Una email della “banca” che ti avvisa di un problema urgente sul conto. Un SMS del “corriere” con un link da cliccare subito per sbloccare un pacco. Un messaggio dell'”ufficio postale” che minaccia il blocco di un servizio. Sono i travestimenti tipici del phishing, una delle truffe online più diffuse, e funziona proprio perché punta su due leve potentissime: la fretta e la paura.
La cosa importante da sapere è che difendersi è alla portata di tutti: non servono competenze tecniche, ma un po’ di attenzione e qualche regola fissa. Vediamo cos’è il phishing, come riconoscerlo e cosa fare se ci sei cascato.
L’essenziale. Il phishing è un tentativo di farti consegnare dati o denaro spacciandosi per qualcuno di cui ti fidi. Il segnale ricorrente è l’urgenza: messaggi che ti spingono ad agire in fretta cliccando un link. La difesa migliore è rallentare, non cliccare e verificare aprendo tu il sito ufficiale.
Cos’è il phishing e come funziona
Il phishing è un inganno: un messaggio che sembra provenire da una banca, da un servizio noto o da un ente pubblico ti invita a inserire credenziali o dati di pagamento su una pagina-fotocopia di quella vera. Tu credi di accedere al sito ufficiale, ma stai consegnando le tue informazioni ai truffatori.
La Polizia Postale lo descrive bene sul proprio sito ufficiale: l’obiettivo è sempre lo stesso, rubare informazioni riservate sfruttando la fiducia. I canali cambiano — email, SMS (in questo caso si parla di “smishing”), telefonate, messaggi sui social — ma lo schema di fondo resta identico.
I segnali che lo smascherano
Quasi tutti i tentativi di phishing hanno qualche campanello d’allarme. Diffida quando un messaggio:
- Crea urgenza o paura: “entro 24 ore o il conto sarà bloccato”, “ultimo avviso prima della sospensione”.
- Usa un mittente strano: un indirizzo email che imita quello ufficiale ma con domini sospetti o leggermente diversi.
- Contiene link ambigui: passandoci sopra con il mouse senza cliccare, l’indirizzo reale non corrisponde al sito ufficiale.
- Chiede dati riservati: nessuna banca o ente serio ti chiede password o PIN via email.
- Ha errori e grafica “quasi” giusta: piccole sbavature di lingua, loghi sfocati, formattazione approssimativa.
Nel dubbio, la regola è una sola: non cliccare. Apri tu il sito ufficiale digitandolo a mano nel browser o usando l’app, e controlla se c’è davvero qualche comunicazione.
Cosa fare se hai cliccato
Se hai aperto un link e inserito dati, agisci in fretta ma con ordine:
- Cambia subito le password coinvolte, e fallo anche sugli altri servizi dove usavi la stessa password.
- Attiva l’autenticazione a due fattori, che aggiunge una barriera anche se la password è compromessa.
- Contatta la banca per bloccare carte o conto se hai inserito dati di pagamento.
- Conserva il messaggio e segnala l’accaduto alla Polizia Postale tramite i canali ufficiali.
Come prevenire (anche se hai un sito)
La prevenzione passa da poche abitudini solide: tieni dispositivi e app sempre aggiornati, usa password diverse per ogni servizio (meglio con un gestore di password) e attiva ovunque la verifica in due passaggi. Diffida per principio di link e allegati non richiesti.
Il discorso vale anche per chi gestisce un sito: la sicurezza è parte integrante di una presenza online professionale, con HTTPS, certificati in regola e aggiornamenti costanti. E ricorda che le truffe diventano più sofisticate grazie all’intelligenza artificiale, che permette di creare messaggi e perfino voci sempre più credibili: la prudenza vale più che mai.
Gli esempi più frequenti di phishing
Riconoscere gli schemi più comuni aiuta a non cadere in trappola. Questi sono i travestimenti che si vedono più spesso:
- Falsa banca: un avviso di “accesso sospetto” o “conto bloccato” che invita a confermare le credenziali tramite un link.
- Pacco in attesa: un SMS che chiede un piccolo pagamento per “sbloccare” una spedizione, con tanto di logo del corriere.
- Premio o rimborso: la notizia di una vincita o di un rimborso fiscale, per cui basta “inserire i dati della carta”.
- Account social o email: un messaggio che segnala una violazione e chiede di reimpostare la password su una pagina falsa.
- Ente pubblico: comunicazioni che imitano enti ufficiali, facendo leva sul timore di sanzioni.
Il filo comune è sempre lo stesso: un pretesto credibile, un senso di urgenza e un link su cui cliccare. Ogni volta che un messaggio ti mette fretta, fermati: è proprio quella la reazione su cui i truffatori contano. Un minuto di verifica vale più di qualunque clic affrettato.
Domande frequenti
Come riconosco un link pericoloso?
Passa il mouse sul link (senza cliccare) e controlla l’indirizzo reale che compare: se non corrisponde al sito ufficiale o è pieno di caratteri strani, non aprirlo.
Ho già fornito i miei dati: cosa faccio?
Cambia immediatamente le password, attiva la verifica in due passaggi, blocca eventuali carte e segnala l’accaduto alla Polizia Postale conservando il messaggio ricevuto.
Il phishing arriva solo via email?
No. Arriva anche via SMS, telefonate, chat e social. Lo schema è sempre lo stesso: fingersi qualcuno di fidato per farti consegnare dati o denaro.