Il phishing è oggi una delle truffe informatiche più diffuse: email, SMS o messaggi sui social che imitano banche, corrieri, enti pubblici o servizi conosciuti per rubare password, dati della carta di credito o accessi a conti online. Riconoscere i segnali giusti e adottare qualche buona abitudine riduce moltissimo il rischio di caderci.
In questa guida vediamo cos’è il phishing, come riconoscere un tentativo di truffa via email o messaggio, quali sono le buone pratiche per prevenirlo e cosa fare se si è già cliccato su un link sospetto.
Cos’è il phishing
Il termine phishing (dall’inglese “fishing”, pescare) indica una truffa in cui il malintenzionato si finge un’entità affidabile — una banca, un corriere, l’Agenzia delle Entrate, un social network — per convincere la vittima a fornire spontaneamente dati riservati: password, codici OTP, numero di carta di credito, credenziali di accesso.
Il canale più comune resta l’email, ma esistono varianti sempre più diffuse: lo smishing (phishing via SMS), il vishing (phishing telefonico) e i messaggi truffa su WhatsApp o social media. In tutti i casi il meccanismo è simile: un messaggio che sembra ufficiale, un pretesto urgente (un pacco bloccato, un accesso sospetto, un pagamento da confermare) e un link o un numero da contattare al più presto.
I segnali per riconoscere un tentativo di phishing
- Senso di urgenza: “il tuo account sarà sospeso entro 24 ore”, “pacco in giacenza, conferma subito”: la fretta serve a far abbassare la guardia.
- Mittente sospetto: l’indirizzo email reale (non il solo nome visualizzato) non corrisponde al dominio ufficiale dell’azienda o contiene errori sottili (es. “amaz0n.it” invece di “amazon.it”).
- Link mascherati: il testo del link dice una cosa, ma passandoci sopra con il mouse (senza cliccare) l’indirizzo reale che compare è diverso e spesso poco credibile.
- Richiesta diretta di dati sensibili: nessuna banca o ente serio chiede password, PIN o codici OTP via email o SMS.
- Errori di grammatica o formattazione insolita, loghi sgranati, saluti generici (“Gentile cliente” invece del proprio nome).
- Allegati inattesi, soprattutto file .zip, .exe o documenti che chiedono di “abilitare le macro”.
Le forme più comuni di phishing in Italia
I truffatori adattano continuamente i pretesti alle abitudini di chi legge. Alcuni schemi ricorrono ogni anno con piccole varianti:
- Il finto corriere: SMS o email che avvisano di un pacco “bloccato in dogana” o “in giacenza”, con un link per pagare una piccola somma o “confermare l’indirizzo” che porta a un sito clone del corriere.
- La finta banca o Poste: messaggi che segnalano un accesso sospetto o una carta “bloccata per sicurezza”, con un link che imita perfettamente il sito ufficiale ma ruba le credenziali inserite.
- Il falso ente pubblico: comunicazioni che sembrano provenire da INPS, Agenzia delle Entrate o SPID, che promettono un rimborso o minacciano sanzioni per convincere a cliccare in fretta.
- Il collega o il capo che scrive da un indirizzo quasi identico: variante mirata (spear phishing) usata soprattutto contro aziende, per farsi girare bonifici o credenziali aziendali.
- Il finto premio o la finta vincita: messaggi che annunciano un buono sconto, un regalo o una vincita a un concorso a cui non si è mai partecipato.
Il filo conduttore è sempre lo stesso: un pretesto plausibile, l’urgenza e un link o numero da usare subito. Riconoscere lo schema, più che il singolo messaggio, è la difesa più efficace nel tempo.
Come prevenire il phishing: le buone pratiche
- Non cliccare mai d’impulso: in caso di dubbio, contattare l’azienda o l’ente tramite i canali ufficiali (sito digitato a mano, numero verde noto) invece di usare i link nel messaggio.
- Attivare l’autenticazione a due fattori (2FA): anche se la password venisse rubata, senza il secondo codice l’accesso resta bloccato. Da attivare su email, home banking e social.
- Usare un gestore di password: oltre a generare password uniche e complesse per ogni servizio, un password manager non compila automaticamente i dati su un sito phishing perché non riconosce il dominio reale.
- Verificare sempre l’indirizzo del sito prima di inserire dati: presenza del lucchetto HTTPS e dominio corretto (attenzione comunque: anche siti phishing possono avere HTTPS, quindi il dominio resta il controllo più importante).
- Tenere aggiornati sistema operativo, browser e antivirus, che spesso includono filtri anti-phishing e bloccano automaticamente i siti segnalati come pericolosi.
- Diffidare di premi, vincite o rimborsi inattesi: se sembra troppo bello per essere vero, quasi sempre lo è.
- Segnalare i messaggi sospetti come spam/phishing dal proprio client di posta, così da contribuire a bloccarli anche per altri utenti.
Strumenti utili per proteggersi dal phishing
Cosa fare se si è già cliccato su un link di phishing
Se hai cliccato su un link sospetto o inserito per errore i tuoi dati su un sito non ufficiale, agisci subito:
- Cambia immediatamente la password del servizio coinvolto (e di eventuali altri account dove usavi la stessa password).
- Contatta la banca senza esitare se hai inserito dati della carta o dell’home banking, per bloccare la carta o monitorare movimenti sospetti.
- Attiva la 2FA se non l’avevi ancora fatto.
- Esegui una scansione antivirus completa del dispositivo, nel caso il link avesse anche installato un malware.
- Monitora i movimenti bancari nei giorni successivi e segnala eventuali anomalie.
Il phishing è spesso il primo passo verso truffe più ampie o veri e propri attacchi informatici: per approfondire le difese generali dei tuoi dispositivi leggi anche la guida su come prevenire i virus informatici e quella su come evitare le truffe online.
Domande frequenti sul phishing
Qual è la differenza tra phishing e smishing?
Il meccanismo è lo stesso, cambia solo il canale: il phishing viaggia via email, lo smishing via SMS o app di messaggistica. In entrambi i casi l’obiettivo è spingere la vittima a cliccare un link o fornire dati sensibili con un pretesto urgente.
Basta aprire un’email di phishing per essere in pericolo?
Nella maggior parte dei casi il rischio reale nasce dal cliccare un link o aprire un allegato, non dalla sola visualizzazione del testo del messaggio. Resta comunque prudente non interagire in alcun modo con email da mittenti sconosciuti o sospetti.
La mia banca mi ha scritto per email chiedendomi la password: è normale?
No. Nessuna banca o ente serio chiede password, PIN o codici OTP via email, SMS o telefono. Una richiesta di questo tipo è quasi sempre un tentativo di phishing: non rispondere e verifica direttamente sul sito ufficiale o chiamando il numero riportato sulla tua carta o sul contratto.
Un antivirus basta da solo a bloccare il phishing?
Un buon antivirus con filtro anti-phishing aiuta a bloccare molti siti già segnalati come pericolosi, ma non copre il 100% dei casi, soprattutto quando il sito clone è appena stato creato. Per questo resta importante unire la protezione tecnologica (antivirus, browser aggiornato, filtri email) all’attenzione personale nel riconoscere i segnali sospetti prima di cliccare.
L’autenticazione a due fattori mi protegge davvero dal phishing?
Riduce moltissimo il rischio, perché anche se la password venisse rubata servirebbe comunque un secondo codice (generato da un’app o inviato via SMS) per accedere all’account. Non è una protezione assoluta contro le tecniche più sofisticate, ma resta uno degli strumenti più efficaci ed è consigliata su tutti i servizi che la offrono.
