Il phishing è un tentativo di ottenere dati riservati fingendo di essere un ente, una banca o un’azienda di cui ti fidi. Per riconoscerlo, controlla cinque cose: l’indirizzo completo del mittente, il tono del messaggio (urgenza o minacce), la richiesta di dati o pagamenti, gli errori nel testo e la destinazione reale dei link. Nel dubbio non cliccare e verifica contattando l’ente attraverso i recapiti ufficiali.
La Banca d’Italia, nel glossario del sito «L’economia per tutti», descrive il phishing come un’attività illecita volta ad acquisire dati sensibili o riservati, per esempio numero di carta di credito, conto corrente, password, documenti d’identità, per ottenere credito o effettuare operazioni con una falsa identità. Le falsificazioni riguardano spesso marchi e indirizzi di posta di istituzioni finanziarie.
I segnali di un messaggio sospetto
L’Agenzia per la Cybersicurezza Nazionale (ACN), attraverso il CSIRT Italia, ha segnalato nel novembre 2024 un falso messaggio che si presentava come proveniente dallo stesso CSIRT e ne ha elencato le caratteristiche. Sono segnali che valgono per molti tentativi di phishing:
| Segnale | Cosa osservare |
|---|---|
| Indirizzo del mittente | Un ente pubblico non scrive da un dominio commerciale «.com» quando dovrebbe usare un dominio istituzionale come «.gov.it» |
| Tono minaccioso | Minacce di azioni legali imminenti o di blocco, con richiesta di rispondere subito |
| Richiesta di dati personali | Il messaggio chiede informazioni personali come parte di una «procedura» |
| Contenuti imprecisi | Nomi o sigle inventate, riferimenti generici |
| Errori di scrittura | Testi con errori grammaticali |
La Polizia di Stato, in un avviso del gennaio 2026 su una truffa che passa per la posta elettronica certificata, aggiunge altri punti: verificare sempre il mittente controllando l’indirizzo completo e non solo il nome visualizzato; diffidare di frasi che creano urgenza come «Azione immediata richiesta» o «Ultimo avviso prima del blocco»; non cliccare sui link e non aprire gli allegati se non si è certi della provenienza. L’avviso ricorda inoltre che il semplice fatto di aver ricevuto un messaggio via PEC non ne garantisce l’autenticità.
Come controllare un link o un sito
Un messaggio ben scritto può comunque portare a una pagina falsa. Alcune verifiche prima di inserire qualsiasi dato:
- Non usare il link nel messaggio: digita l’indirizzo dell’ente nel browser o usa l’app ufficiale.
- Leggi con attenzione l’indirizzo: i siti falsi imitano nomi noti con lettere scambiate, trattini o estensioni diverse.
- Diffida delle offerte troppo vantaggiose: la Polizia Postale ha avvertito, per esempio, di messaggi che propongono premi in cambio di un pagamento esiguo; suggerisce di verificare le iniziative attraverso i canali ufficiali e di controllare se altri utenti le hanno già segnalate come truffa.
- Cerca i riferimenti dell’azienda: denominazione, sede, partita IVA e recapiti devono essere reali e verificabili.
- Osserva come si chiede di pagare: richieste di pagamento con metodi difficilmente tracciabili sono un segnale d’allarme.
Attenzione: il lucchetto nella barra del browser indica che la connessione è cifrata, non che il sito sia affidabile. Anche un sito falso può usare una connessione protetta.
Tre esempi di messaggi sospetti (inventati)
Gli esempi seguenti sono di fantasia e servono a mostrare come ragionare: non riproducono messaggi reali.
| Messaggio | Cosa non torna | Cosa fare |
|---|---|---|
| «Il tuo conto sarà bloccato tra 24 ore. Clicca qui per verificare i tuoi dati.» | Urgenza, minaccia di blocco, richiesta di dati tramite link | Non cliccare; accedi solo dal sito o dall’app ufficiale della banca e contatta la banca ai recapiti ufficiali |
| «Il tuo pacco non può essere consegnato: paga 1,99 € di spese doganali.» | Richiesta di un piccolo pagamento tramite un link ricevuto senza aver ordinato nulla di simile | Controlla gli ordini effettivi sul sito del negozio o del corriere, digitando tu l’indirizzo |
| «Sei stato selezionato per un premio: conferma i tuoi dati per il ritiro.» | Premio non richiesto, dati personali in cambio | Ignora, non rispondere e, se vuoi, segnala il messaggio |
Proteggersi in anticipo
- Tieni aggiornati sistema operativo, browser e antivirus.
- Usa password diverse per servizi diversi: se una viene rubata, le altre restano al sicuro.
- Attiva, dove possibile, una verifica in due passaggi: anche se qualcuno ottiene la password, non basta per entrare.
- Conserva le comunicazioni ufficiali di banche ed enti nelle aree riservate dei loro siti, così puoi confrontarle con ciò che ricevi per email.
Cosa non fare mai
- Non rispondere e non fornire informazioni personali, come indica l’ACN.
- Non cliccare sui link né aprire gli allegati di messaggi di cui non sei certo.
- Non comunicare password, codici di sicurezza o dati della carta per email, SMS o telefono.
- Non farti mettere fretta: la fretta è lo strumento principale di chi cerca di ingannarti.
Cosa fare se hai cliccato o hai inserito dei dati
- Interrompi subito: chiudi la pagina e non inserire altro.
- Se hai dato dati di pagamento: contatta subito la banca o l’emittente della carta, usando i recapiti ufficiali, per bloccare le operazioni.
- Se hai dato una password: cambiala subito sul servizio interessato e su qualsiasi altro dove la usi.
- Controlla i movimenti e gli accessi ai tuoi account nelle ore e nei giorni successivi.
- Segnala: l’ACN suggerisce di segnalare il messaggio come phishing tramite il proprio provider di posta e di denunciare l’accaduto alle autorità competenti; la Polizia Postale indica il sito ufficiale commissariatodips.it per informazioni e segnalazioni.
- Verifica le tue copie dei dati: se il messaggio conteneva un allegato aperto, controlla che i tuoi file siano al sicuro. A questo scopo è utile avere un backup con la regola 3-2-1.
Checklist prima di cliccare
- Il mittente è un indirizzo ufficiale e completo?
- Il messaggio mi mette fretta o mi minaccia?
- Chiede dati personali, credenziali o pagamenti?
- Il testo contiene errori o riferimenti generici?
- Posso verificare la richiesta contattando l’ente dai recapiti che trovo sul suo sito ufficiale?
Domande frequenti
Le banche chiedono mai le password per email?
Non è una prassi da accettare: se ricevi una richiesta di credenziali o di codici per email, SMS o telefono, non rispondere e contatta la banca dai recapiti ufficiali.
Un messaggio che usa il mio nome è sicuramente vero?
No. Chi organizza truffe può conoscere alcuni dati personali e usarli per rendere credibile il messaggio. Conta la verifica del mittente, non la personalizzazione.
Cosa succede se segnalo un messaggio?
La segnalazione aiuta le autorità e i fornitori di posta a riconoscere e bloccare la campagna, e può proteggere altre persone.
Fonti e approfondimenti
- Mail dello CSIRT Italia con «Ordine immediato di reato informatico»: attenzione, è un fake! — ACN, CSIRT Italia, 7 novembre 2024.
- Postale: attenzione alla truffa via PEC — Polizia di Stato, 9 gennaio 2026.
- Phishing: nuovo alert della Polizia postale — Polizia di Stato, 16 gennaio 2025.
- Phishing — glossario «L’economia per tutti», Banca d’Italia.
Le fonti sono state consultate il 22 settembre 2026. Le minacce cambiano rapidamente: per avvisi aggiornati consulta i siti ufficiali di ACN e Polizia Postale.
