Le trappole
online
Phishing, smishing, truffe WhatsApp e siti contraffatti: come riconoscerli prima di cadere nella trappola — e cosa fare se hai già cliccato.
Come funziona una truffa online
Non sfruttano la stupidità — sfruttano le emozioni
Le truffe online non sono riservate a chi è ingenuo o poco istruito. Funzionano perché sfruttano meccanismi psicologici universali — gli stessi che ci fanno comprare qualcosa in saldo per paura di perderlo, o rispondere subito a un messaggio urgente senza pensarci.
Capire queste leve è il primo passo per difendersi: quando le riconosci, puoi fermarti prima di agire.
Le quattro leve della truffa
Non hai tempo per pensare — devi agire adesso.
Il messaggio sembra provenire da un'istituzione di fiducia.
Ti fanno credere che stai perdendo qualcosa di importante.
Hai vinto, hai diritto a un rimborso, hai ricevuto un regalo.
Ogni volta che senti urgenza davanti a un messaggio digitale, fermati. L'urgenza è quasi sempre artificiale — costruita per impedirti di ragionare. Una banca vera, Poste, INPS non ti chiedono dati sensibili via email o SMS.
Phishing via email
L'amo digitale più diffuso — e come riconoscerlo prima di abboccare
Il phishing è una truffa via email in cui il mittente si finge qualcuno di cui ti fidi — la tua banca, Amazon, INPS, Poste Italiane — per farti cliccare su un link falso o rivelare le tue credenziali.
Il termine viene dall'inglese "fishing" (pesca): il truffatore lancia l'amo sperando che qualcuno abbocchi. E spedisce milioni di email, perché anche solo l'1% di risposte è sufficiente.
Esempio di email di phishing analizzata
Gentile Cliente,
Abbiamo rilevato un accesso non autorizzato al tuo account PostePay da un dispositivo sconosciuto (Roma, IP: 91.234.xx.xx).
Per proteggere immediatamente il tuo conto, devi verificare la tua identità entro le prossime 2 ore, altrimenti il conto verrà temporaneamente bloccato.
👉 Clicca qui per verificare il tuo account
Poste Italiane S.p.A. — Questo messaggio è automatico, non rispondere.
I segnali da cercare sempre
Non cliccare nessun link. Non scaricare allegati. Non rispondere. Se l'email riguarda un servizio che usi davvero (banca, INPS…), apri il sito ufficiale digitando tu stesso l'indirizzo nel browser, e accedi da lì per verificare se c'è davvero un problema. Segnala l'email come spam o phishing.
Smishing — le truffe via SMS
Il phishing arrivato sul telefono
Lo smishing (SMS + phishing) è la versione del phishing che arriva come messaggio di testo. È particolarmente insidioso perché gli SMS sembrano più personali delle email, e molti li leggono senza la stessa attenzione critica.
Esempi tipici nel 2026
http://bancaxyz-sicurezza.com/verifica
https://poste-tracking.net/paga
I truffatori possono falsificare il numero mittente — una tecnica chiamata SMS spoofing. Il tuo telefono potrebbe mostrare "Intesa Sanpaolo" come mittente anche se il messaggio non viene dalla vera banca. Non fidarti del nome del mittente per valutare l'autenticità.
Come comportarsi
- Non cliccare il link nell'SMS — nemmeno per "vedere cosa c'è".
- Se il messaggio riguarda un tuo ordine o un tuo conto, vai direttamente sul sito ufficiale digitando tu l'indirizzo, e controlla lì.
- Per i pacchi: usa il codice di tracciamento sul sito ufficiale del corriere (BRT, SDA, DHL…) — non i link negli SMS.
- Segnala il numero come spam nel tuo telefono e ignora il messaggio.
Truffe su WhatsApp
Messaggi da chi conosci — ma non è chi pensi
WhatsApp è diventato uno dei canali preferiti dai truffatori perché i messaggi arrivano da contatti reali o da numeri che sembrano conosciuti, abbassando le difese. Le truffe più diffuse in Italia nel 2026.
"Ciao mamma, ho cambiato numero"
Ricevi un messaggio da un numero sconosciuto: "Ciao mamma, ho rotto il telefono, questo è il mio nuovo numero. Puoi farmi un bonifico urgente? Ti spiego dopo."
La truffa funziona sulla leva della famiglia e dell'urgenza. Il truffatore non sa il tuo nome — spera che tu lo completi. Se rispondi "Chi sei?", risponderà con il nome di tuo figlio o nipote.
Qualunque richiesta di denaro arrivata via testo va verificata con una chiamata vocale al numero che conosci già — non al nuovo numero del messaggio. Se non riesci a raggiungerli, aspetta. Nessuna emergenza vera richiede un bonifico immediato via chat.
Link sospetti nei gruppi
Nei gruppi WhatsApp circolano spesso link del tipo "Hai vinto un buono Esselunga", "Guarda questo video di te", "Rinnova la tua iscrizione". Cliccando si può installare malware, venire reindirizzati a siti di phishing, o essere iscritti a servizi a pagamento.
Se non aspettavi quel link e non sai esattamente cosa fa, non cliccare. Neanche se viene da un contatto che conosci — il suo account potrebbe essere stato compromesso. Chiedi conferma direttamente alla persona prima di aprire qualsiasi link.
Profilo clonato
Un truffatore scarica la tua foto profilo da WhatsApp (o dai social), crea un account con lo stesso nome e la stessa foto, e contatta i tuoi amici fingendosi te — chiedendo denaro, informazioni o facendogli cliccare link.
Se un tuo amico ti dice "Mi hai scritto su WhatsApp da un numero strano", è probabile che qualcuno stia usando la tua identità. Avvisa subito i tuoi contatti e fai impostare la privacy della foto profilo su "Solo i miei contatti" (Impostazioni → Privacy → Foto profilo).
Siti contraffatti
Copie perfette dei siti che conosci — con un dettaglio sbagliato
Un sito contraffatto (o spoofed) è una copia quasi identica di un sito legittimo — stessa grafica, stessi colori, stesse immagini. L'obiettivo è farti inserire username, password o dati della carta di credito, che vengono immediatamente rubati.
Come riconoscere un URL sospetto
Il dettaglio da guardare sempre è l'indirizzo nella barra del browser. I truffatori usano varianti sottili che a colpo d'occhio sembrano corrette.
Il lucchetto 🔒 nella barra del browser significa che la connessione è cifrata — non che il sito è legittimo. Un sito truffaldino può avere il lucchetto. L'HTTPS protegge il tragitto dei dati, non la destinazione. Un sito falso con lucchetto ruba i tuoi dati in modo "sicuro" verso i truffatori.
Altri segnali di un sito falso
Oltre all'URL, cerca: testi con errori ortografici, immagini sgranate o pixelate, mancanza di dati aziendali (Partita IVA, indirizzo, contatti reali), prezzi troppo bassi per essere veri, metodi di pagamento insoliti (solo bonifico, solo criptovalute, solo gift card).
Come verificare un sito
Strumenti gratuiti per controllare prima di inserire qualsiasi dato
Prima di acquistare su un sito che non conosci, o di inserire le tue credenziali su una pagina che ti sembra strana, hai a disposizione strumenti semplici e gratuiti.
Trustpilot — recensioni degli utenti
Vai su trustpilot.com e cerca il nome del sito. Trustpilot raccoglie recensioni di acquirenti reali. Cosa cercare: valutazione media, numero di recensioni, data delle più recenti, risposte dell'azienda ai commenti negativi.
Anche Trustpilot può contenere recensioni acquistate. Segnali di allarme: tutte le recensioni sono 5 stelle, sono state scritte nello stesso periodo, il testo è generico e identico. Quando i numeri sembrano troppo perfetti, approfondisci.
Google — la ricerca è il tuo alleato
Cerca il nome del sito seguito da parole come "truffa", "opinioni", "è affidabile". Le vittime di truffe tendono a raccontare la loro esperienza online — forum, Reddit, social. Se non trovi nulla di negativo su un sito attivo da anni, è un buon segnale. Se trovi molte segnalazioni recenti, fermati.
VirusTotal e Google Safe Browsing
- Vai su virustotal.com, incolla l'URL del sito nella barra di ricerca e clicca invio. Il servizio controlla il sito contro 70+ database di sicurezza e ti dice se è stato segnalato come pericoloso.
- In alternativa, su Google cerca "Google Safe Browsing" e usa lo strumento di verifica — digiti l'URL e Google ti dice se il sito è nella sua lista di siti pericolosi.
Whois — quando è stato creato il sito?
I siti truffaldini spesso esistono da poche settimane. Vai su whois.domaintools.com, digita il dominio e cerca "Created" o "Registration Date". Un sito che vende prodotti di marca da 3 settimane è un segnale di allarme forte.
Se stai per inserire dati su un sito nuovo o sconosciuto: 30 secondi su Google ("nome sito truffa") e 30 secondi su Trustpilot bastano a smaschera la maggior parte delle truffe. Fallo prima di ogni acquisto su siti che non conosci.
Ho già cliccato — cosa faccio?
La sequenza d'azione per ogni scenario. Senza panico
Se ti accorgi di aver interagito con qualcosa di sospetto, la cosa più importante è non farti prendere dal panico e agire nell'ordine giusto. La gravità della situazione dipende da cosa hai fatto dopo il clic.
- Chiudi immediatamente la pagina senza toccare nulla.
- Se sei su telefono, vai su Impostazioni → App → Browser e cancella cache e dati.
- Esegui una scansione con un antivirus aggiornato (Windows Defender su PC è sufficiente).
- Monitora i tuoi account nei giorni successivi per attività anomale.
- In molti casi, il clic da solo non causa danni — dipende dal sito e dal dispositivo.
- Cambia subito la password dell'account interessato — accedi al vero sito digitando tu l'indirizzo.
- Cambia la stessa password su tutti gli altri siti dove la riusi (per questo è fondamentale non riusare le password).
- Attiva il 2FA sull'account se non l'hai già fatto.
- Controlla l'email di recupero collegata all'account — un attaccante potrebbe averla già cambiata.
- Segnala l'accaduto al vero servizio (banca, provider email, ecc.) — spesso hanno procedure di supporto dedicate.
- Chiama immediatamente la banca — il numero è sul retro della carta o sul sito ufficiale. Non usare numeri trovati nell'email sospetta.
- Chiedi il blocco immediato della carta e il monitoraggio del conto.
- Fai una denuncia alla Polizia Postale su commissariatodips.it — è necessaria per eventuali rimborsi e per fermare altri truffati.
- Conserva tutto: screenshot dell'email o SMS, URL del sito, data e ora.
- Se hai già transazioni non autorizzate, chiedi alla banca di avviare la procedura di chargeback.
Polizia Postale: commissariatodips.it — segnalazione online di truffe informatiche, phishing, furto d'identità.
AGCM: agcm.it — per truffe commerciali e pubblicità ingannevole.
Arbitro Bancario Finanziario: arbitrobancariofinanziario.it — per controversie con la banca sui rimborsi.