“È solo la mail.” Raramente. Con l’account Google si recuperano le password di altri servizi, si leggono i documenti, si vedono le foto e la posizione. Chi entra lì entra quasi ovunque.
Come ti rubano la password di Gmail?
Con una pagina di accesso falsa, o con qualcuno che te la chiede. Le due strade:
- La pagina falsa: un’email (“accesso bloccato”, “documento condiviso con te”, “spazio di archiviazione esaurito”) porta a una copia della pagina di accesso di Google.
- La telefonata: un finto tecnico di Google ti chiama, ti dice che l’account è a rischio e ti guida passo passo a dargli codici o password.
In Svizzera i truffatori hanno usato email autentiche di Google, una telefonata da un numero falsificato e pagine su sites.google.com. L’UFCS ricorda che le pagine di accesso vere sono solo su accounts.google.com.
Il video: il trucco visto dall’altra parte
Nel 2020 ho registrato questo video (5 minuti) per mostrarti il trucco dal punto di vista di chi lo prepara. La tecnica non è cambiata: cambiano solo la grafica delle pagine e le scuse usate per farti cliccare.
Come riconosco la pagina falsa di Google?
Dall’indirizzo: la pagina di accesso di Google è su accounts.google.com.
- Un indirizzo che contiene “google” non basta: sites.google.com è un servizio con cui chiunque crea un sito, truffatori compresi.
- Un “documento condiviso” che ti chiede di accedere di nuovo, quando sei già dentro Gmail, è sospetto.
- Nessun tecnico di Google ti telefona per la sicurezza del tuo account.
Il Metodo 3V applicato all’account Google
Tre domande prima di scrivere la password o un codice. È il Metodo 3V del libro «Sicurezza informatica per professionisti», spiegato nella guida al social engineering.
| Cosa chiederti | Nel caso Google | |
|---|---|---|
| Verifica | Chi me lo chiede è davvero chi dice di essere? | Né il mittente né il numero sul display lo dimostrano. Apri tu myaccount.google.com. |
| Validazione | Anche se fosse lui, la richiesta ha senso? | Google non chiede password o codici per email o al telefono. |
| Velocità controllata | Chi mi mette fretta, e perché? | ”Il tuo account sarà bloccato”: un account si protegge con calma, da solo. |
Cosa fare se hai già inserito la password
- Cambia la password da myaccount.google.com, aperto scrivendo tu l’indirizzo.
- Esci da tutte le sessioni e controlla i dispositivi collegati nella sezione Sicurezza.
- Elimina le password per le app che non hai creato tu e controlla numero e indirizzo di recupero.
- Controlla Gmail: inoltri automatici e filtri che non hai creato.
- Segui la procedura di Google per gli account compromessi.
Segnala il messaggio: in Svizzera all’Ufficio federale della cibersicurezza UFCS, in Italia alla Polizia Postale. Se hai un dubbio su un link, controllalo su sito-ok.com senza aprirlo.
Domande frequenti
Come faccio a sapere se la pagina di accesso di Google è vera?
Guarda l'indirizzo nella barra in alto: la pagina vera è su accounts.google.com. Un indirizzo che contiene solo la parola google, come sites.google.com, non è la pagina di accesso. Nel dubbio chiudi e apri tu myaccount.google.com.
Mi ha chiamato il supporto di Google: è vero?
No. Google non telefona agli utenti per problemi di sicurezza e non chiede mai password o codici. Riattacca e controlla da solo il tuo account. Il caso descritto dall'UFCS a settembre 2026 lo spiega bene.
Ho cambiato la password di Gmail: basta?
Non sempre. Esci anche da tutte le sessioni, controlla dispositivi collegati, password per le app, numero e indirizzo di recupero e inoltri automatici di Gmail. Chi entra spesso lascia una porta aperta per tornare.
La versione più recente di questa truffa è nell’articolo sul finto supporto di Google. Nel prossimo episodio: Phishing #5, la password di Instagram.
