Istanza via PEC arrivata in ritardo, procura non attestata e sospetto phishing

La domanda e tempestiva. Nei procedimenti telematici il momento rilevante per il rispetto del termine e quello in cui la trasmissione viene presa in carico dal gestore PEC del mittente: la ricevuta di accettazione delle 11:58 prova che il messaggio e stato inviato prima delle 12:00.

Il ritardo nella consegna (12:14) dipende dalla casella del destinatario, che aveva esaurito lo spazio: e un disservizio organizzativo dell'ente, non del mittente, e non puo essere convertito in una causa di esclusione. Diversa sarebbe l'ipotesi di una casella disattivata o inesistente per una scelta dell'ente non comunicata agli utenti: in quel caso la responsabilita resta dell'ente e il mittente dovrebbe provare di aver tentato l'invio all'indirizzo pubblicato.

Condotta corretta dell'ufficio:

1. Protocollare la domanda con data e ora della ricevuta di accettazione.
2. Dare atto nel verbale della ricevuta di consegna tardiva e della causa.
3. Ripristinare immediatamente la quota della casella e verificare, con il gestore, che il disservizio non abbia fatto perdere altre domande.
4. Non richiedere al candidato una nuova trasmissione: sarebbe una duplicazione inutile e potenzialmente lesiva.

La firma digitale di Deluca e una firma elettronica qualificata: prova l'identita del firmatario, ma non il suo potere di rappresentanza. Quel potere dipende dalla procura.

La procura allegata e una copia per immagine di un documento cartaceo: e idonea se accompagnata dall'attestazione di conformita all'originale resa da un pubblico ufficiale autorizzato (art. 22 CAD) o se la conformita non viene disconosciuta; in mancanza di attestazione il documento e irregolare, ma la volonta della Neri e l'identita del delegante sono verificabili.

Condotta corretta del RUP:

1. Non escludere: l'esclusione per un vizio formale sanabile sarebbe sproporzionata e contraria al principio di massima partecipazione.
2. Attivare il soccorso istruttorio (art. 101 d.lgs. 36/2023 come principio generale, richiamabile anche negli avvisi di contributo), assegnando un termine certo per produrre la procura con attestazione di conformita o una dichiarazione sostitutiva ex art. 46 d.P.R. 445/2000.
3. Sospendere il termine di conclusione del procedimento durante l'integrazione.
4. Verbalizzare la richiesta e la risposta, cosi da rendere trasparente la deroga alla regola formale.

La domanda resta quindi ammissibile con riserva, fino all'integrazione documentale.

Indicatori di phishing:

• il link punta a un dominio diverso da quello istituzionale;
• l'oggetto crea urgenza («entro oggi»);
• un contratto non si «firma» cliccando un link: la richiesta e estranea alle modalita ordinarie;
• l'indirizzo di provenienza non coincide con quello presente in anagrafica del fornitore;
• assenza di protocollo e di riferimenti alla procedura.

Azioni immediate:

1. Non cliccare, non aprire l'allegato, non inserire credenziali o SPID/CIE.
2. Conservare il messaggio con gli header completi e inoltrarlo come allegato al CSIRT competente (per la PA il CSIRT nazionale presso l'ACN) e al responsabile per la transizione digitale.
3. Verificare con il fornitore usando un canale ricavato dall'anagrafica (telefono), mai il «rispondi».
4. Protocollare la segnalazione come evento di sicurezza.

Se qualcuno ha inserito le credenziali: cambio immediato della password, verifica dell'autenticazione a piu fattori, controllo degli accessi anomali e valutazione della notifica al Garante entro 72 ore se si e verificata una violazione di dati personali (artt. 33-34 GDPR).

Misure tecniche: verificare i record SPF, DKIM e DMARC del dominio dell'ente, bloccare il dominio truffaldino e avviare una comunicazione interna di sensibilizzazione.