PEC e Sistema di Interscambio: due ruoli diversi

Le false PEC che imitano lo SdI, cos'è il Sistema di Interscambio, PEC o codice destinatario, ricevute, fatture non arrivate e controlli sul mittente

Confondere PEC e SdI è proprio ciò su cui contano le false fatture: la PEC trasporta il messaggio, mentre è lo SdI a validare la fattura e a recapitarla all'indirizzo scelto dal cliente.

Per questo una PEC che parla di fatture non diventa autentica solo perché è certificata: secondo l'Agenzia delle Entrate, le PEC vere dello SdI partono da indirizzi del tipo sdiNN@pec.fatturapa.it e hanno sempre due allegati.

Ricevute, caselle e valore legale della posta certificata sono spiegati nella guida alla PEC e alle sue ricevute.

Takeaways - Punti chiave dell'articolo

• False notifiche SdI: Le PEC truffa imitano l'oggetto «Invio File» dello SdI e allegano un archivio compresso con un file HTML, come riportato il 2 novembre 2026 dal Quotidiano Piemontese.
• Mittente dello SdI: Secondo l'Agenzia delle Entrate, le PEC autentiche dello SdI partono sempre da un indirizzo del tipo sdiNN@pec.fatturapa.it e contengono sempre due allegati.
• PEC o codice: Lo SdI recapita la fattura al codice destinatario di 7 caratteri oppure, con il codice convenzionale «0000000», alla PEC indicata nel campo PECDestinatario.
• Scarto in 5 giorni: Se il file non supera i controlli, lo SdI invia una ricevuta di scarto entro 5 giorni e la fattura si considera non emessa.
• Fattura non arrivata: Con la PEC del cliente piena o non attiva, lo SdI mette la fattura nell'area riservata del cliente sul sito dell'Agenzia delle Entrate e informa chi l'ha trasmessa.

Come funzionano le false PEC che imitano lo SdI?

Le false PEC che imitano lo SdI copiano l'aspetto delle notifiche di fatturazione elettronica per far aprire un allegato o un link: non consegnano una fattura, ma cercano di rubare credenziali o di installare un malware.

Secondo quanto riportato il 2 novembre 2026 dal Quotidiano Piemontese, che riprende le segnalazioni dell'Agenzia delle Entrate e del CERT-AGID, l'oggetto imita le notifiche dello SdI con la dicitura «Invio File» seguita da un codice.

L'allegato è un archivio compresso che contiene un file HTML: aperto, mostra un pulsante di download che porta a un'infrastruttura malevola. Il messaggio può partire anche da una casella PEC autentica ma compromessa.

Lo schema non è nuovo: il 14 ottobre 2019 l'Agenzia delle Entrate aveva già segnalato PEC con oggetto «Invio File» e testi copiati dalle comunicazioni dello SdI, nel comunicato sulle false PEC di fatturazione elettronica.

Le fatture restano un'esca ricorrente: nella settimana dal 24 al 30 ottobre 2026 il CERT-AGID ha censito 121 campagne malevole, e il tema «Fattura» compare tra quelli usati dai malware Remcos e XWorm, come riporta la sintesi settimanale del CERT-AGID.

Le altre false comunicazioni a nome del Fisco sono descritte nell'articolo sugli atti dell'Agenzia delle Entrate e le false email.

Che cos'è il Sistema di Interscambio (SdI)?

Il Sistema di Interscambio (SdI) è la piattaforma dell'Agenzia delle Entrate attraverso cui passano le fatture elettroniche: riceve il file dal fornitore, ne controlla i dati e lo recapita al cliente.

Le regole tecniche sono fissate dai provvedimenti dell'Agenzia delle Entrate, a partire da quello n. 89757 del 30 aprile 2018. Lo SdI recapita le fatture tramite PEC oppure tramite canali che richiedono un accreditamento, come il web service e il trasferimento di file.

La PEC, quindi, è solo uno dei mezzi di trasporto: certifica che il messaggio è partito ed è stato consegnato, ma non verifica il contenuto della fattura, che resta compito dello SdI.

Devo fornire la PEC o il codice univoco per la fattura elettronica?

Per ricevere una fattura elettronica basta fornire uno dei due dati: il codice destinatario di 7 caratteri, associato a un canale accreditato, oppure un indirizzo PEC, che il fornitore inserisce in fattura insieme al codice convenzionale «0000000».

Chi registra il proprio indirizzo telematico nel servizio dell'Agenzia delle Entrate riceve le fatture sempre a quell'indirizzo, qualunque dato indichi il fornitore (punto 3.3 del provvedimento n. 89757/2018).

Le due strade a confronto:

Come faccio a sapere se la fattura elettronica è stata accettata?

Una fattura elettronica è stata accettata quando lo SdI invia a chi l'ha trasmessa la ricevuta di consegna, oppure comunica che il file è stato messo a disposizione nell'area riservata del cliente: entrambi gli esiti attestano che la fattura è emessa.

Gli esiti possibili sono tre:

• Ricevuta di consegna: il file è stato recapitato all'indirizzo del cliente (punto 4.2 del provvedimento).
• Messa a disposizione: il recapito non è riuscito, ma la fattura è nell'area riservata del cliente e la data di messa a disposizione viene comunicata al trasmittente (punto 4.3).
• Ricevuta di scarto: il file non ha superato i controlli; arriva entro 5 giorni e la fattura si considera non emessa (punti 2.4 e 4.1).

Le ricevute di accettazione e di consegna del gestore PEC riguardano solo il messaggio inviato allo SdI: l'esito della fattura lo indicano le ricevute dello SdI.

Cosa fare se la fattura inviata allo SdI non è arrivata al cliente?

Se la fattura inviata allo SdI non arriva al cliente perché la sua PEC è piena o non attiva, o perché il canale non funziona, lo SdI la mette a disposizione nell'area riservata del cliente sul sito dell'Agenzia delle Entrate e ne informa il trasmittente.

In questo caso il fornitore deve avvisare il cliente con un mezzo diverso dallo SdI, comunicandogli che l'originale è nella sua area riservata; può farlo anche consegnandogli una copia informatica o cartacea della fattura (punto 3.3 del provvedimento).

Se invece è arrivata una ricevuta di scarto, la fattura non risulta emessa: il file va corretto e trasmesso di nuovo allo SdI.

Per il cliente conta lo spazio della casella: con la PEC piena la fattura non entra in casella e va cercata nell'area riservata.

Come capire se una fattura ricevuta via PEC è vera?

Una fattura ricevuta via PEC è vera se il messaggio arriva da un indirizzo dello SdI, contiene gli allegati previsti e trova riscontro presso il fornitore, contattato con un recapito già noto e non con i dati del messaggio.

I controlli utili sono quattro:

• Mittente: le PEC dello SdI partono da indirizzi del tipo sdiNN@pec.fatturapa.it, dove NN è un numero di due cifre.
• Allegati: le notifiche autentiche hanno sempre due allegati costruiti secondo le specifiche tecniche; un archivio compresso con un file HTML è un segnale d'allarme.
• Richieste: l'Agenzia delle Entrate invita a cancellare subito le PEC sospette che chiedono di cambiare l'indirizzo a cui lo SdI recapita le comunicazioni.
• Link: i siti ufficiali si raggiungono digitando l'indirizzo, senza cliccare sui link del messaggio e senza inserirvi password o codici.

Il mittente da solo non basta, perché una casella vera ma compromessa invia messaggi regolarmente certificati. Gli altri segnali da controllare sono nell'articolo su come riconoscere le PEC sospette.

SuperPEC: una casella per ricevere le fatture e leggerle subito

La casella SuperPEC di LetteraSenzaBusta si può comunicare ai fornitori come indirizzo per le fatture elettroniche: la ricezione è gratuita, senza canone, rinnovo o scadenza.

Le fatture XML e i file firmati .p7m si aprono con il visualizzatore gratuito della webmail, senza scaricarli, come spiega l'articolo sulla visualizzazione di fatture XML e allegati P7M.

Lo spazio della casella è illimitato e ogni PEC in arrivo viene segnalata gratis via email e WhatsApp.

I messaggi PEC si conservano a norma per 10 anni con DocuCloud, a 0,97 euro per MB; chi deve conservare le fatture e per quanto è spiegato nell'articolo sull'obbligo di conservazione delle fatture elettroniche.

La casella si attiva con la firma digitale cheFIRMA!, gratuita con la CIE di livello 3; il gestore è Intesi Group S.p.A., autorizzato da AgID.

Conclusione

PEC e SdI svolgono ruoli diversi: la PEC certifica l'invio e la consegna di un messaggio, lo SdI riceve, controlla e recapita le fatture elettroniche, e la PEC è solo uno dei suoi canali.

Una PEC sulle fatture va giudicata dal mittente sdiNN@pec.fatturapa.it, dai due allegati previsti e dal riscontro del fornitore, non dal fatto di essere certificata, come ricorda l'allerta del 2 novembre 2026 sulle false notifiche «Invio File».

Chi vuole ricevere le fatture in una casella certificata può indicare ai fornitori un indirizzo PEC che non scade.