Le truffe online più comuni: cinque situazioni e che cosa fare

In quasi tutte le truffe la storia esiste per portarti a una sola azione: pagare, consegnare qualcosa di segreto, installare un programma o aprire una pagina controllata da chi truffa. Riconoscere la richiesta serve più che imparare a memoria decine di nomi per la stessa cosa.

Nel bilancio dell’attività 2025 della Polizia Postale, pubblicato il 10 gennaio 2026, il cybercrime economico-finanziario vale da solo 27.085 casi trattati e 4.489 persone indagate, dentro un totale di 51.560 casi, e il portale del Commissariato di PS online ha ricevuto circa 94.000 segnalazioni. Le cinque situazioni qui sotto sono esempi frequenti, non una classifica e non un elenco completo.

Come leggere queste cinque situazioni

Leggi ognuna per la richiesta, non per la trama. La Banca d’Italia descrive lo stesso schema di fondo dentro truffe molto diverse nella sua pagina sulle truffe nei pagamenti: qualcuno ti contatta senza che tu abbia chiesto niente, dice che c’è un problema o un premio, mette fretta perché tu agisca subito e indica un modo preciso di pagare o una cosa precisa da consegnare.

L’altra metà dell’abitudine è dove controlli. Qualunque cosa arrivi in un messaggio si può verificare in un posto che il messaggio non controlla: l’app che avevi già installato, il numero stampato sulla carta, l’account in cui entri tu.

Le frasi tra virgolette in questo articolo sono inventate. Mostrano il tipo di scrittura che viene usato, senza copiare il messaggio vero di un’azienda, né un marchio, né una schermata, né un numero ufficiale.

Ecco la stessa idea in una passata, con quello che chiede ogni situazione e dove sta davvero la risposta.

• Finta banca: chiede un link, un codice, una password o di installare un’app. Controlla dentro l’app della banca, o chiamando il numero stampato sulla carta.
• Parente con un numero nuovo: chiede un bonifico urgente. Controlla chiamando il numero che avevi già in rubrica, o un altro parente.
• Consegna in sospeso: chiede una piccola spesa o l’aggiornamento dei dati. Controlla nell’account del negozio o del corriere dove l’ordine vive davvero.
• Assistenza che nessuno ha chiamato: chiede accesso remoto, un’installazione o un codice. Controlla da un canale di assistenza aperto da te.
• Premio o affare: chiede un pagamento anticipato o dati personali. Controlla sul sito dell’azienda scritto da te, lontano dall’annuncio.

1. La finta banca: un problema urgente sul tuo conto

Il messaggio o la telefonata avvisa di un addebito sospetto, di un conto bloccato, di un aggiornamento obbligatorio o di una falla di sicurezza. Il nome del mittente può sembrare giusto e la persona può sapere già qualche dato tuo. Nessuna delle due cose ti dice che il contatto viene dalla tua banca.

Il segnale sta nella via d’uscita che ti offrono. Il contatto cerca di far succedere tutto dentro la conversazione: apri questo link, installa questa app, leggimi il codice che ti abbiamo appena mandato, conferma la password. Un esempio inventato: “Abbiamo rilevato un addebito in sospeso. Accedi ora per annullarlo.”

Una banca che ti contatta per una frode non ha bisogno della tua password né del tuo codice usa e getta, e non ha bisogno che tu sposti i soldi da nessuna parte. La Polizia Postale è diretta nei suoi consigli sulle frodi online: né la Polizia di Stato o altre forze dell’ordine, né gli istituti bancari chiederanno mai di comunicare, telefonicamente o via mail, codici personali o password temporanee, e ricevere una richiesta simile è certamente un tentativo di truffa.

C’è una variante che vale la pena conoscere a parte, perché parte da una telefonata che sembra verificabile. Nell’avviso sulle truffe tramite spoofing la Polizia Postale racconta che un finto operatore telefona segnalando un attacco informatico al conto, annuncia un SMS con un link e invita la persona a controllare online che il numero corrisponda a un ufficio vero. Il numero sul display, però, si può falsificare.

Che cosa fare senza usare il contatto che hai ricevuto

Chiudi la conversazione. Apri l’app che usi già, oppure scrivi l’indirizzo che conosci, oppure chiama il numero stampato sulla carta. Non chiamare il numero del messaggio e non usare il pulsante che ti hanno mandato. Una password e un codice di verifica restano con te.

Se il dubbio è partito da un SMS, il nostro articolo su che cos’è lo smishing spiega che cosa controllare e che cosa fare se hai già aperto il link. Se è partito da un’email, guarda come riconoscere una email falsa.

2. Il finto parente: un numero nuovo e una richiesta di soldi

Qualcuno scrive usando un nome conosciuto, dice di aver cambiato numero o di scrivere dal telefono di un’altra persona, e comincia una conversazione che suona di famiglia. Poi arriva la richiesta di soldi, quasi sempre con un motivo per cui non puoi chiamare il numero di prima.

La confidenza è lo strumento. L’idea è che i soldi partano prima che tu parli con la persona vera. Un esempio inventato: “Mi si è rotto il telefono, questo è il mio numero provvisorio. Mi copri tu un pagamento oggi?”

La Polizia Postale la mette tra i casi su cui invita a stare più attenti: prima di effettuare pagamenti per aiutare una persona in difficoltà, verifica la reale identità del tuo interlocutore attraverso conferme esterne, come una telefonata o un messaggio ai numeri che hai già in rubrica. È scritto negli stessi consigli sulle frodi online citati sopra.

Come confermare con chi stai parlando

Chiama il numero che avevi già salvato. Se non risponde, prova un’altra strada che conosci: un fisso, il posto di lavoro, un altro parente. Non appoggiarti ai dati che compaiono dentro la conversazione nuova, perché fanno parte tutti della storia che ti stanno raccontando.

Neanche una voce registrata risolve la questione. Bastano pochi secondi di audio per imitare come suona una persona, quindi una voce al telefono è un’affermazione, non una conferma. La difesa non cambia: chiama al numero che avevi già. E se vuoi sistemare la cosa in famiglia prima che succeda, mettetevi d’accordo su una parola che viene chiesta ogni volta che si parla di soldi di fretta.

3. La finta spesa di consegna: un piccolo pagamento per sbloccare un pacco

Il messaggio dice che un pacco è in giacenza, che un indirizzo va corretto o che resta una piccola spesa da saldare. Colpisce più forte quando stai davvero aspettando qualcosa, ma la coincidenza non dimostra niente su chi l’ha mandato.

L’azione richiesta è piccola e veloce apposta: aprire un indirizzo, confermare i dati della carta, pagare un paio di euro. Un esempio inventato: “La tua spedizione è in giacenza. Aggiorna l’indirizzo e paga la spesa di sblocco entro oggi.” La cifra bassa è quello che fa sembrare inutile controllare, e la pagina che la incassa di solito vuole il numero completo della carta.

Il Garante per la protezione dei dati personali mette questo tipo di SMS nella sua scheda sullo smishing: messaggi che spingono ad agire con urgenza per far cliccare un link, far scaricare un allegato o far consegnare dati personali e bancari. Le aziende di trasporto non chiedono i dati di una carta via SMS per liberare un pacco.

Dove si controlla davvero una spedizione

Apri l’app o l’account dove hai fatto l’ordine, oppure scrivi tu l’indirizzo del corriere, e cerca il codice di tracciamento da lì. Non usare il link, il codice o il numero di telefono arrivati insieme alla richiesta di pagamento.

Se la pagina imita un negozio o un corriere, come riconoscere un sito falso spiega come leggere l’indirizzo e quali altri segnali guardare. E prima di aprire qualunque cosa, come capire se un link è sicuro.

4. L’assistenza tecnica che non hai chiesto

Qualcuno chiama, scrive o fa comparire un avviso a tutto schermo nel browser dicendo di aver trovato un virus, una falla o un addebito sul tuo conto. È vestito da servizio clienti, ma quello che cerca è l’accesso: al tuo dispositivo, ai tuoi account o ai codici che proteggono l’ingresso.

La Banca d’Italia elenca il falso supporto tecnico tra le truffe che usano la conversazione, accanto alle finte fatture e alle richieste che arrivano a nome di un dirigente, nella sua pagina sulle truffe nei pagamenti. Il pezzo centrale è sempre lo stesso: un programma di accesso remoto da installare. Una volta attivo, l’altra persona vede lo schermo e ci agisce sopra.

Perché un’installazione e un codice meritano tutti e due una sosta

Un programma di accesso remoto lascia che un’altra persona comandi il tuo dispositivo. Un codice di verifica conferma un accesso o una modifica sull’account, e per questo vale quanto una password. Se il contatto dell’assistenza è arrivato senza che tu lo chiedessi, non installare niente e non leggere niente ad alta voce. Chiudi e apri tu una richiesta dall’app dell’azienda o dall’indirizzo che scrivi a mano.

Esiste una variante che finisce con chi chiama che dice di averti rimborsato troppo e ti chiede di rimandare la differenza. È la stessa telefonata con un altro finale, e anche quella finisce in un bonifico disposto da te. Se la conversazione era al telefono, che cos’è il vishing spiega come si chiude.

5. Il premio o l’affare che chiede di pagare prima

Un annuncio o un messaggio offre un prodotto molto sotto prezzo, un beneficio o un premio di un concorso a cui non hai partecipato. Per sbloccarlo ti chiedono un pagamento, una registrazione, una password o i dati della carta. Di solito c’è un conto alla rovescia, che sta lì perché non ti venga voglia di cercare l’azienda da un’altra parte.

Un’affermazione non si verifica nel posto che l’ha fatta. Un esempio inventato: “Hai vinto un premio. Devi solo coprire le spese di spedizione per riceverlo.” Un profilo può avere commenti, foto e un aspetto professionale ed essere stato montato la settimana scorsa per reggere esattamente questa storia.

Se il venditore o la promozione esistono davvero, la cosa si può anche segnalare. L’AGCM spiega nella pagina su come segnalare pratiche scorrette che l’Autorità può accertare e vietare le pratiche commerciali scorrette e le pubblicità ingannevoli, anche su segnalazione, e che ai segnalanti non sono richieste particolari formalità, versamenti o l’assistenza di un avvocato.

Come controllare un’offerta lontano dall’annuncio

Cerca l’azienda per conto tuo, apri il suo sito scrivendo l’indirizzo e guarda se la promozione esiste lì. Prima di concludere un pagamento, leggi chi lo riceverà. Se il nome del destinatario non torna con l’azienda o con l’acquisto, fermati finché non capisci perché.

Dal 9 ottobre 2025 su quest’ultimo punto la banca ti dà una mano. La Banca d’Italia spiega nella sua pagina sull’IBAN che per i bonifici in euro nell’area dell’euro banche e intermediari mettono a disposizione, senza costi aggiuntivi, un servizio che verifica la corrispondenza tra l’IBAN e il nome del beneficiario che hai indicato, prima che il pagamento parta. Gli esiti possibili sono tre: corrispondenza, corrispondenza parziale e mancata corrispondenza. Se procedi lo stesso dopo una mancata corrispondenza, ti assumi la responsabilità delle conseguenze di un eventuale errore; solo nel caso di corrispondenza accertata l’intermediario è tenuto al rimborso se il denaro finisce a un destinatario diverso. La nota informativa della Banca d’Italia del 20 ottobre 2025 conferma che l’obbligo vale dal 9 ottobre 2025 sia per i bonifici ordinari sia per quelli istantanei.

Che cosa è cambiato ultimamente

Le cinque situazioni qui sopra continuano a funzionare. Quello che è cambiato è la rifinitura di alcune e i mezzi di pagamento che spingono. La richiesta sotto resta soldi, dati o accesso.

Voci clonate

Pochi secondi di audio bastano per imitare come suona una persona, quindi una voce al telefono non dimostra più chi sta chiamando. Tratta una voce come tratteresti un nome su uno schermo: un’affermazione, non una conferma. E, come sopra, richiama al numero che avevi già.

Numeri di telefono contraffatti

Anche il numero che compare sul display si può falsificare. In Italia il problema è stato affrontato dal lato della rete: nel comunicato del 13 novembre 2025 l’AGCOM spiega che dal 19 novembre 2025 il filtro che blocca le chiamate dall’estero con numerazioni italiane contraffatte si estende anche ai numeri mobili, dopo la prima fase del 19 agosto 2025 sui numeri fissi. È una misura che riduce il fenomeno, non una garanzia sulla singola chiamata.

Offerte di lavoro e compiti pagati

Qualcuno ti contatta con un posto che paga bene e chiede quasi niente, e poi chiede un pagamento per il materiale, per la formazione o per una pratica, oppure chiede i dati bancari troppo presto. Una variante paga piccole somme per compiti semplici online e poi chiede un versamento per sbloccare un pagamento più grosso.

Quando ti chiedono di spostare soldi di altri

Alcune di queste offerte finiscono con del denaro che entra sul tuo conto e con l’istruzione di rigirarlo. La Polizia Postale, nei suoi consigli sulle frodi online, invita a diffidare dei facili guadagni che chiedono di fornire identità digitale e documenti personali per presunte attività di movimentazione di denaro proposte da figure sconosciute sulle piattaforme di messaggistica. Se un lavoro consiste nel ricevere e rigirare soldi, fermati lì.

Se hai già fatto quello che ti chiedevano

Che cosa fare dipende da che cosa è rimasto esposto, e il primo passo è dell’account più a rischio. Non cancellare la conversazione prima di aver salvato i messaggi, l’indirizzo della pagina, le ricevute e i riferimenti con cui ti hanno contattato.

1. Nella prima ora, chiama la banca se di mezzo c’erano soldi o i dati della carta. Usa il numero stampato sulla carta o quello dell’app, non uno del messaggio. Di’ chiaramente che è stata una truffa, chiedi se il pagamento si può ancora fermare e chiedi una carta nuova se hai dato i dati. La Banca d’Italia spiega nella pagina sulle operazioni di pagamento non autorizzate che un’operazione non autorizzata va rimborsata entro la fine della giornata operativa successiva a quella in cui l’intermediario ne viene a conoscenza, salvo dolo o colpa grave del cliente, e che la contestazione va fatta senza ritardo e comunque entro 13 mesi dall’addebito. Qui quello che pesa di più è il tempo.
2. Cambia la password di ogni account in cui sei entrato, dal sito vero e da un dispositivo di cui ti fidi, e cambiala dove usavi la stessa.
3. Attiva la verifica in due passaggi su quell’account e controlla l’elenco delle sessioni attive e dei dispositivi collegati.
4. Se hai installato qualcosa o hai dato accesso remoto, stacca il dispositivo da internet, disinstalla il programma e non entrare negli account importanti da lì finché non lo controlla qualcuno.
5. Denuncia e segnala. Il Commissariato di PS online spiega nella pagina Denuncia per reati telematici che per truffa, frode informatica, accesso abusivo a un sistema informatico e indebito utilizzo di carte si parte da una pre-denuncia online, con SPID o CIE, da formalizzare poi in un ufficio di polizia su appuntamento. La pagina Segnala online serve invece a far conoscere lo schema e non sostituisce la denuncia. Puoi segnalare la truffa anche ad Altroconsumo, gratuitamente, e all’AGCM se si tratta di una pratica commerciale scorretta.

Se il pagamento è uscito con un bonifico che hai disposto tu, anche se ingannato, la posizione è diversa da quella di un’operazione non autorizzata. Sul bonifico istantaneo la Banca d’Italia scrive che è immediato e irrevocabile nel momento in cui viene disposto, e che se sei vittima di una truffa recuperare l’importo è molto difficile, se non impossibile. Non esiste un programma che garantisca la restituzione di un pagamento fatto da te: quello che resta è avvisare in fretta, denunciare e chiedere alla banca che cosa può provare a fare nel tuo caso. Se la risposta della banca non ti convince, c’è l’Arbitro Bancario Finanziario: reclamo scritto all’intermediario, che per i servizi di pagamento ha 15 giorni per rispondere, poi ricorso entro 12 mesi, con 20 euro di contributo spese e senza avvocato.

Per le accortezze che evitano di arrivare fin qui, guarda come evitare le truffe e come capire se è una truffa.

Domande frequenti sulle truffe online più comuni