Phishing e Ingegneria Sociale
Non cadere nella rete
Guida pratica per riconoscere le truffe online, capire come funzionano e proteggersi — scritta per chi non è un esperto di informatica.
Hai mai ricevuto un SMS dalla “banca” che ti avvisa di un accesso sospetto? Un’email dell’INPS che ti promette un rimborso? Un messaggio di un corriere che dice che il tuo pacco è bloccato? Se la risposta è sì, hai già incontrato un tentativo di phishing — la truffa digitale più diffusa al mondo, e quella che fa più danni in Italia.
Questo articolo non è rivolto a informatici o esperti di sicurezza. È pensato per chiunque usi uno smartphone, un computer o un tablet: genitori, insegnanti, personale scolastico, studenti, nonni, colleghi. Il suo scopo è semplice: aiutarti a capire come funzionano queste truffe, perché sono così efficaci, e come puoi difenderti con poche regole pratiche.
Prima di tutto, una cosa importante.
Se sei caduto in una di queste truffe, non significa che sei “stupido” o “ingenuo”. Questi attacchi sono progettati da professionisti del crimine, spesso con l’aiuto dell’intelligenza artificiale, per ingannare chiunque. Capita a medici, ingegneri, professori, dirigenti d’azienda. Capita a tutti. L’importante è imparare a riconoscerli.
I numeri: perché devi preoccuparti (ma non farti prendere dal panico)
Prima di entrare nel vivo, vediamo qualche dato per capire la dimensione del problema. Non per spaventare, ma per prendere coscienza: queste truffe non sono episodi rari. Sono un’industria criminale globale che muove miliardi.
L’Italia subisce il 10% degli attacchi informatici mondiali pur rappresentando solo l’1,8% del PIL globale. Il motivo? Un tessuto di piccole e medie imprese spesso senza difese adeguate, una digitalizzazione rapida ma non accompagnata da formazione alla sicurezza, e il fatto che servizi critici come SPID, PEC e identità digitale sono ormai usati da decine di milioni di cittadini — tutti potenziali bersagli.
Cos’è l’ingegneria sociale
Il termine “ingegneria sociale” (in inglese social engineering) indica un insieme di tecniche usate dai criminali per manipolare le persone affinché compiano azioni che normalmente non farebbero: cliccare un link, fornire una password, trasferire denaro, scaricare un file.
L’aspetto fondamentale da capire è questo: l’ingegneria sociale non attacca il computer — attacca la persona. Non cerca falle nel software ma sfrutta i meccanismi naturali del cervello umano: la fretta, la paura, il rispetto per l’autorità, il desiderio di aiutare.
Immagina un ladro che, invece di forzare la serratura di casa tua, si presenta alla porta vestito da tecnico del gas e ti convince ad aprirgli. Non ha usato nessuno strumento sofisticato: ha usato la tua fiducia. L’ingegneria sociale funziona esattamente così, ma nel mondo digitale.
Secondo il rapporto Verizon DBIR 2025, circa il 60% di tutte le violazioni di dati coinvolge in qualche modo un’azione umana — qualcuno che ha cliccato un link, ha fornito credenziali, o ha aperto un allegato infetto. Il phishing è la forma più comune di ingegneria sociale, ma non l’unica.
Come ti fregano: i 6 principi psicologici sfruttati dai truffatori
I criminali informatici non improvvisano. Le loro truffe sono costruite seguendo principi psicologici ben studiati — gli stessi che vengono usati nel marketing, nella pubblicità e nella persuasione. Conoscerli è il primo passo per difendersi.
1. Urgenza
Ti mettono fretta. Se pensi di avere poco tempo, ragioni di meno e agisci d’impulso.
“Il tuo conto verrà bloccato entro 24 ore se non verifichi i dati”2. Autorità
Si spacciano per un’entità autorevole: la banca, l’INPS, l’Agenzia delle Entrate, la scuola, la polizia.
“Comunicazione ufficiale dall’Agenzia delle Entrate — Rimborso IRPEF in sospeso”3. Paura
Ti spaventano con conseguenze gravi: multe, blocchi, denunce, perdita di soldi.
“Abbiamo rilevato un accesso non autorizzato al tuo conto — intervieni immediatamente”4. Avidità / Desiderio
Ti promettono qualcosa di bello: un rimborso, un premio, un’offerta imperdibile.
“Congratulazioni! Hai diritto a un rimborso di 387,50 €. Clicca per richiederlo”5. Reciprocità e simpatia
Si presentano come persone gentili, disponibili, che ti stanno facendo un favore.
“Buongiorno, sono Marco dell’assistenza tecnica. La chiamo perché abbiamo notato un problema sul suo profilo e vorremmo aiutarla a risolverlo”6. Riprova sociale
Ti fanno credere che “tutti lo stanno facendo” o che è una procedura normale.
“Come previsto dalla nuova normativa europea, tutti gli utenti devono aggiornare i propri dati entro il 15 aprile”Ogni volta che un messaggio digitale ti fa provare fretta, paura o eccitazione, fermati. Proprio quelle emozioni sono il segnale che qualcuno sta cercando di manipolarti. Un ente serio non ti mette mai sotto pressione con scadenze di ore o minacce immediate.
I tre canali del phishing: email, SMS e telefono
Il phishing (dal verbo inglese to fish, pescare) è la tecnica con cui i truffatori “lanciano l’amo” sperando che qualcuno abbocchi. Funziona su tre canali principali.
📧 Phishing via email — il classico
È la forma più diffusa. Ricevi un’email che sembra provenire da un ente conosciuto — la tua banca, Poste Italiane, Amazon, l’Agenzia delle Entrate — che ti chiede di cliccare un link o scaricare un allegato. Il link porta a un sito falso, identico nell’aspetto a quello vero, dove ti vengono chieste credenziali, dati della carta di credito o informazioni personali.
Ecco un esempio realistico (ricostruito a scopo didattico) di come si presenta un’email di phishing:
Gentile Cliente,
Ti informiamo che il tuo conto BancoPosta è stato temporaneamente limitato a causa di attività sospette rilevate dal nostro sistema di sicurezza. Per riattivare il servizio è necessario verificare la tua identità entro 24 ore.
Clicca sul pulsante seguente per procedere alla verifica:
Se non effettui la verifica entro il termine indicato, il tuo conto verrà permanentemente sospeso per motivi di sicurezza.
Cordiali saluti,
Il Team Sicurezza di Poste Italiane
@poste-italiane-servizi.com — un dominio inventato. Poste Italiane comunica solo da indirizzi @poste.it o @posteitaliane.it.poste-verifica-sicurezza.xyz. Passando il mouse sopra (senza cliccare!) si può vedere l’URL reale.📱 Smishing — il phishing via SMS
Lo smishing (SMS + phishing) funziona con lo stesso principio, ma via messaggio di testo. È particolarmente pericoloso perché sullo smartphone è più difficile verificare un link prima di cliccarlo, e perché spesso il messaggio arriva nello stesso thread di messaggi reali della banca (un trucco chiamato spoofing dell’ID mittente).
- Finto corriere: “Il tuo pacco è in giacenza per tassa non pagata di 2,99 €. Regolarizza: [link]”
- Finta banca: “Accesso anomalo al tuo conto. Se non sei stato tu, blocca ora: [link]”
- Finto INPS: “Aggiorna la tua domanda per il Bonus 2026. Scadenza 48h: [link]”
- Finta Agenzia Entrate: “Rimborso canone TV di 187 € accreditato. Inserisci dati per ricevere: [link]”
- Finta multa: “Sollecito multa n. 847291, importo 79,40 €. Paga entro 24h per evitare sanzioni: [link]”
- Finto SPID: “Il tuo SPID è stato sospeso. Aggiorna i documenti per riattivarlo: [link]”
📞 Vishing — il phishing telefonico
Il vishing (voice + phishing) è la truffa telefonica. Un operatore (o una voce registrata, o addirittura una voce generata dall’intelligenza artificiale) ti chiama spacciandosi per la banca, un tecnico informatico, la polizia o un ente pubblico. Ti chiede dati, codici OTP, o di installare un’app “di sicurezza” che in realtà dà ai truffatori il controllo del tuo telefono.
Una delle truffe più diffuse in Italia nel 2025-2026: ti chiama qualcuno che si presenta come l’ufficio antifrode della tua banca. Ti dice che hanno rilevato movimenti sospetti sul tuo conto e che per “bloccarli” devi fornire i codici che ricevi via SMS. In realtà, quei codici servono ai truffatori per autorizzare trasferimenti di denaro dal tuo conto. Nessuna banca ti chiederà mai un codice OTP per telefono.
Le truffe “all’italiana” più comuni
I truffatori adattano i loro messaggi al contesto locale. Ecco le truffe più frequenti che circolano in Italia, aggiornate al 2026:
Finta banca / Poste Italiane
Email o SMS che segnalano “accessi sospetti” o “blocco del conto”. Il link porta a un sito clone dove vengono rubate le credenziali di home banking. Spesso segue una telefonata del “falso operatore” che ti chiede di confermare i codici OTP.
Finta Agenzia delle Entrate
Email con loghi ufficiali che promettono rimborsi IRPEF o IVA, oppure minacciano sanzioni per “dichiarazioni incomplete”. Il link porta a una finta pagina di login SPID che ruba le tue credenziali — e con lo SPID i truffatori accedono a tutti i servizi pubblici.
Finto INPS
Messaggi che annunciano problemi con bonifici, bonus da richiedere, o aggiornamenti obbligatori dei dati. L’INPS ha più volte ribadito che non invia mai email con link cliccabili e non chiede dati bancari via email o telefono.
Finto corriere
SMS da “DHL”, “BRT”, “Poste” o “Amazon” che dicono che il pacco è “in giacenza” per una piccola tassa da pagare (di solito 1-3 €). Pagando, si consegnano i dati della carta ai truffatori che la useranno per spese molto più alte.
Finti avvisi scolastici
Email che sembrano provenire dalla segreteria scolastica o dal registro elettronico, con link a “nuove credenziali” o “comunicazioni urgenti”. Particolarmente insidiose per genitori e personale scolastico. Alcune imitano perfettamente l’aspetto delle email di Argo ScuolaNext o ClasseViva.
Furto di SPID
La truffa più pericolosa del 2026: pagine di login SPID false con loghi di AgID e Agenzia delle Entrate. L’email arriva già con il tuo indirizzo precompilato — devi solo inserire la password. Chi ruba il tuo SPID può accedere a dati fiscali, sanitari, previdenziali e bancari.
I messaggi di phishing di oggi non hanno più gli errori grammaticali di una volta. I criminali utilizzano modelli di intelligenza artificiale per scrivere testi perfetti in italiano, personalizzati e convincenti. Alcuni usano addirittura la clonazione vocale (deepfake audio) per imitare la voce di colleghi o familiari nelle truffe telefoniche. La Polizia Postale ha segnalato la crescente sofisticazione di queste tecniche nel rapporto 2025.
Come riconoscere un messaggio falso: la checklist da 30 secondi
Non serve essere esperti per smascherare la maggior parte delle truffe. Basta prendersi 30 secondi prima di cliccare qualsiasi link e porsi le domande giuste.
✅ Checklist anti-phishing
Controlla l’indirizzo email completo del mittente (non il nome visualizzato, che può essere falsificato). Il dominio dopo la @ deve essere quello ufficiale dell’ente (es. @inps.it, @agenziaentrate.gov.it, @poste.it). Se è diverso anche di una sola lettera, è falso.
Scadenze di “24 ore”, “blocco immediato”, “ultimo avviso” sono quasi sempre segnali di truffa. Un ente reale ti dà sempre tempi ragionevoli e ti contatta con raccomandata o PEC per cose serie.
Prima di cliccare, passa il dito sopra il link (su smartphone: tieni premuto senza aprire). Guarda l’URL che compare: se non è il sito ufficiale dell’ente, non cliccare. Attenzione ai domini simili ma falsi:
agenziaentrate.live non è agenziaentrate.gov.it.Password, codici OTP, numero della carta di credito, IBAN, PIN: nessun ente legittimo te li chiede via email, SMS o telefono. Mai. Senza eccezioni.
I messaggi generici come “Gentile Cliente” o “Caro Utente” sono sospetti. I servizi che usi davvero conoscono il tuo nome.
Aspettavi davvero un pacco? Hai davvero un conto presso quella banca? L’INPS ti deve davvero un rimborso? Se la risposta è no, è una truffa.
Non cliccare nulla. Vai direttamente sul sito ufficiale dell’ente (digitandolo tu nel browser, non usando il link nel messaggio) e verifica. Oppure chiama il numero ufficiale dell’assistenza.
Come verificare un link senza rischiare
| Dove sei | Come fare |
|---|---|
| Computer (mouse) | Passa il cursore sopra il link senza cliccare. In basso a sinistra nel browser appare l’URL reale di destinazione. |
| Smartphone | Tieni premuto il link senza sollevare il dito. Apparirà un’anteprima con l’URL. Se non è il sito ufficiale, chiudi. |
| Email sospetta | Non aprire allegati. Se vuoi verificare, cerca l’oggetto dell’email su Google tra virgolette: spesso troverai segnalazioni di truffa. |
Nel dubbio, non fare niente. Non cliccare, non rispondere, non chiamare il numero indicato nel messaggio. Vai tu sul sito ufficiale (digitando l’indirizzo manualmente) oppure chiama il numero che trovi sul sito ufficiale o sul retro della tua carta di credito. È meglio perdere 5 minuti di verifica che migliaia di euro.
Cosa fare se hai cliccato (o se hai dato i tuoi dati)
Se ti rendi conto di aver cliccato un link sospetto o, peggio, di aver inserito dati su un sito falso, niente panico. La tempestività è fondamentale: agendo rapidamente puoi limitare i danni in modo significativo. Ecco i passi da seguire, in ordine.
🔌 Passo 1 — Disconnettiti
Se hai scaricato un file sospetto o installato un’app, disconnetti il dispositivo da Internet (disattiva Wi-Fi e dati mobili). Questo può impedire a un eventuale malware di trasmettere i tuoi dati.
🔑 Passo 2 — Cambia le password
Da un altro dispositivo (non quello potenzialmente compromesso), cambia immediatamente la password del servizio coinvolto. Se usi la stessa password anche altrove (e non dovresti!), cambiala ovunque. Inizia dall’email — è la chiave di tutto.
🏦 Passo 3 — Contatta la banca
Se hai inserito dati bancari o della carta di credito, chiama subito il numero verde della tua banca (è sul retro della carta) e chiedi il blocco della carta e il disconoscimento di eventuali operazioni sospette. Fallo anche di notte — il servizio antifrode è attivo 24/7.
📸 Passo 4 — Raccogli le prove
Prima di cancellare qualsiasi cosa, fai screenshot dell’email/SMS truffa, del sito falso (se ancora aperto), di eventuali movimenti bancari sospetti. Salva tutto: servirà per la denuncia.
🚔 Passo 5 — Denuncia
Sporgi denuncia alla Polizia Postale. Puoi farlo online sul sito commissariatodips.it oppure di persona. Porta con te tutti gli screenshot e le prove raccolte. La denuncia è importante anche se non hai perso denaro: aiuta le forze dell’ordine a tracciare e fermare le reti criminali.
🛡️ Passo 6 — Proteggi tutto il resto
Attiva l’autenticazione a due fattori (la spieghiamo dopo) su tutti i tuoi account importanti. Controlla la lista dei dispositivi connessi ai tuoi account (Google, Apple, Microsoft lo permettono) e disconnetti quelli che non riconosci. Se hai dato le credenziali SPID, contatta immediatamente il tuo Identity Provider.
Le prime ore dopo la compromissione sono cruciali. I truffatori sanno che hai poco tempo prima di accorgertene, e agiscono in fretta. Più veloce sei tu nel bloccare carte, cambiare password e segnalare, più probabilità hai di limitare i danni o recuperare le somme sottratte.
Come proteggersi: le 8 difese pratiche
La buona notizia è che proteggersi non richiede competenze tecniche avanzate. Bastano alcune abitudini semplici ma costanti.
1. Attiva l’autenticazione a due fattori (2FA)
L’autenticazione a due fattori è la singola misura più efficace che puoi adottare. Funziona così: oltre alla password, per accedere al tuo account devi inserire un secondo codice — inviato via SMS o generato da un’app come Google Authenticator o Microsoft Authenticator. In questo modo, anche se un truffatore ruba la tua password, non può entrare senza il tuo telefono.
Attiva la 2FA almeno su: la tua email principale (Gmail, Outlook), i servizi bancari (se non è già attiva di default), i social network (Facebook, Instagram, WhatsApp), lo SPID, Amazon. La procedura richiede di solito 2-3 minuti: cerca “verifica in due passaggi” nelle impostazioni di sicurezza del servizio.
2. Usa password diverse per ogni servizio
Se usi la stessa password per email, banca, social e Netflix, basta che venga rubata una volta perché i criminali accedano a tutto. Usa password diverse e, se non riesci a ricordarle, usa un gestore di password — un’app che le memorizza in modo sicuro al posto tuo (es. Bitwarden, che è gratuito, o quello integrato nel tuo iPhone/Android).
3. Aggiorna sempre tutto
Gli aggiornamenti del sistema operativo, del browser e delle app contengono correzioni di sicurezza che chiudono le falle sfruttate dai criminali. Attiva gli aggiornamenti automatici e non rimandarli.
4. Non fidarti del nome visualizzato
Nelle email, il nome del mittente (es. “Poste Italiane”) può essere scritto da chiunque. Ciò che conta è l’indirizzo email reale dopo la @. Controllalo sempre.
5. Tieni attivi i filtri del browser
Chrome, Edge, Firefox e Safari hanno tutti un filtro anti-phishing integrato che ti avvisa se stai per visitare un sito pericoloso. Assicurati che sia attivo (di solito lo è di default) e non ignorare mai gli avvisi.
6. Usa le app ufficiali per banca ed enti
Invece di cliccare sui link nelle email, accedi sempre ai servizi bancari e pubblici tramite l’app ufficiale scaricata dallo store o digitando l’indirizzo direttamente nel browser. Se c’è davvero un problema col tuo conto, lo vedrai anche dall’app.
7. Diffida delle offerte troppo belle
Rimborsi inaspettati, premi che non hai vinto, sconti incredibili, lavori pagati tantissimo per fare poco: se sembra troppo bello per essere vero, quasi certamente non è vero.
8. Parla e condividi
La migliore difesa è la consapevolezza collettiva. Se ricevi un messaggio sospetto, parlane con familiari, colleghi, amici. Avvisa chi potrebbe essere meno esperto. Segnala i tentativi di phishing all’ente imitato e alla Polizia Postale. Ogni segnalazione aiuta a proteggere anche gli altri.
| Difesa | Difficoltà | Efficacia | Tempo necessario |
|---|---|---|---|
| Autenticazione a due fattori | Facile | ⭐⭐⭐⭐⭐ | 3 min per account |
| Password diverse + gestore | Media | ⭐⭐⭐⭐⭐ | 30 min (setup iniziale) |
| Aggiornamenti automatici | Facile | ⭐⭐⭐⭐ | 2 min |
| Controllare il mittente | Facile | ⭐⭐⭐⭐ | 10 secondi per email |
| Filtri browser attivi | Facile | ⭐⭐⭐ | 1 min (verifica) |
| Usare app ufficiali | Facile | ⭐⭐⭐⭐ | Abitudine quotidiana |
| Spirito critico (diffidare) | Facile | ⭐⭐⭐⭐⭐ | Sempre attivo |
| Condividere con gli altri | Facile | ⭐⭐⭐⭐ | 5 min per avviso |
Consigli per la scuola
L’ambiente scolastico è un bersaglio sempre più frequente delle truffe digitali. Ecco alcuni consigli specifici per studenti, genitori, docenti e personale ATA.
- Email istituzionale: non cliccate mai su link in email che sembrano provenire dal Dirigente, dalla segreteria o da Google se non le aspettavate. In caso di dubbio, verificate di persona o con una telefonata interna.
- Google Workspace: Google non chiede mai di “confermare la password” via email. Se ricevete un messaggio simile, è falso.
- Registro elettronico: accedete sempre dal sito ufficiale o dall’app, mai da link ricevuti via email o messaggio.
- USB sospette: non inserite mai chiavette USB trovate o regalate da sconosciuti nei computer della scuola.
- Diffidate di email che chiedono pagamenti per gite, assicurazioni o contributi scolastici con link a siti di pagamento sconosciuti. Verificate sempre con la segreteria.
- Se ricevete comunicazioni “dalla scuola” che vi sembrano strane, chiamate la segreteria prima di fare qualsiasi cosa.
- Parlate con i vostri figli di questi temi — i ragazzi sono spesso il primo punto di ingresso per le truffe, soprattutto quelle legate a social network, giochi online e offerte “troppo belle”.
- Non condividete mai la password del vostro account scolastico con nessuno, neanche con gli amici. Se qualcuno accede col vostro account e combina guai, la responsabilità è vostra.
- Diffidate di messaggi su Instagram, TikTok o WhatsApp che offrono follower gratis, codici per videogiochi, o “trucchi” vari: sono quasi sempre truffe o malware.
- Se vi arriva un messaggio sospetto sull’account scolastico, segnalatelo al docente o al tecnico informatico della scuola.
- Non scannerizzate QR code trovati in giro (volantini, bagni, adesivi sui muri) con lo smartphone: è una tecnica di truffa chiamata QRishing.
Risorse utili
| Risorsa | Cosa trovi | Indirizzo |
|---|---|---|
| Commissariato Online | Segnalazioni, denunce online, informazioni | commissariatodips.it |
| Agenzia delle Entrate — Phishing | Elenco aggiornato delle truffe in corso a nome dell’AdE | agenziaentrate.gov.it → area phishing |
| INPS — Vademecum antitruffe | Guida ufficiale per riconoscere comunicazioni false | inps.it → vademecum antitruffe |
| CERT-AGID | Bollettini settimanali sulle campagne di phishing attive in Italia | cert-agid.gov.it |
| Have I Been Pwned | Verifica se la tua email è stata coinvolta in una violazione di dati | haveibeenpwned.com |
| Google — Controllo sicurezza | Verifica la sicurezza del tuo account Google | myaccount.google.com/security-checkup |
| VirusTotal | Analizza un link o un file sospetto prima di aprirlo | virustotal.com |
Quiz: sai riconoscere una truffa?
Mettiti alla prova con questi scenari. Clicca su ciascuna domanda per vedere la risposta.
1. Ricevi un’email da “[email protected]” (con lo zero al posto della o) che ti dice che il tuo ordine è stato annullato e devi “cliccare qui per verificare”. Cosa fai?
2. Ricevi un SMS dalla tua banca (appare nello stesso thread di messaggi reali) che ti avvisa di un “accesso anomalo” e ti chiede di cliccare un link per verificare. È autentico?
3. Un collega ti manda un’email con un allegato Word dal titolo “Stipendi_aggiornamento_2026.docx” e ti chiede di abilitare le macro per visualizzarlo. Cosa fai?
4. Ti chiama un “tecnico Microsoft” dicendo che il tuo computer ha un virus e ti chiede di installare un programma per “pulizia remota”. Cosa fai?
5. Ricevi un’email dall’Agenzia delle Entrate che ti informa di un rimborso IRPEF di 487,30 € e ti chiede di inserire le credenziali SPID per riceverlo. Cosa fai?
6. Trovi un QR code su un volantino nel bar che promette “Wi-Fi gratis — scansiona qui”. Cosa fai?
7. Su WhatsApp ricevi un messaggio da un numero sconosciuto: “Ciao, sei Marco? Scusa ho sbagliato numero! Che fai di bello?” — sembra gentile e innocuo. È sicuro rispondere?
Riepilogo: le 5 regole da ricordare
Ricorda: non è una questione di intelligenza, è una questione di consapevolezza. I truffatori sono professionisti e le loro tecniche sono in continua evoluzione. Ma ora che sai come funzionano, sei già molto più al sicuro di prima. Condividi questa guida con chi potrebbe averne bisogno.