Come riconoscere email di phishing e truffe online

1. Che cos'è il phishing

Il phishing è una tecnica di frode informatica nella quale un malintenzionato si finge un soggetto affidabile per convincere la vittima a compiere un'azione: comunicare credenziali, inserire dati bancari, aprire un allegato, autorizzare un pagamento o installare un programma.

Il contatto può arrivare attraverso diversi canali:

• Email: messaggi che imitano banche, servizi di pagamento, piattaforme online o aziende conosciute.
• SMS (smishing): messaggi che invitano a cliccare su un collegamento per sbloccare un conto, pagare una spedizione o evitare una presunta sanzione.
• Telefonate (vishing): chiamate nelle quali il truffatore si presenta come operatore bancario, tecnico o addetto all'assistenza.
• Messaggi sui social e nelle chat: comunicazioni che promettono premi, offerte o chiedono denaro e codici di accesso.

L'obiettivo è sfruttare la fiducia, la fretta o la preoccupazione della persona. Il messaggio può sembrare autentico anche quando contiene loghi, colori e testi copiati da un servizio reale.

2. Le principali tipologie di phishing e truffe online

Le tecniche utilizzate dai truffatori sono numerose e cambiano nel tempo. Conoscere le più comuni aiuta a riconoscere situazioni sospette.

3. Come riconoscere un'email di phishing

Un messaggio fraudolento può essere scritto in modo approssimativo, ma non è sempre così: alcune email sono curate e prive di errori evidenti. È quindi importante valutare più elementi insieme, senza basarsi soltanto sulla grammatica o sull'aspetto grafico.

I segnali da controllare

• Richiesta urgente: il messaggio sostiene che il conto verrà bloccato, che un pagamento è in sospeso o che devi agire entro pochi minuti.
• Richiesta di dati riservati: ti invita a comunicare password, PIN, codici temporanei o dati completi della carta.
• Mittente insolito: l'indirizzo non corrisponde al dominio ufficiale dell'organizzazione o contiene variazioni difficili da notare.
• Collegamento inatteso: il testo del link sembra corretto, ma la destinazione effettiva è un dominio diverso.
• Allegato non richiesto: il messaggio contiene un documento, un archivio o un file eseguibile che non ti aspettavi.
• Saluto generico o informazioni incoerenti: il testo non riconosce il rapporto con il servizio o riporta dati che non corrispondono alla tua situazione.
• Promesse o minacce: annuncia premi, rimborsi o vincite inattese, oppure minaccia sanzioni e sospensioni.

4. Controllare l'indirizzo del mittente

Il nome visualizzato nella casella di posta può essere scelto da chi invia il messaggio e può quindi imitare il nome di una banca, di un corriere o di un servizio online. Per questo è importante controllare l'indirizzo email completo, non soltanto il nome mostrato accanto al messaggio.

Ad esempio, un messaggio che dichiara di provenire da una banca potrebbe mostrare il nome dell'istituto, ma utilizzare un indirizzo che termina con un dominio estraneo. Anche piccole variazioni, come lettere aggiunte, trattini o parole inserite nel dominio, possono rendere un indirizzo ingannevole.

Per verificare il mittente:

1. Apri i dettagli del messaggio o seleziona il nome del mittente per visualizzare l'indirizzo completo.
2. Controlla con attenzione la parte che segue il simbolo @.
3. Confronta il dominio con quello riportato sul sito ufficiale del servizio, raggiunto digitando direttamente l'indirizzo nel browser.
4. Se il messaggio riguarda un pagamento o una modifica importante, contatta l'organizzazione usando un numero o un canale già conosciuto.

Attenzione: anche l'indirizzo del mittente può essere falsificato in alcune circostanze. Un dominio apparentemente corretto non deve essere l'unico elemento su cui basare la decisione.

5. Come controllare un link sospetto senza aprirlo

Uno dei metodi più utilizzati nelle truffe è inserire un collegamento che conduce a una pagina falsa, graficamente simile a quella di una banca o di un servizio conosciuto. La pagina può chiedere di inserire nome utente, password, codici di sicurezza o dati di pagamento.

Prima di aprire un link ricevuto via email o SMS, controlla la destinazione effettiva:

1. Da computer, porta il puntatore del mouse sopra il collegamento senza fare clic.
2. Osserva l'indirizzo che compare nella barra di stato del browser o nell'anteprima del collegamento.
3. Controlla attentamente il nome del dominio e verifica che sia quello ufficiale.
4. Se utilizzi uno smartphone, evita di aprire il link per controllarlo: usa il sito o l'app ufficiale raggiunti autonomamente.

Un indirizzo può contenere il nome di un'azienda senza appartenere realmente a quell'azienda. Per esempio, in un URL come https://banca-esempio.truffa.test/login, il dominio principale è truffa.test, non banca-esempio.

6. Attenzione agli allegati email

Gli allegati possono contenere codice dannoso o condurre l'utente a installare programmi indesiderati. Un messaggio fraudolento può presentare il file come fattura, ricevuta, documento di spedizione o comunicazione urgente.

Presta particolare attenzione a:

• file eseguibili, ad esempio .exe, .msi e script;
• archivi compressi ZIP o RAR che contengono file inattesi;
• documenti che chiedono di attivare macro o contenuti per visualizzare informazioni;
• file con estensioni doppie o nomi progettati per nascondere il tipo reale, ad esempio documento.pdf.exe.

Non aprire allegati che non aspettavi, anche se sembrano provenire da un contatto conosciuto: l'account del mittente potrebbe essere stato compromesso o il nome visualizzato potrebbe essere contraffatto.

Se devi verificare un documento, contatta il mittente attraverso un canale indipendente e chiedi conferma dell'invio. Non abilitare macro o contenuti attivi soltanto perché il documento lo richiede.

7. Esempi di messaggi fraudolenti molto comuni

Le truffe cambiano continuamente, ma alcuni schemi ricorrono spesso. Ecco alcuni esempi di comunicazioni da verificare con particolare attenzione.

Questi esempi sono illustrativi. Un messaggio reale può avere un testo diverso, ma mantenere lo stesso obiettivo: farti agire senza verificare.

8. Come proteggersi da phishing e truffe online

La difesa più efficace consiste nel combinare attenzione personale e strumenti di sicurezza. Segui queste precauzioni quando utilizzi la posta elettronica, i servizi online e le app di messaggistica:

• Non aprire link e allegati inattesi.
• Controlla l'indirizzo completo del mittente e il dominio dei collegamenti.
• Non comunicare password, PIN o codici temporanei tramite email, SMS o telefonate non verificate.
• Accedi ai servizi digitando direttamente il loro indirizzo o utilizzando l'app ufficiale.
• Attiva l'autenticazione a due fattori sugli account importanti.
• Utilizza password diverse e robuste per ogni servizio.
• Mantieni aggiornati Windows, browser e antivirus.
• Attiva i filtri antispam disponibili nel servizio di posta.
• Segnala i messaggi sospetti come phishing o spam.
• Verifica richieste di denaro e modifiche bancarie con un secondo canale.

9. Che cosa fare se hai cliccato su un link sospetto

Se hai aperto un collegamento sospetto, non significa automaticamente che il computer sia stato infettato o che i tuoi dati siano stati rubati. Il rischio dipende da ciò che è successo dopo aver aperto la pagina.

Se hai soltanto visualizzato la pagina e non hai inserito dati né scaricato file, chiudila e non interagire ulteriormente. Se invece hai scaricato un file, non aprirlo e avvia un controllo con l'antivirus.

Se hai inserito una password o altre credenziali:

1. Apri il servizio digitando manualmente il suo indirizzo ufficiale da un dispositivo affidabile.
2. Modifica immediatamente la password dell'account coinvolto.
3. Se la stessa password è stata riutilizzata altrove, cambiala anche sugli altri servizi.
4. Attiva l'autenticazione a due fattori, se disponibile.
5. Controlla gli accessi recenti, le sessioni attive e le informazioni di recupero dell'account.
6. Se hai comunicato dati bancari o della carta, contatta subito la banca tramite i canali ufficiali e segui le sue istruzioni.

Se hai installato un programma sospetto o concesso il controllo remoto del PC, interrompi la sessione, scollega il dispositivo dalla rete se necessario e chiedi assistenza tecnica. Non utilizzare il computer sospetto per modificare password importanti.

10. Che cosa fare se hai comunicato dati bancari o effettuato un pagamento

Se hai inserito i dati della carta, comunicato codici di autorizzazione o disposto un bonifico in seguito a un messaggio fraudolento, agisci rapidamente.

1. Contatta immediatamente la banca usando il numero riportato sulla carta, nell'app ufficiale o sul sito digitato manualmente.
2. Spiega che sospetti una frode e indica quali informazioni hai comunicato o quale operazione hai autorizzato.
3. Chiedi se è necessario bloccare la carta o gli strumenti di pagamento e quali procedure sono disponibili per contestare l'operazione.
4. Conserva le prove: email, SMS, indirizzi web, ricevute, numeri di telefono e schermate utili.
5. Segnala l'accaduto alle autorità competenti, seguendo le indicazioni della Polizia Postale.

Non contattare numeri telefonici inseriti nel messaggio sospetto e non pagare eventuali persone che promettono di recuperare il denaro in cambio di un anticipo: anche questa può essere un'ulteriore truffa.

11. Come segnalare un tentativo di phishing

Segnalare i messaggi fraudolenti può aiutare i servizi di posta e le autorità a individuare e contrastare le campagne di truffa.

• Nel servizio di posta: utilizza il comando Segnala phishing o Segnala come spam, se disponibile. Non limitarti a inoltrare il messaggio ad altri utenti.
• Per truffe online: consulta il portale ufficiale della Polizia Postale per informazioni e indicazioni sulle segnalazioni.
• Per frodi bancarie: contatta prima possibile la banca attraverso i suoi canali ufficiali.
• In ambito lavorativo: avvisa il reparto IT o il responsabile della sicurezza, soprattutto se hai aperto allegati o inserito credenziali aziendali.

Quando conservi le prove, evita di diffondere ulteriormente link e allegati pericolosi. Se devi inviare un messaggio sospetto al supporto tecnico, segui la procedura indicata dall'organizzazione.

Domande frequenti su phishing e truffe online

Conclusioni

Le email di phishing e le truffe online diventano sempre più curate e possono imitare comunicazioni di aziende, banche e persone conosciute. Per questo non basta osservare il logo o leggere il nome del mittente: è necessario controllare l'indirizzo completo, verificare i collegamenti e diffidare delle richieste inattese di credenziali o pagamenti.

Quando ricevi un messaggio urgente, fermati e verifica la richiesta attraverso il sito, l'app o un numero di telefono ufficiale. Non comunicare password e codici temporanei e non aprire allegati di provenienza incerta.

Se hai già fornito informazioni o autorizzato un pagamento, intervieni rapidamente: modifica le credenziali da un dispositivo sicuro e contatta la banca quando sono coinvolti dati o operazioni finanziarie.

Fonti e approfondimenti

• Polizia PostaleCommissariato di P.S. online – Polizia Postale
• ACNAgenzia per la Cybersicurezza Nazionale – Informazioni e consigli
• MicrosoftMicrosoft Support – Proteggersi dal phishing
• GoogleGuida Gmail – Identificare e segnalare email di phishing