Come riconoscere un sito falso prima di pagare

Una pagina falsa può copiare il nome, le foto, le descrizioni dei prodotti, le recensioni e il piè di pagina di un negozio vero. Che sia fatta bene dice solo che qualcuno l’ha costruita bene. Non dice chi controlla l’indirizzo.

Parti dal dominio, cioè la parte dell’indirizzo legata a chi risponde del sito. Poi controlla il canale ufficiale e il pagamento fuori dalla pagina su cui sei finito. Nessun segnale da solo dà una certezza, ma un dettaglio che non torna è già un motivo per fermarsi.

Cosa controllare in un minuto

Se stai per pagare, fai solo questo:

1. Leggi l’indirizzo nella barra del browser, lettera per lettera. L’indirizzo, non il nome scritto dentro la pagina.
2. Cerca la ragione sociale e la partita IVA nelle note legali, nelle condizioni di vendita o nell’informativa privacy, e controlla quel nome fuori dal sito.
3. Cerca il nome del negozio insieme alla parola “recensioni” o “truffa”, lontano dalle sue pagine.
4. Guarda chi riceverà i soldi. Confronta il nome che ti mostrano la banca o la pagina di pagamento con l’azienda che hai cercato.

Se qualcosa non torna, non pagare ancora. Esci dalla pagina e cerca tu l’indirizzo ufficiale prima di andare avanti.

1. Leggi l’indirizzo lettera per lettera

Tutto l’indirizzo merita attenzione, perché le parole conosciute possono stare in punti che non dicono niente su chi è il proprietario del dominio. La Polizia Postale fa la stessa osservazione nei consigli contro il phishing: anche quando il messaggio ti sembra autentico, collegati al sito digitando nel browser l’indirizzo che già conosci, invece di fidarti del link che ti è arrivato.

Gli indirizzi degli esempi di questo articolo sono inventati. Prendi questo: https://pagamento.negozio-esempio.example/ordine. Il protocollo è “https://”, il nome completo del sito è “pagamento.negozio-esempio.example”, il dominio è “negozio-esempio.example” e il percorso è “/ordine”. La terminazione “.example” è riservata agli esempi e non appartiene a nessun sito reale. Il dominio è l’ultima parte prima della prima barra, ed è quella che decide di chi è la pagina. Per sapere di chi è un indirizzo che ti hanno mandato, confronta quel dominio con l’indirizzo ufficiale che hai trovato da solo.

• Una lettera cambiata o raddoppiata. Una lettera in più, una “i” che diventa una “l”, una “m” scritta come “rn”.
• Una parola attaccata alla fine. Qualcosa come “ufficiale”, “promo”, “italia” o “outlet” aggiunto al nome vero.
• Un marchio infilato nel sottodominio o nel percorso. Una parola conosciuta può comparire prima del dominio, o dopo il nome del sito nel percorso, senza che questo renda l’indirizzo ufficiale.
• Una terminazione fuori posto. Un negozio che vende in Italia di solito finisce in “.it”, “.com” o “.eu”. Terminazioni poco comuni, o un indirizzo di hosting gratuito con il nome del marchio dentro, chiedono una seconda occhiata. Attenzione: nemmeno “.it” è un bollino di qualità, perché chiunque può registrarne uno.

Due abitudini coprono quasi tutto questo: non aprire il negozio dal link di un messaggio e, nel dubbio, digita tu l’indirizzo o entra dall’app che hai già installata. In come capire se un link è sicuro ci sono gli altri trucchi, come la chiocciola in mezzo a un indirizzo o le lettere prese in prestito da un altro alfabeto.

2. Scopri chi c’è dietro l’attività

Un negozio vero dice chi è. Cerca una ragione sociale, una partita IVA, una sede e un contatto, di solito nelle note legali, nelle condizioni di vendita o nell’informativa privacy. Un negozio che vende in tutta Italia e ti lascia solo un modulo di contatto e un nome di battesimo ha tolto proprio l’informazione che ti servirebbe per farti sentire se l’ordine va storto.

Poi cerca quel nome fuori dal sito. La verifica della partita IVA dell’Agenzia delle Entrate è un servizio pubblico e gratuito: inserisci il numero e ti dice se quella partita IVA è valida, se risulta attiva e a chi è intestata. È il controllo più veloce che puoi fare, e già ti dice se il numero scritto in fondo alla pagina corrisponde a qualcuno.

Il passo successivo è il Registro delle Imprese, tenuto dalle Camere di Commercio, dove si cerca un’impresa per denominazione o per partita IVA. La visura camerale ordinaria è il documento che raccoglie i dati aggiornati dell’impresa: denominazione, forma giuridica, sede, codice fiscale e partita IVA, attività svolta e cariche. La visura completa è a pagamento, ma quello che stai confrontando è semplice: se un’impresa con quel nome esiste, se risulta ancora attiva e se l’attività registrata ha qualcosa a che fare con quello che ti stanno vendendo.

Non trovare niente non è, da solo, una prova di truffa. Ci sono attività che operano con un nome commerciale diverso da quello della società, e ci sono professionisti che non sono iscritti al Registro delle Imprese. Quello che significa è che ancora non sai a chi stai pagando, e quella è la domanda a cui devono rispondere gli altri controlli.

3. Guarda quanti anni ha il sito

I dati pubblici di un dominio contengono la data in cui è stato registrato. Per i domini “.it” la consultazione si fa dal Web Whois del Registro .it, gestito dall’Istituto di Informatica e Telematica del CNR di Pisa. Per le altre terminazioni la consultazione pubblica di ICANN mostra le stesse informazioni. I dati di contatto sono quasi sempre nascosti per privacy, quindi il campo utile è di solito la data di creazione.

Un dominio registrato qualche settimana fa merita più cautela quando compare insieme a un prezzo strano, a un contatto che non funziona o a un pagamento che finisce in un posto che non c’entra. Da sola, l’età non dimostra niente: ogni giorno nascono siti onesti, e siti vecchi vengono violati.

4. Guarda due volte il prezzo e la fretta

Un prezzo molto sotto quello di tutti gli altri, insieme a un tempo che sta per scadere, è la combinazione per cui vale la pena rallentare. Le due cose stanno lì perché tu salti i controlli.

• Un prezzo fuori scala: confrontalo con altri negozi invece di fidarti del numero nell’annuncio. La Polizia Postale, nei consigli sugli acquisti online, dice proprio di diffidare dei prodotti venduti a prezzi estremamente vantaggiosi.
• Una scadenza misurata in minuti: i contatori alla rovescia, gli “ultimi pezzi” e la minaccia di perdere l’offerta esistono perché tu non guardi.
• Uno sconto legato a un metodo di pagamento: se l’offerta vale solo pagando in un modo che non si può annullare, controlla l’azienda e il beneficiario prima di rinunciare alla protezione che ti dà una carta.

5. Prova i canali di contatto

Un numero di telefono scritto su una pagina non è la stessa cosa di un’attività che risponde. Cerca il canale dell’azienda fuori dal link che ti è arrivato e fai una domanda concreta sull’ordine, sulla spedizione o sul reso. Un contatto che non risponde mai, o che rimanda solo risposte automatiche, non dimostra la truffa, ma lascia aperta una domanda importante.

Confronta il telefono, l’indirizzo email e la sede con quello che hai trovato nel Registro delle Imprese e nelle pagine del negozio. Un’azienda può usare servizi di posta diversi; quello che conta è se l’identità, l’assistenza e l’offerta raccontano la stessa storia. Una sede che si rivela un parcheggio o una casella postale in affitto merita una domanda.

6. Cerca il negozio fuori dal suo sito

Tutto quello che sta sul sito, comprese le recensioni che mostra, lo pubblica il negozio stesso. Guarda fonti che il negozio non controlla e confronta.

• Cerca il nome del negozio insieme alle parole recensioni, reso o truffa.
• Leggi le opinioni su piattaforme che il negozio non possiede, e diffida di un muro di cinque stelle pubblicate tutte in pochi giorni.
• Guarda gli avvisi delle associazioni dei consumatori. Altroconsumo, la più grande organizzazione indipendente di consumatori in Italia, pubblica test, notizie su truffe e prodotti, una bacheca dei reclami e un servizio di conciliazione.
• Se il problema è una pubblicità ingannevole o una pratica commerciale scorretta, l’AGCM raccoglie le segnalazioni dei consumatori, senza formalità e senza avvocato. L’Autorità interviene sull’azienda: non risponde al singolo e non restituisce i soldi.

Puoi anche cercare l’indirizzo nello stato del sito di Navigazione sicura di Google. Un avviso già noto è un motivo per andarsene. L’assenza di avvisi non è un bollino di sicurezza, perché quella valutazione riflette solo quello che il servizio sa in quel momento.

7. Guarda il metodo di pagamento

Il metodo di pagamento decide cosa potrai fare se qualcosa va storto, ed è il motivo per cui entra nella decisione e non alla fine. Con una carta hai una procedura per contestare l’addebito alla tua banca. Un bonifico, un bonifico istantaneo, una ricarica di carta prepagata o una criptovaluta si comportano come contanti: quando escono, di solito non tornano. Per un primo acquisto su un sito che non conosci, la Polizia Postale suggerisce anche di valutare il pagamento alla consegna.

Prima di confermare, confronta il nome del beneficiario con l’azienda che hai cercato. Dal 9 ottobre 2025 le banche e Poste Italiane devono verificare la corrispondenza tra il nome e l’IBAN del beneficiario, sia sui bonifici ordinari sia su quelli istantanei: la Banca d’Italia spiega che il controllo restituisce in tempo reale una corrispondenza, una mancata corrispondenza, una corrispondenza parziale o l’impossibilità di verificare, e che a quel punto sei tu a decidere se confermare. Quell’avviso è un’informazione per farti fermare, non un’assicurazione: se scegli di proseguire, il bonifico parte verso l’IBAN che hai scritto.

Se il pagamento esce dal sito verso un conto personale, un numero di telefono o un link mandato per messaggio, fermati e conferma l’importo sul canale ufficiale che hai trovato tu.

Il lucchetto non dimostra niente

L’https protegge la connessione tra il tuo browser e il sito, ma non dimostra che il negozio sia onesto. La pagina di aiuto di Chrome su come capire se la connessione di un sito è sicura oggi non parla più di un lucchetto: descrive icone diverse accanto all’indirizzo e ti dice di controllare il nome del sito nella barra degli indirizzi per verificare che sia quello che volevi visitare.

Il motivo del cambio è semplice: in tanti leggevano il lucchetto come il segno di un sito di cui fidarsi, mentre quasi tutte le pagine false costruite per rubare dati usano l’https allo stesso modo. Tratta l’https come un requisito tecnico, non come un bollino commerciale.

Come capire se si può comprare su un sito

Non esiste un bollino unico che dica che su un sito si può comprare tranquilli. Quello che funziona è sommare i segnali di sopra e chiudere con due controlli fatti fuori dalle pagine del negozio.

• Chi è l’azienda: la ragione sociale e la partita IVA delle note legali, confrontate con la verifica della partita IVA e con il Registro delle Imprese. Che l’impresa esista non conferma che il sito sia suo né che l’offerta sia onesta, ma almeno mette un nome dietro ai soldi.
• Quali tracce lascia fuori: reclami, recensioni su siti che il negozio non controlla e avvisi delle associazioni dei consumatori. Una traccia vuota non dimostra niente, perché un negozio aperto quattro giorni fa non ha ancora una storia, e un sito che imita una catena conosciuta sta prendendo in prestito la reputazione di quella catena.

Questi controlli ti mostrano il passato di un’azienda. Non emettono una sentenza su di essa. Usa il risultato insieme all’indirizzo, ai dati fiscali e al nome che compare nel pagamento. E se alla fine decidi di non comprare, non hai perso niente.

Un esempio: le scarpe in offerta

1. L’indirizzo. Nella barra del browser c’è scritto negozio-esempio-outlet.example, e il negozio che lei conosce sta su negozio-esempio.example. La parola “outlet” attaccata al nome è già un motivo per fermarsi.
2. L’azienda. Le note legali mostrano una ragione sociale e una partita IVA, ma il numero non risulta valido nella verifica dell’Agenzia delle Entrate, e la sede corrisponde a un servizio di caselle postali.
3. Fuori dal sito. Cercando il nome insieme alla parola truffa, trova messaggi recenti di persone che hanno pagato e non hanno ricevuto niente.
4. Il beneficiario. Nella schermata di conferma, i soldi andrebbero a nome di una persona, non del negozio.

Nessuna di queste cose, da sola, avrebbe dimostrato che era una truffa. Insieme mostrano che quella pagina non è il negozio che Marina conosce. Chiude l’annuncio, digita l’indirizzo del negozio vero e trova le stesse scarpe al prezzo normale.

Se hai già pagato

Chiama la tua banca appena te ne accorgi. La colpa è di chi ha costruito il sito falso, non tua.

1. Nella prima ora, chiama la banca. Usa il numero stampato sul retro della carta o quello dentro l’app. Se il pagamento è partito senza che tu lo autorizzassi, chiedi di disconoscerlo: la Banca d’Italia spiega che la contestazione va fatta il prima possibile, e comunque entro tredici mesi dall’addebito.
2. Se il bonifico l’hai confermato tu, quel pagamento risulta autorizzato e il discorso cambia. La banca può provare a chiedere il rientro delle somme alla banca di chi le ha ricevute, ma il risultato dipende dal fatto che i soldi siano ancora lì. Chiedi cosa possono tentare e fatti dire cosa non possono fare.
3. Conserva tutto. L’indirizzo del sito, la ricevuta, i messaggi e la scheda del prodotto, con le foto dello schermo fatte prima che la pagina sparisca.
4. Denuncia. Sul sito della Polizia Postale si presenta la denuncia per reati telematici, che copre anche la truffa e la frode informatica: si entra con SPID o con la carta d’identità elettronica e la denuncia va formalizzata entro 48 ore in un ufficio di Polizia, su appuntamento preso dalla stessa piattaforma. Segnala anche il sito falso dal modulo Segnala online.
5. Se la banca non risolve, presenta un reclamo scritto: sui servizi di pagamento deve rispondere entro 15 giorni lavorativi. Se la risposta non ti convince, puoi fare un esposto alla Banca d’Italia e un ricorso all’Arbitro Bancario Finanziario, che però richiede sempre il reclamo alla banca prima e va presentato entro dodici mesi da quel reclamo.
6. Tieni d’occhio il conto. I dati della carta inseriti in una finta pagina di pagamento vengono spesso provati con un addebito piccolo prima di uno grande.

Le fonti che abbiamo consultato

I controlli e le regole citati sopra sono stati verificati il 22 settembre 2026 su queste pagine:

• Polizia Postale: consigli sugli acquisti online e consigli contro il phishing
• Polizia Postale: Segnala online e denuncia per reati telematici
• Banca d’Italia: la verifica del beneficiario sui bonifici e le operazioni di pagamento non autorizzate
• Banca d’Italia: cosa fare se si è vittima di truffe o frodi e Arbitro Bancario Finanziario: le verifiche prima del ricorso
• Agenzia delle Entrate: verifica partita IVA e il servizio di consultazione
• Registro Imprese: la visura camerale
• Registro .it: il Web Whois dei domini “.it” e ICANN Lookup per le altre terminazioni
• Google: stato del sito di Navigazione sicura
• Aiuto di Chrome: capire se la connessione di un sito è sicura
• AGCM: segnalare pratiche commerciali scorrette e Altroconsumo

I negozi e gli indirizzi degli esempi sono inventati. Gli schemi che mostrano sono reali, ma nessun negozio vero viene accusato. Questo articolo non riporta nessuna statistica.

Questo articolo non è una consulenza legale.

Domande frequenti sui siti falsi