Come evitare le truffe: i controlli da fare prima di cliccare o pagare

Le sette abitudini qui sotto abbassano il rischio. Non lo azzerano. Molte truffe non hanno errori di ortografia, né un prezzo assurdo, né un dettaglio fuori posto, e alcune arrivano con il tuo nome, il tuo indirizzo e un acquisto recente già scritti dentro. Quando una situazione non si riesce a controllare, lasciarla per dopo è una decisione perfettamente valida.

Se invece hai già una situazione aperta adesso, un messaggio, una telefonata o un’offerta con una decisione che aspetta, parti da come capire se è una truffa.

1. Datti tempo prima di decidere

Quando qualcuno pretende un pagamento, un clic o una risposta immediata, è quello il momento di uscire dalla conversazione e andare a cercare una seconda fonte. Non devi nessuna discussione a chi ti ha chiamato. Puoi chiudere la telefonata, chiudere il messaggio e tornare sull’argomento quando hai controllato da un’altra parte.

Anche un problema vero può essere urgente. La differenza è che quello vero ti aspetta ancora quando apri l’app da solo, e nessuno di legittimo viene danneggiato dal fatto che tu ci metta dieci minuti. La fretta costruita è una delle poche cose che quasi tutte le truffe hanno in comune, ed è il motivo per cui la Polizia Postale, nei consigli contro il phishing, ripete che la strada sicura è collegarsi al sito digitando l’indirizzo che già conosci, invece di seguire il link arrivato nel messaggio.

2. Cerca tu il canale ufficiale

Esci dal messaggio e usa una strada che era già tua: l’app che hai installato tempo fa, l’indirizzo che sai digitare, il numero stampato sul retro della carta o sull’estratto conto. Non chiamare un numero arrivato nello stesso contatto che ti ha portato il problema.

Vale anche per le telefonate, e non solo perché la voce può essere convincente. Il numero che vedi sullo schermo si può falsificare: l’AGCOM ha introdotto un filtro che blocca le chiamate dall’estero con il numero del chiamante alterato, e dal 19 novembre 2025 il blocco vale anche per le numerazioni mobili falsificate, ma quello che parte dall’Italia resta fuori. Una chiamata che sembra italiana, quindi, non è ancora una garanzia.

Se l’altro canale non risponde

Il silenzio dall’altra parte non rende vera la richiesta. Se un familiare non risponde, aspetta, oppure chiama qualcun altro che saprebbe. Se l’assistenza ufficiale ha chiuso per oggi, non è un motivo per tornare al numero o al link del messaggio solo perché qualcuno ha detto che la scadenza è stasera.

Una fattura vera può avere una scadenza, una mora o un’altra condizione da prendere sul serio. Quelle cose si leggono sul documento, sul contratto, dentro l’app o sul sito ufficiale, appena è possibile. Finché non sai da dove arriva l’addebito e chi riceve i soldi, lascialo non pagato.

I tuoi dati corretti non dicono chi sta parlando

Il tuo nome completo, l’indirizzo, dove lavori, un acquisto recente: tutto questo può essere usato per far sembrare che un messaggio arrivi da un posto vero. Violazioni di archivi, registri pubblici e liste commerciali mettono in giro quei dettagli di continuo.

In mezzo a una conversazione non riesci a capire da dove sia uscito un dato, e provarci è una deviazione. Torna invece al canale ufficiale e guarda se la situazione descritta esiste davvero lì.

Lo stesso vale per una foto, un nome e un modo di scrivere familiare. Se un numero nuovo chiede soldi, chiama il numero vecchio, o parla con un’altra persona vicina, prima di mandare qualsiasi cosa.

3. Leggi tutto l’indirizzo prima di scrivere qualcosa

Un sito può copiare colori, foto e testi in modo identico. Quindi leggi l’indirizzo nella barra del browser invece dell’aspetto della pagina. Lettere scambiate, parole in più e terminazioni inattese sono tutti motivi per controllare da un’altra parte.

Leggi un indirizzo da destra verso l’interno, partendo dall’ultima parte prima della prima barra. Quel pezzo è il sito vero. Un indirizzo lungo con il nome di un’azienda conosciuta sepolto in mezzo non è quell’azienda.

L’https protegge la connessione, non i tuoi interessi. Dice che il traffico è cifrato, non che il negozio o la persona dietro siano onesti, e un sito falso può averlo con la stessa facilità di uno vero. I browser hanno smesso di mostrare un lucchetto proprio per questo: in troppi lo leggevano come un bollino di approvazione. In come riconoscere un sito falso c’è come separare il dominio dal resto di un indirizzo, e in come capire se un link è sicuro cosa fare prima di aprirne uno.

Link accorciati e pulsanti nascondono la destinazione finché non li apri. Quando un messaggio parla di una banca, di una consegna, di un rimborso o di una bolletta, abbandonare il link e aprire il servizio da soli è semplicemente più veloce che provare a decifrarlo.

4. Controlla chi riceve i soldi prima di approvare

Ogni schermata di pagamento ti mostra qualcosa sulla destinazione: un nome, una ragione sociale, un IBAN. Leggila prima di confermare. Se non corrisponde alla persona o all’azienda della storia che ti hanno raccontato, non mandare il pagamento.

Da questo punto di vista una cosa è cambiata da poco. Dal 9 ottobre 2025 banche e Poste Italiane devono verificare la corrispondenza tra il nome e l’IBAN del beneficiario, sia sui bonifici ordinari sia su quelli istantanei: la Banca d’Italia spiega che il controllo restituisce in tempo reale una corrispondenza, una mancata corrispondenza, una corrispondenza parziale o l’impossibilità di verificare, e che poi sei tu a decidere se confermare. È un’informazione per farti fermare, non un’assicurazione: se prosegui, il bonifico parte verso l’IBAN che hai scritto.

Scegli anche il metodo di pagamento in base al rischio. Un pagamento con carta ha dietro una procedura per contestare l’addebito. Un bonifico, un bonifico istantaneo, una ricarica di carta prepagata o una criptovaluta non hanno quello strato, ed è il motivo per cui sono i metodi che chi truffa chiede più spesso.

Anche quando il nome sembra giusto, la richiesta va comunque confermata. Un conto può essere intestato a una persona reclutata nello schema, e una storia può prendere in prestito una persona che conosci davvero. Raggiungi chi ti ha chiesto i soldi su un numero che avevi già, o contatta l’azienda sul suo canale.

Per una fattura, confronta il beneficiario con chi dovrebbe davvero essere pagato. Non accettare la spiegazione che i soldi devono andare su un conto diverso, di una società collegata o di un altro ufficio, senza confermarlo con l’azienda direttamente: un IBAN che cambia dentro una conversazione già aperta è uno degli schemi più ripetuti.

5. Occhio al piccolo addebito che non aspettavi

Una spesa di consegna, un costo di sblocco, una quota di registrazione, un piccolo pedaggio non pagato. L’importo è basso apposta. Pochi euro fanno sembrare esagerato mettersi a controllare, e la pagina che li incassa di solito chiede tutto il numero della carta, oppure porta a un pagamento molto più grande più avanti.

Se quell’addebito non lo aspettavi, cercalo dentro l’app o sul sito del negozio, dell’ente o del corriere, digitato da te. La Polizia Postale, nei consigli sugli acquisti online, invita a chiedere al venditore più dati possibili e a diffidare delle offerte troppo vantaggiose: lo stesso ragionamento vale per un pagamento piccolo chiesto all’improvviso.

La finta spesa di consegna è una delle storie più ripetute che esistano, insieme al finto avviso della banca e al parente con un numero nuovo. Le trovi tutte e tre in le truffe online più comuni, e la versione che arriva per SMS è spiegata in che cos’è lo smishing.

6. Se ti chiedono un codice, una password o un’installazione, chiudi il contatto

Non dettare una password, un codice usa e getta, una chiave di recupero o una risposta di sicurezza dentro una telefonata o una chat cominciata da qualcun altro. Non installare un’app, un’estensione o un programma perché chi ti ha chiamato dice che serve per risolvere un problema.

La finta assistenza chiede la condivisione dello schermo o l’accesso da remoto per aiutarti. Una volta che quel programma gira, l’altra persona può usare il dispositivo e vedere quello che c’è dentro. Apri il servizio da un canale trovato da te e controlla se esiste davvero una richiesta.

Un codice usa e getta vale quanto una password, perché è il pezzo che completa un accesso o una modifica dell’account. Se un codice arriva mentre non stavi entrando da nessuna parte, può essere che qualcuno stia provando a entrare, e non vuol dire che ci sia riuscito. Non passarlo a nessuno e vai a controllare le impostazioni di sicurezza di quell’account.

Se il codice riguardava il tuo numero di telefono e non un account, può essere l’inizio di un problema diverso. Una perdita improvvisa di linea, senza motivo, merita una chiamata all’operatore da un altro telefono.

Il meccanismo che sta dietro a tutte queste richieste, cioè convincere una persona invece di forzare un sistema, è raccontato in che cos’è l’ingegneria sociale.

7. Proteggi l’account prima che qualcuno ti contatti

Alcune protezioni funzionano prima che arrivi qualsiasi messaggio, e quasi tutte si impostano una volta sola.

• La verifica in due passaggi su email, banca, social e app di messaggistica. Con quella attiva, una password rubata da sola non basta per entrare. Un’app di autenticazione o una chiave fisica reggono meglio di un codice via SMS.
• Una password diversa per ogni servizio. Quando una password apre più account, una sola violazione li apre tutti. Un gestore di password rende la cosa praticabile senza doverle ricordare.
• Gli avvisi sulle operazioni attivi nell’app della banca e in quella della carta, così un pagamento che non riconosci ti arriva lo stesso giorno invece che a fine mese.
• I limiti impostati sulla tua spesa reale, dove la banca o l’app di pagamento lo permettono. Molte lasciano fissare un tetto ai bonifici o chiedere una conferma in più sopra un importo che scegli tu. Guarda cosa offre la tua, invece di darlo per scontato.
• Le credenziali di accesso ai servizi pubblici tenute per te. SPID e carta d’identità elettronica aprono conti previdenziali, fiscali e sanitari: nessun operatore telefonico, corriere o ufficio te li chiede per telefono o via messaggio.

In Italia non esiste un blocco gratuito del credito come quello che si può chiedere in altri paesi per impedire l’apertura di nuovi conti a tuo nome. Quello che puoi fare, se pensi che i tuoi documenti siano finiti in mano a qualcuno, è metterlo nero su bianco nella denuncia alla Polizia Postale, dirlo alla tua banca e tenere sotto controllo i movimenti del conto nelle settimane successive.

Perché nessuna lista basta

Non tutte le truffe usano la fretta, la grammatica sbagliata, un link o un prezzo impossibile. Non esiste un numero di segnali che dimostri che un messaggio è falso. Alcuni contatti legittimi sembrano strani, e una frode costruita bene può sembrare del tutto ordinaria.

Quindi tratta ogni segnale come un motivo per andare a cercare una conferma indipendente, non come una sentenza. Un prezzo molto sotto la media, la richiesta di non dirlo a nessuno, un pagamento verso un terzo, la difficoltà di trovare l’azienda fuori dal suo stesso annuncio: ognuna di queste cose aumenta il valore di un controllo, e va letta insieme al resto della situazione.

Conoscere le truffe online più comuni aiuta a riconoscere prima una forma. La protezione, però, continua a venire dall’uscire dalla storia che ti hanno consegnato e cercare l’informazione da un’altra parte.

Se hai già cliccato, dato dei dati o pagato

Cosa fare dipende da cosa è successo. Chiudi la pagina e interrompi il contatto. Salva il messaggio, il numero, l’indirizzo del sito e le eventuali ricevute. Non cancellare tutto prima di aver messo da parte quello che ti chiederanno la banca, la piattaforma o la Polizia.

1. Nella prima ora, chiama la banca se ci sono di mezzo soldi o dati della carta. Usa il numero stampato sulla carta, di’ chiaramente che si tratta di una frode, chiedi se il pagamento si può ancora fermare e fatti riemettere la carta. Se l’operazione non l’hai autorizzata tu, chiedi di disconoscerla: la Banca d’Italia spiega che la contestazione va fatta il prima possibile, e comunque entro tredici mesi dall’addebito.
2. Se il pagamento è partito da te, come in un bonifico che hai confermato, quel pagamento risulta autorizzato. La banca può provare a chiedere il rientro delle somme alla banca di chi le ha ricevute, ma il risultato dipende dal fatto che i soldi siano ancora lì. Chiedi cosa possono tentare e fatti dire cosa non possono fare, invece di aspettare un rimborso che potrebbe non arrivare.
3. Se hai dato una password, cambiala da un dispositivo di cui ti fidi, e cambiala ovunque avessi usato la stessa.
4. Se hai installato qualcosa o hai dato accesso al dispositivo, scollegalo da internet e fallo controllare prima di rientrare nei tuoi account da lì.
5. Se hai perso l’accesso a un account, usa solo la procedura di recupero del servizio, e avvisa i contatti che potrebbero ricevere richieste a tuo nome.
6. Denuncia. Sul sito della Polizia Postale si presenta la denuncia per reati telematici, che copre truffa, frode informatica, accesso abusivo a un sistema informatico e uso indebito di carte di pagamento: si entra con SPID o carta d’identità elettronica e la denuncia va formalizzata entro 48 ore in un ufficio di Polizia, su appuntamento preso dalla stessa piattaforma. Per un fatto senza soldi persi basta il modulo Segnala online.

Se la banca non risolve, presenta un reclamo scritto: sui servizi di pagamento deve rispondere entro 15 giorni lavorativi. Se la risposta non ti convince restano l’esposto alla Banca d’Italia e il ricorso all’Arbitro Bancario Finanziario, che richiede sempre il reclamo prima, va presentato entro dodici mesi da quel reclamo e arriva fino a 200.000 euro di richiesta.

La banca può rifiutare il rimborso se sostiene che hai agito con dolo o colpa grave. Non è un giudizio su di te: è un motivo che deve essere argomentato, e se non sei d’accordo con la risposta il reclamo e poi il ricorso servono proprio a quello.

Se il problema è un’azienda e non un criminale, l’AGCM raccoglie le segnalazioni sulle pratiche commerciali scorrette, senza formalità e senza avvocato, ma interviene sull’azienda e non restituisce i soldi al singolo. Se i tuoi dati personali sono finiti in giro, il Garante per la protezione dei dati personali riceve reclami e segnalazioni, gratis, dopo che hai chiesto conto a chi tratta i tuoi dati.

Se qualcuno ti minaccia o sei in pericolo in quel momento, chiama il 112, il numero unico di emergenza.

Cercare un guadagno, o rispondere alla richiesta di qualcuno che sembrava familiare, non rende nessuno responsabile di una truffa. Queste storie sono costruite per sembrare vere. La responsabilità è di chi le ha costruite.

Le fonti che abbiamo consultato

I consigli, le regole e i canali citati sopra sono stati verificati il 22 settembre 2026 su queste pagine:

• Polizia Postale: consigli contro il phishing e consigli sugli acquisti online
• Polizia Postale: Segnala online e denuncia per reati telematici
• Banca d’Italia: la verifica del beneficiario sui bonifici
• Banca d’Italia: operazioni di pagamento non autorizzate e cosa fare se si è vittima di truffe o frodi
• Arbitro Bancario Finanziario: le verifiche prima del ricorso
• AGCOM: il filtro anti-spoofing esteso alle numerazioni mobili
• AGCM: segnalare pratiche commerciali scorrette
• Garante per la protezione dei dati personali: come agire

L’esempio della finta spesa di consegna è inventato. Lo schema esiste davvero, ma la scena e l’importo sono creati da noi, e non compare nessun marchio, numero o layout di un’azienda reale. A parte quell’importo e i limiti di tempo e di valore indicati dalle fonti, questo articolo non riporta nessuna statistica.

Questo articolo non è una consulenza legale.

Domande frequenti su come evitare le truffe