Phishing: che cos’è e come riconoscere un messaggio falso

Che cos’è il phishing

Il nome viene dall’inglese fishing, pescare, e il paragone spiega bene il metodo: chi truffa getta un’esca, che è il messaggio, e aspetta che qualcuno abbocchi. La Banca d’Italia descrive lo stesso schema nella pagina del suo portale di educazione finanziaria dedicata alle truffe nei pagamenti, dove il phishing è l’email ingannevole che ti invita a cliccare un link o a inquadrare un codice QR per rubarti le credenziali o farti installare un programma dannoso.

Quello che cercano sono le tue password, i codici usa e getta che confermano un accesso, i dati del conto, il numero della carta e i dati personali che serviranno per la truffa successiva. Su un punto di questa lista vale la pena fermarsi: il codice che arriva via SMS per confermare un’operazione vale quanto una password, perché è il modo che il servizio ha di decidere che chi sta entrando sei tu.

Il phishing è una forma di ingegneria sociale, il nome che si dà alla conversazione e alla pressione che portano una persona ad agire contro il proprio interesse. Non dipende dagli errori di ortografia. Un messaggio falso può essere scritto bene, contenere dati veri su di te e arrivare con una spiegazione che sta in piedi.

Ed è un fenomeno grande. Nel bilancio dell’attività 2025 della Polizia Postale, pubblicato il 10 gennaio 2026, il cybercrime economico-finanziario da solo vale 27.085 casi trattati e 4.489 persone indagate, dentro un totale di 51.560 casi. Nello stesso anno il portale del Commissariato di PS online ha ricevuto circa 94.000 segnalazioni.

Il Garante per la protezione dei dati personali tiene una scheda sul phishing con un vademecum scaricabile, e due schede gemelle sulle versioni via SMS e via telefono. Il punto che ripete sempre è lo stesso: nessuna banca ti chiede PIN, password o codici di autorizzazione, perché sono proprio i dati che lei stessa ti dice di tenere riservati.

I segnali a cui stare attento

Il Garante privacy e la Banca d’Italia indicano più o meno gli stessi indizi. Diffida di un messaggio che:

• ti chiede una password, un codice usa e getta, il PIN o i dati del conto o della carta;
• dice che il tuo conto o un servizio sta per essere bloccato o chiuso subito;
• promette un premio, un rimborso o un pagamento che non aspettavi;
• ti dice di aggiornare i tuoi dati con urgenza;
• porta un link accorciato, di quelli che nascondono dove vanno a finire, oppure un indirizzo diverso da quello che quell’azienda usa di solito;
• usa toni ultimativi o intimidatori per farti rispondere in fretta.

Gli errori di grammatica sono nell’elenco anche loro, ma un testo scritto bene non dimostra niente. Un messaggio può copiare il tono e l’aspetto di un’azienda vera e restare falso, e può chiamarti per nome perché il tuo nome è facile da trovare. Per leggere un indirizzo prima di aprirlo, guarda come capire se un link è sicuro.

C’è poi un segnale che non riguarda il testo ma la situazione: il messaggio arriva da un canale che non hai scelto tu e offre una sola strada per risolvere, e quella strada passa da lì dentro. Un problema vero sul tuo conto esiste anche dentro l’app della banca, e ci resta finché non lo guardi.

Le forme più comuni

L’email è stato il primo canale, ma oggi la stessa idea si presenta in parecchie forme. Alcune hanno preso un nome proprio. Più che imparare i nomi, conviene riconoscere la situazione.

• Il messaggio di massa: lo stesso testo parte verso migliaia di persone, del tipo il tuo conto sta per essere bloccato oppure hai un rimborso in sospeso, contando sul fatto che una parte di chi lo riceve abbia davvero quel conto o quella pratica aperta.
• Il messaggio scritto apposta per te: usa il tuo nome, il tuo lavoro, un acquisto recente o un viaggio che hai in programma. Invece di gettare la rete, chi truffa punta a una persona sola. I dettagli di solito arrivano da un organigramma aziendale, da un profilo pubblico o da una fuga di dati.
• Per SMS o per telefono: un SMS truffa si chiama smishing e una telefonata truffa si chiama vishing. L’attenzione da avere è la stessa, anche se ogni canale ha le sue storie preferite.
• Un codice QR che porta altrove: incollato sopra quello vero di un parchimetro, su un volantino o dentro un messaggio, il codice apre una pagina falsa o un pagamento verso uno sconosciuto. Prima di scrivere qualcosa, leggi l’indirizzo che si è aperto.
• Un annuncio sponsorizzato falso: sta in cima ai risultati di ricerca o dentro un social e imita un negozio o una banca. Leggi l’indirizzo che il risultato mostra prima di cliccare, non il nome scritto sopra.
• Una pagina clonata: una copia del sito vero, a un indirizzo simile, che si tiene tutto quello che scrivi. Guarda come riconoscere un sito falso.

C’è anche la versione che parte da un ente pubblico, con una pratica da regolarizzare o un rimborso da riscuotere. Vale lo stesso principio: gli enti hanno i loro portali, e a quei portali si entra da soli, con le proprie credenziali, non da un link ricevuto.

La richiesta dice più dell’aspetto

Un messaggio può avere un logo, un nome conosciuto e perfino dati tuoi. Niente di tutto questo dimostra chi l’ha mandato. Guarda piuttosto il momento in cui qualcuno chiede una password, il codice appena arrivato sul telefono, l’installazione di un programma, un pagamento verso un conto nuovo o l’accesso attraverso un link che sta dentro la conversazione stessa.

Questo esempio è inventato da noi. Non riproduce il messaggio, il marchio, la schermata né il numero ufficiale di nessuna azienda vera: serve solo a mostrare il tipo di frase che viene usato.

La domanda utile non è se il messaggio sembra vero, perché sembrare vero è l’unica cosa che deve saper fare. La domanda utile è che cosa ti sta chiedendo di fare, e se quella cosa si può fare anche da un’altra parte.

Che cosa fare quando arriva un messaggio così

1. Non usare il pulsante, il link o il numero che ti hanno mandato. Chiudi il messaggio senza rispondere.
2. Entra tu nel servizio. Usa l’app che avevi già installato, oppure scrivi un indirizzo che conosci già.
3. Cerca quella stessa situazione dentro il tuo account. Controlla se l’acquisto, l’addebito, la spedizione o l’avviso di accesso esistono davvero.
4. Leggi chi riceverà il pagamento o le informazioni. Se il nome non torna con quello che ti aspettavi, fermati.

In Italia non esiste un numero breve a cui inoltrare gli SMS truffa, quindi non cercarlo: quello che serve fare è bloccare il mittente, segnalare il messaggio come spam dentro l’app di messaggistica o di posta, e poi avvisare chi di dovere. La Polizia Postale raccoglie le segnalazioni sul portale del Commissariato di PS online, nella pagina Segnala online, dove il phishing è una delle voci del modulo. È una segnalazione, non una denuncia, e la pagina lo dice chiaramente.

Se il messaggio diceva di venire dalla tua banca, la strada più corta resta la banca stessa: l’app che hai installato tu o il numero stampato sulla carta. La Banca d’Italia, nella pagina sulle truffe nei pagamenti citata sopra, mette la stessa regola in una riga: la banca non ti chiede mai le credenziali dell’home banking né i dati di pagamento per email o per telefono.

Se la situazione è un’emergenza in corso, cioè qualcuno che ti sta minacciando o un pericolo immediato, il numero da chiamare è il 112, il numero unico europeo di emergenza, gratuito da fisso e da mobile. Per un’email sospetta che hai solo ricevuto, invece, non serve: basta segnalare e cancellare.

Se hai già dato informazioni o pagato

Chiudi la pagina e parti da quello che può fare più danno. La colpa è di chi ha costruito la truffa, e la cosa utile adesso è limitare quello che può ancora succedere.

1. Se hai mandato soldi, chiama subito la banca. Di’ che è stata una truffa, spiega come hai pagato e chiedi che cosa si può ancora fare con quel mezzo di pagamento, perché un addebito sulla carta e un bonifico che hai disposto tu non sono la stessa cosa. La Banca d’Italia spiega nella pagina sulle operazioni di pagamento non autorizzate che l’intermediario deve rimborsare l’operazione non autorizzata entro la fine della giornata operativa successiva a quella in cui ne viene a conoscenza, salvo il caso in cui il cliente abbia agito con dolo o colpa grave, e che la contestazione va fatta senza ritardo e comunque entro 13 mesi dall’addebito. Quando invece l’ordine lo hai dato tu, anche se ingannato, la posizione è diversa: chiedi alla banca che cosa può provare a fare, senza dare per scontato un rimborso.
2. Se hai dato i dati della carta, bloccala adesso. Puoi farlo dall’app della banca o chiamando il numero stampato sulla carta stessa. Chiedi anche una carta nuova e controlla gli ultimi movimenti insieme all’operatore.
3. Cambia la password che hai scritto. Fallo dall’app o dal sito ufficiale, e cambiala anche in ogni altro posto dove usavi la stessa. Attiva la verifica in due passaggi dove non ce l’hai: è quella che chiede un secondo dato oltre alla password, la stessa autenticazione forte che la Banca d’Italia indica come protezione di base nei pagamenti.
4. Se hai dato un codice, entra nell’account dalla porta ufficiale. Cerca nelle impostazioni l’elenco dei dispositivi collegati o delle sessioni aperte, chiudi quelle che non riconosci e avvisa l’azienda con un canale che usavi già.
5. Se hai installato un programma perché te l’hanno chiesto, può essere uno strumento di accesso remoto, di quelli che permettono a un’altra persona di vedere e comandare il tuo schermo a distanza. Stacca quel dispositivo da internet e usane un altro per chiamare la banca e cambiare le password.
6. Denuncia e conserva le prove. La denuncia per reati telematici si presenta agli uffici di polizia; il Commissariato di PS online spiega nella pagina Denuncia per reati telematici che per truffa, frode informatica, accesso abusivo a un sistema informatico e indebito utilizzo di carte si può iniziare con una pre-denuncia online, con SPID o CIE, da formalizzare poi in ufficio su appuntamento. Conserva il messaggio, l’indirizzo della pagina, le ricevute e ogni numero di pratica.

Se la banca ti risponde e la risposta non ti convince, esiste una strada prima del giudice. La Banca d’Italia spiega come funziona l’Arbitro Bancario Finanziario: prima mandi un reclamo scritto all’intermediario, che per i servizi di pagamento ha 15 giorni per rispondere, e se la risposta non arriva o non ti soddisfa puoi fare ricorso entro 12 mesi, con 20 euro di contributo spese e senza bisogno di un avvocato.

Puoi anche segnalare la truffa ad Altroconsumo, che raccoglie gratuitamente SMS, telefonate e siti truffa, li analizza e pubblica i casi più ricorrenti per avvisare gli altri.

Niente di tutto questo dice qualcosa sulla persona che ha risposto. Questi messaggi sono scritti per assomigliare a quelli che già ricevi, e arrivano in una sera qualunque, in mezzo a tutto il resto. Che uno passi non è distrazione. È esattamente quello per cui è stato costruito.

Domande frequenti sul phishing