istituzionale, riconducibile alla Prefettura di Reggio Calabria, ed erano firmate come «polizia postale». Secondo le stime riportate dalla stampa, i clienti coinvolti sono circa 680.
Il 30 settembre 2026 il ministro dell'Interno Matteo Piantedosi, rispondendo in Aula, ha riferito che la casella non sarebbe mai stata utilizzata dall'ente e che la richiesta andava verificata con maggiore attenzione.
Sul caso indaga la Polizia Postale, mentre il Garante per la protezione dei dati personali ha avviato verifiche sui controlli delle banche.
Cosa garantisce la PEC?
La PEC garantisce tre cose: che il messaggio è stato spedito, che è stato consegnato nella casella del destinatario e che non è stato modificato durante la trasmissione.
La validità della trasmissione e della ricezione è attestata dalla ricevuta di accettazione e dalla ricevuta di avvenuta consegna (art. 4, c. 6, e art. 6 del DPR 68/2005).
La busta di trasporto che contiene il messaggio è firmata dal gestore del mittente, a garanzia di provenienza, integrità e autenticità del messaggio (art. 9, c. 2, del DPR 68/2005).
La provenienza certificata è quella dalla casella: chi ne possiede le credenziali può inviare messaggi che risultano regolari. Il CERT-AGID ricorda che la PEC non certifica la sicurezza del contenuto.
In sintesi:
| Aspetto | Cosa certifica la PEC |
|---|---|
| Invio | Sì, con la ricevuta di accettazione del gestore del mittente |
| Consegna | Sì, con la ricevuta di avvenuta consegna, anche se il messaggio non viene letto |
| Integrità | Sì, con la busta di trasporto firmata dal gestore |
| Data e ora | Sì, opponibili ai terzi (art. 48 del CAD) |
| Autore del testo | No: la casella può essere usata da chi ne ha le credenziali |
| Legittimità della richiesta | No: va verificata da chi riceve il messaggio |
| Link e allegati | No: la PEC non ne certifica la sicurezza |
Il recapito certificato qualificato previsto dal Regolamento eIDAS richiede invece l'identificazione del mittente con un elevato livello di sicurezza, come spiega l'articolo sul SERCQ e le garanzie eIDAS.
Come verificare che una PEC arrivi davvero da un ente pubblico?
Una PEC che dice di arrivare da un ente pubblico si verifica confrontando l'indirizzo del mittente con quello pubblicato nell'Indice dei domicili digitali delle pubbliche amministrazioni (IPA), gestito dall'AgID, e contattando l'ente con i recapiti ufficiali quando la richiesta è insolita.
Gli indici pubblici sono tre:
- IPA: pubbliche amministrazioni, gestori di pubblici servizi e società a controllo pubblico (art. 6-ter del CAD).
- INI-PEC: imprese e professionisti (art. 6-bis del CAD).
- INAD: persone fisiche, professionisti ed enti di diritto privato non tenuti all'iscrizione in albi, elenchi o nel registro delle imprese (art. 6-quater del CAD).
La consultazione online dei tre elenchi è consentita a chiunque, senza autenticazione (art. 6-quinquies del CAD).
Un indirizzo presente nell'indice conferma che la casella appartiene all'ente, non che la singola richiesta sia autentica. Davanti a richieste di dati o di pagamenti conta la verifica su un canale indipendente, come il centralino o il sito istituzionale dell'ente.
I segnali tipici dei messaggi truffa sono descritti nell'articolo su come riconoscere le PEC sospette e il phishing.
SuperPEC: la casella attivata con la firma digitale del titolare
Nella SuperPEC di LetteraSenzaBusta la casella si attiva con la firma digitale cheFIRMA!, senza SPID: con la firma il titolare sottoscrive online il contratto di attivazione.
La firma cheFIRMA! si attiva gratis con la CIE di livello 3 oppure con il video riconoscimento a pagamento, quindi l'identità del titolare viene verificata prima che la casella esista. La casella è emessa da Intesi Group S.p.A., gestore PEC autorizzato dall'AgID.
Nell'uso quotidiano la webmail segnala se il destinatario è una PEC o una semplice email già mentre si digita l'indirizzo, ogni PEC in arrivo viene notificata via email e WhatsApp e le ricevute di accettazione e di consegna sono catalogate in automatico.
L'identificazione riguarda il titolare: come per ogni casella, la custodia delle credenziali resta a chi la usa.
Conclusione
La PEC prova invio, consegna, integrità e data di un messaggio, ma non chi lo ha scritto: il caso Revolut mostra che una casella istituzionale autentica può trasportare una richiesta falsa.
Gli indici IPA, INI-PEC e INAD dicono a chi appartiene un indirizzo, mentre per le richieste insolite resta decisiva la verifica con l'ente su un canale indipendente.
Per chi cerca una casella legata a un'identità verificata c'è la PEC attivata con la firma digitale del titolare.
Casella attiva? Ogni PEC in arrivo ti viene segnalata
Apri la tua SuperPEC Notifica di ogni arrivo via email e WhatsApp • Avviso se l'indirizzo digitato non è una PEC • Ricezione sempre gratuitaDomande frequenti (FAQ) sulla PEC e l'identità del mittente
Una PEC autentica non si può modificare senza che la firma del gestore sulla busta di trasporto lo riveli, ma un'email ordinaria può imitarne l'aspetto e una casella vera può essere usata da chi ne ha rubato le credenziali. I controlli da fare sono spiegati nell'articolo su quando una PEC perde valore legale.
Una PEC usata per phishing o truffa si segnala al gestore della casella da cui è partita e al CERT-AGID, all'indirizzo malware@cert-agid.gov.it. Se la casella è stata compromessa, il CERT-AGID chiede al gestore di resettarla; se è stata creata per scopi illeciti, ne chiede la dismissione.
Sì, la firma digitale apposta sul documento permette di verificarne provenienza e integrità, perché si basa sulla chiave privata del titolare (art. 1, c. 1, lett. s, del CAD). Quando conta la paternità di un atto, il documento firmato digitalmente si allega alla PEC, che ne prova invio e consegna.
