Ogni mese succedono decine di cose. Qui trovi quelle che possono toccare una famiglia o una piccola impresa in Svizzera o in Italia, raggruppate per tema. Per i casi su cui abbiamo scritto un articolo c’è il link: lì trovi i dettagli e cosa fare.

Qual è stato il tema del mese?

I dati veri in mano ai truffatori. Il tuo nome, il telefono, la data del viaggio, l’indirizzo di casa: quando un messaggio o una telefonata li conosce, ti fidi di più. Ad aprile tre casi e un avviso lo hanno mostrato.

  • Booking.com, 13 aprile: Booking.com conferma al sito americano TechCrunch che persone non autorizzate hanno potuto vedere i dati di alcune prenotazioni. Nei giorni prima, secondo messaggi di clienti pubblicati online, aveva scritto alle persone coinvolte. Secondo TechCrunch si tratta di nomi, email, telefoni, dettagli della prenotazione e di quanto scritto alla struttura. Un portavoce ha detto a TechCrunch di aver cambiato il PIN di quelle prenotazioni e, in un aggiornamento, che gli indirizzi di casa non sono stati presi. Quanti clienti siano coinvolti, Booking.com non lo ha detto.
  • Italia, 14 aprile: la Polizia Postale, senza fare il nome della piattaforma, avverte che quei dati possono servire per un phishing su misura, con persone che si presentano come l’albergo o come la piattaforma. Le piattaforme non chiedono mai la carta per email, WhatsApp o SMS, né pagamenti diversi da quelli scritti nelle condizioni della prenotazione.
  • Svizzera, 14 aprile: l’Ufficio federale della cibersicurezza (UFCS) riceve sempre più segnalazioni di finti impiegati di banca che al telefono spesso conoscono già nome completo e indirizzo. Secondo l’UFCS è probabile che li prendano da elenchi telefonici, social o vecchie fughe di dati.
  • Svizzera, 15 aprile: la polizia cantonale di Zurigo descrive annunci di appartamenti su portali veri. Chi si fa avanti viene contattato su WhatsApp da una finta agenzia e manda un dossier completo tramite un modulo falso: documento d’identità, contratto di lavoro, busta paga, polizza della cassa malati. Dati che servono poi per truffe più credibili o per ordini a tuo nome.
TechCrunch, Booking.com conferma che terzi hanno avuto accesso ai dati dei clienti (in inglese) Polizia Postale, Viaggi nel mirino degli hacker: come proteggersi ora UFCS, Settimana 15: falsi dipendenti di banca chiedono l'installazione di un software di manutenzione remota Cybercrimepolice.ch, furto di dati con un falso modulo per candidarsi a un appartamento (in tedesco)

La telefonata della finta banca e il programma che ti fanno installare sono spiegati in mi ha chiamato la banca, ma era una truffa. Come sono stati usati poi i dati delle prenotazioni, con i finti rimborsi su WhatsApp, è in Falso rimborso dell’hotel.

Cosa è successo in Svizzera?

Cinque arresti in Ticino per le chiamate shock, il «Ciao mamma» passato su iMessage, una password che apre tutto, e le email false segnalate ogni settimana dalla polizia di Zurigo.

  • Chiamate shock in Ticino (17-24 aprile): in quattro comunicati il Ministero pubblico e la Polizia cantonale annunciano cinque arresti fra il 15 e il 23 aprile. A Taverne, sull’A2, fermato un uomo con gioielli e contanti appena presi a una vittima: un falso poliziotto aveva chiesto alla vittima una cauzione per un familiare dopo un grave incidente. A Bellinzona e a Tenero fermati tre uomini dopo truffe a Biasca e a Gordola, dove un falso medico chiedeva soldi per le cure di un parente gravemente malato. A Maggia fermato un uomo mentre andava a ritirare il bottino. In tre casi su quattro tutto è partito da una segnalazione immediata alla centrale d’allarme, fatta dai familiari o dalla persona chiamata, e in più casi la refurtiva è stata recuperata. La polizia parla di un’importante recrudescenza nelle ultime settimane.
  • I numeri del Ticino (7 aprile): nel 2025 i reati digitali sono calati dell’8% e le truffe online del 16%. Le indagini della polizia si sono concentrate sui ricatti con i file bloccati (ransomware), sulle false email di fornitori e dirigenti che fanno cambiare il conto di pagamento, e sui furti di criptovalute. Grazie a interventi rapidi sono stati bloccati e recuperati versamenti per circa 40 milioni di franchi. Nell’ultimo trimestre del 2025 la polizia ticinese si è occupata anche degli «SMS blaster»: un apparecchio grande come un computer, di solito in un’auto, che si fa passare per l’antenna migliore e manda ai telefoni nel raggio di 500-1’000 metri un SMS falso della polizia o di un corriere, con un link per pagare una multa o delle spese di spedizione.
Polizia cantonale e Ministero pubblico del Cantone Ticino, chiamate shock: un arresto nel Luganese Polizia cantonale e Ministero pubblico del Cantone Ticino, chiamate shock: un arresto nel Bellinzonese Polizia cantonale e Ministero pubblico del Cantone Ticino, chiamate shock: due arresti nel Locarnese Polizia cantonale e Ministero pubblico del Cantone Ticino, chiamate shock: un arresto in Vallemaggia Polizia cantonale ticinese, Criminalità digitale: tra fenomeni consolidati e nuove sfide (PDF)

Il nostro consiglio: un agente o un medico veri non ti chiedono soldi o gioielli per un familiare, e nessuno passa a ritirarli a casa. Se ricevi una chiamata così, riattacca, chiama il familiare al numero che conosci e poi il 117. Concordate oggi una parola d’ordine da dire solo a voce. Perché il numero sul display non basta lo spieghiamo in il numero della polizia di Lugano falsificato.

Le retrospettive dell’UFCS. Ogni settimana l’Ufficio federale racconta i casi della settimana precedente. Ad aprile tre riguardano tutti:

  • «Ciao mamma» su iMessage (28 aprile): un gran numero di segnalazioni del messaggio del figlio che ha «perso il telefono» e chiede di pagare una fattura urgente. La novità: arriva quasi solo su iMessage, la chat di Apple, da numeri stranieri, molto spesso delle Filippine (+63) o del Marocco (+212), o da indirizzi iCloud, a volte in svizzero tedesco. In una variante un «conoscente» con il telefono bloccato ti chiede di inserire un codice nell’app TWINT, che in realtà autorizza un pagamento, e poi di girargli un PIN arrivato per SMS. L’UFCS ritiene che serva a spostare il tuo TWINT sul suo telefono.
  • Una password per tanti account (21 aprile): chi usa la stessa password ovunque perde un account dopo l’altro, perché i truffatori provano in automatico quelle rubate in vecchie fughe di dati. La più preziosa è quella dell’email, perché da lì si reimpostano tutte le altre. L’UFCS descrive due trucchi per non farsi scoprire: una regola che inoltra in silenzio la tua posta a un loro indirizzo, oppure una valanga di spam che nasconde gli avvisi di cambio password.
  • Truffa dell’amore con foto create dall’IA (7 aprile): un finto partner conosciuto online si ammala, manda foto di sé in un letto d’ospedale, con accanto una tazza con il nome della vittima. Le foto sono generate con l’intelligenza artificiale. Dopo i soldi per le cure arrivano il necrologio, la foto della lapide e infine un «rimborso» che si sblocca solo pagando delle commissioni.
UFCS, Settimana 17: «Ciao mamma, mi si è rotto il telefono», i truffatori all'arrembaggio di iMessage UFCS, Settimana 16: una sola password per tanti account, un'abitudine molto rischiosa UFCS, Settimana 14: l'evoluzione della truffa dell'amore

Per il «Ciao mamma» basta un gesto: chiama tuo figlio al numero di sempre, prima di rispondere. In iMessage puoi segnalare il messaggio ad Apple con «Segnala spam». Per le password: controlla se la tua email è finita in una fuga di dati su passwordrubata.com e guarda nelle impostazioni della posta che non ci siano inoltri automatici creati da altri. Cosa fare dopo è in I miei dati sono nel dark web?. Come riconoscere un finto partner, e come parlarne a un genitore, in Il finto Brad Pitt e le truffe sentimentali con l’IA.

Le email false della settimana. La polizia cantonale di Zurigo pubblica su cybercrimepolice.ch i casi veri che le vengono segnalati. Ad aprile:

  • 1° aprile: una finta multa dell’Ufficio federale di polizia (fedpol), da pagare «entro 72 ore» per evitare costi più alti. La pagina a volte mostra un importo più alto di quello dell’email e chiede nome, indirizzo, data di nascita, numero AVS e carta.
  • 8 aprile: chi vende su Tutti riceve da un finto acquirente una finta fattura di Tutti che dà il pagamento per fatto, con un codice QR. La pagina falsa fa scegliere la banca e chiede l’accesso all’e-banking: così i truffatori si prendono l’account TWINT.
  • 22 aprile: un’email a nome di MetaMask, un portafoglio per criptovalute, chiede di «verificare» il portafoglio e di inserire la frase di recupero. Chi la conosce controlla il portafoglio, e di regola nessuno può annullare i trasferimenti.
  • 29 aprile: un’email a nome dell’Ufficio federale della sanità pubblica (UFSP) annuncia un rimborso da chiedere in fretta. L’indirizzo del sito somiglia a quello vero, la pagina copia quella dell’ufficio e chiede dati personali e carta.
Cybercrimepolice.ch, finta multa a nome di fedpol (in tedesco) Cybercrimepolice.ch, false conferme di pagamento per le vendite su Tutti (in tedesco) Cybercrimepolice.ch, phishing a nome di MetaMask (in tedesco) Cybercrimepolice.ch, falso rimborso a nome dell'UFSP (in tedesco)

Il falso acquirente di Tutti, e la versione italiana su Subito, sono in Phishing TWINT su Ricardo e Tutti. Perché le parole di recupero di un portafoglio cripto non si scrivono mai su un sito lo spieghiamo in Portafogli per criptovalute manomessi. Il 6 aprile l’UFCS ha anche avvisato delle fatture di SwissNovaChat e SwissNovaCare per abbonamenti mai fatti: tutto in Fattura SwissNovaChat o SwissNovaCare.

E in Italia?

Multe false ogni settimana, la tessera sanitaria «in scadenza», l’INPS falso che vuole sapere dove lavori, SMS con il nome dell’Agenzia delle Entrate e finte email della polizia che accusano di reati gravi.

Il CERT-AGID, il centro dell’Agenzia per l’Italia digitale che ogni settimana conta le campagne contro l’Italia, ne ha registrate fra 117 e 130 a settimana. I temi che tornano:

  • Multe false: circa 40 campagne a settimana (40, 41 e 38), tutte via email a nome di PagoPA. Come riconoscerle: la multa falsa a nome di PagoPA.
  • Sanità e tessera sanitaria: nella settimana dall’11 al 17 aprile quattro campagne sulla «scadenza imminente» della tessera sanitaria e due a nome del Fascicolo sanitario elettronico. Dal 18 al 24 aprile un falso rimborso per prestazioni sanitarie a nome del Ministero della Salute, che chiede dati personali e carta: la stessa idea della falsa email dell’UFSP in Svizzera.
  • INPS falso (11-17 aprile): SMS che portano a una raccolta di documenti e dati in più passaggi. La novità: chiedono anche chi è il tuo datore di lavoro, il tipo di contratto, il livello e la data di assunzione. Più sanno, più la truffa successiva sarà credibile.
  • SPID con il logo dell’AgID (18-24 aprile): una pagina falsa con nome e logo dell’Agenzia per l’Italia digitale chiede le credenziali della tua identità digitale.
CERT-AGID, campagne malevole della settimana 4-10 aprile CERT-AGID, campagne malevole della settimana 11-17 aprile CERT-AGID, campagne malevole della settimana 18-24 aprile

Agenzia delle Entrate, due avvisi. Il 1° aprile: SMS che sembrano mandati dall’Agenzia, con il numero del mittente falsificato, per esempio la conferma di un appuntamento che non hai mai preso. Il 21 aprile: una falsa pagina di accesso all’area riservata, per rubare le credenziali. L’Agenzia ricorda che si entra solo dal sito ufficiale, con il pulsante dell’area riservata in alto a destra.

Agenzia delle Entrate, avviso del 1° aprile 2026 Agenzia delle Entrate, avviso del 21 aprile 2026

Finte email della polizia (29 aprile). La Polizia Postale segnala email che imitano atti giudiziari, con nomi e firme del Capo della Polizia o di altri dirigenti. Accusano il destinatario di aver visto materiale pedopornografico e lo invitano a «giustificarsi». A chi risponde chiedono soldi per «interrompere le indagini». La Polizia di Stato non manda email per notificare reati né per chiedere pagamenti. Non rispondere: la paura è proprio la leva su cui contano.

Polizia Postale, attenzione alle truffe online a nome delle Forze di Polizia

Il 21 aprile la Polizia Postale ha anche segnalato più siti che imitano i negozi di marchi noti: i segnali per riconoscerli sono in Negozi online che sembrano svizzeri ma spediscono dall’Asia.

Polizia Postale, falsi siti di e-commerce e offerte ingannevoli online

Per le aziende: il codice che non devi inserire. Nella settimana dal 4 al 10 aprile il CERT-AGID ha descritto una truffa contro gli account Microsoft. Una pagina falsa ti fa vedere un codice e ti chiede di inserirlo sulla pagina vera di Microsoft, «per verificare l’account». Inserendolo autorizzi i truffatori a entrare nel tuo account, senza che debbano conoscere la tua password. Il nostro consiglio, per tutti in ufficio: un codice che non hai chiesto tu non si inserisce mai.

Dal Garante privacy, tre interventi che toccano i viaggi e le aziende.

  • Alberghi e B&B (29 aprile): dopo aver comunicato i dati degli ospiti alla polizia, la struttura deve cancellare subito le copie dei documenti d’identità. Il Garante critica in particolare le foto dei documenti fatte con il telefono o chieste su WhatsApp, che espongono gli ospiti a furti d’identità. Si può tenere solo la ricevuta della comunicazione, per cinque anni.
  • Le email che ti spiano (21 aprile): linee guida sui «pixel» di tracciamento, le immagini quasi invisibili che dicono al mittente se e quando hai aperto un’email. Di regola serve il consenso. Chi li usa, per esempio nelle newsletter, ha sei mesi dalla pubblicazione in Gazzetta Ufficiale per adeguarsi.
  • Riconoscimento facciale a Linate (newsletter del 15 aprile): illecito il sistema «FaceBoarding» dell’aeroporto di Milano Linate, che conservava i dati del volto dei passeggeri sui server del gestore.
Garante privacy, ad albergatori: no alla conservazione di copia dei documenti degli ospiti Garante privacy, tracking pixel nelle email: pubblicate le linee guida Garante privacy, newsletter del 15 aprile 2026

Per chi gestisce un albergo o un B&B in Italia la regola è semplice: il documento si guarda, si trasmette e la copia si cancella. Il nostro consiglio per chi viaggia: se ti chiedono la foto del documento su WhatsApp prima dell’arrivo, chiedi come verrà cancellata.

Quali truffe arrivano dall’Europa?

Call center che truffavano anche in italiano e in tedesco, e il rapporto di Europol sul crimine online.

  • Albania e Austria (29 aprile): Eurojust, l’agenzia europea per la cooperazione fra procure, annuncia la chiusura di più call center a Tirana. Il 17 aprile dieci arresti, perquisiti tre call center e nove abitazioni, sequestrati quasi 900’000 euro. Gli operatori lavoravano in gruppi per lingua, fra cui italiano e tedesco, e secondo gli inquirenti proponevano finti investimenti, con danni stimati oltre 50 milioni di euro. Poi ricontattavano chi aveva già perso soldi, promettendo di recuperarli: bastava aprire un conto su una piattaforma di criptovalute e versare 500 euro. I segnali in Truffe negli investimenti online.
  • Europol (28 aprile): nel suo rapporto annuale sul crimine online scrive che i truffatori usano sempre di più l’intelligenza artificiale per rendere su misura i loro messaggi, che i ricatti sessuali online continuano a crescere, anche contro i minori, e che minorenni e giovani adulti, sempre più attratti dalle criptovalute, possono finire senza saperlo nel riciclaggio di denaro.
Eurojust, chiusi call center di truffatori che colpivano cittadini europei (in inglese) Commissione europea, Europol ha pubblicato il rapporto sulle tendenze del crimine online (in inglese) Europol, IOCTA 2026 (in inglese)

Quali aggiornamenti non puoi rimandare?

Adobe Reader, i programmi CPU-Z e HWMonitor scaricati in quei giorni, gli aggiornamenti di Windows di aprile e, per chi ha un sito, il pannello cPanel.

  • Adobe Acrobat e Reader (11 aprile): uno dei programmi più usati per aprire i PDF aveva una falla grave, che si attiva aprendo un PDF preparato apposta e può far eseguire codice sul computer. Il 13 aprile la CISA, l’agenzia americana per la cibersicurezza, l’ha inserita fra le falle già sfruttate. Di solito si aggiorna da solo: per controllare, apri il programma e cerca gli aggiornamenti dal menu Aiuto.
  • CPU-Z, HWMonitor e PerfMonitor 2 (10 aprile): programmi gratuiti per controllare l’hardware del computer. Lo CSIRT Italia segnala che il sito del produttore, CPUID, sarebbe stato violato e che, secondo lo CSIRT, per un periodo i link di download avrebbero portato a versioni infette, uguali alle vere in apparenza. Chi li ha scaricati dal sito ufficiale nei due o tre giorni prima dell’avviso per prudenza dovrebbe considerare il computer potenzialmente compromesso. Il nostro consiglio: se è il tuo caso, fallo controllare e cambia le password da un altro dispositivo. Lo CSIRT considera affidabili solo le copie scaricate prima del 9 aprile.
  • Windows (14 aprile): gli aggiornamenti mensili di Microsoft. Fra il 14 e il 28 aprile la CISA ha segnalato come già sfruttate tre falle corrette quel giorno: in Microsoft Defender, l’antivirus integrato in Windows, usata anche in attacchi ransomware secondo la CISA; in Windows stesso; e in SharePoint Server, per le aziende che lo hanno in casa. Fai Windows Update e riavvia.
  • cPanel (28-30 aprile): il pannello di controllo usato da molti hosting per gestire siti e caselle email. Una falla nell’accesso permetteva di entrare nel pannello senza password. Il 30 aprile la CISA l’ha inserita fra le falle già sfruttate, anche in attacchi ransomware. Se il tuo sito o la tua posta stanno su un hosting con cPanel, chiedi al fornitore se ha installato l’aggiornamento di sicurezza del 28 aprile.
Adobe, aggiornamento di sicurezza APSB26-43 per Acrobat e Reader (in inglese) NVD, falla di Adobe Acrobat e Reader CVE-2026-34621 (in inglese) CSIRT Italia, compromissione della distribuzione di CPUID.com: coinvolti CPU-Z, HWMonitor e PerfMonitor 2 Microsoft, falla di Microsoft Defender CVE-2026-33825 (in inglese) NVD, falla di cPanel e WHM CVE-2026-41940 (in inglese) CISA, catalogo delle falle già sfruttate (in inglese)

Il 24 aprile la CISA ha inserito fra le falle sfruttate anche un router D-Link, il DIR-823X, avvertendo che potrebbe essere fuori supporto e che conviene smettere di usarlo. Il nostro consiglio, per ogni router: se il produttore non lo aggiorna più, va sostituito.

Dove segnalo una truffa?

Prima in Svizzera, poi in Italia, a seconda di dove vivi o di dove è il tuo conto.

  1. Svizzera: segnala il messaggio o la chiamata all’UFCS sul modulo online di report.ncsc.admin.ch, anche dal telefono. Se hai perso soldi o dato i dati della carta, chiama subito la banca per bloccarla, poi telefona alla polizia cantonale per fissare un appuntamento e sporgere denuncia. Per una chiamata shock in corso, o se qualcuno sta venendo a ritirare soldi o gioielli, chiama subito il 117: ad aprile in Ticino le segnalazioni immediate hanno portato a più arresti.
  2. Italia: segnala sul sito del Commissariato di PS online della Polizia Postale, alla pagina commissariatodips.it/segnalazioni. Se hai pagato, blocca la carta con la banca e sporgi denuncia. In caso di emergenza, il 112.
  3. Se non te la senti da solo: chiedi a un familiare o a una persona di fiducia di aiutarti con il modulo. Conserva il messaggio, non cancellarlo: serve come prova.

Il Metodo 3V applicato al mese

FaseLa lezione di aprile
Verifica: chi mi scrive o mi chiama davvero?L’albergo, la banca, tuo figlio, la polizia: conoscere il tuo nome o la tua prenotazione non prova niente
Validazione: la richiesta ha senso?Una prenotazione che si paga su WhatsApp, un conoscente che ti fa inserire un codice TWINT, un medico che vuole contanti, una polizia che chiede soldi per chiudere un’indagine: no
Velocità controllata: chi mi mette fretta?«Entro 72 ore», «tuo figlio è grave», «paga o parte l’indagine»: fermati e richiama tu un numero che conosci

Il metodo completo è nel libro «Sicurezza informatica per professionisti» e nella guida al Metodo 3V.

Domande frequenti

Booking.com mi ha scritto che i dati della mia prenotazione potrebbero essere stati visti: cosa faccio?

Da ora in poi diffida di ogni messaggio sulla prenotazione che arriva su WhatsApp, per SMS o per email e ti chiede la carta o un pagamento, anche se conosce il tuo nome e le date. Ad aprile 2026 la Polizia Postale ha ricordato che le piattaforme non chiedono mai la carta per messaggio. Controlla la prenotazione solo dall'app o dal sito, aperti da te.

Mio figlio mi scrive da un numero nuovo su iMessage e mi chiede di pagare una fattura: cosa faccio?

Non pagare e non salvare il numero. Chiama tuo figlio al numero che hai sempre usato: quasi sempre risponde lui, con il telefono che funziona benissimo. Ad aprile 2026 l'UFCS ha ricevuto molte segnalazioni di questo «Ciao mamma» su iMessage, spesso da numeri delle Filippine o del Marocco. Se qualcuno, anche un conoscente, ti chiede di inserire un codice in TWINT o di girargli un PIN, è sicuramente una truffa.

Ho scaricato CPU-Z o HWMonitor ad aprile 2026: il mio computer è a rischio?

Dipende da quando. Lo CSIRT Italia ha segnalato il 10 aprile 2026 che per un periodo il sito del produttore potrebbe aver distribuito versioni infette, e raccomanda di usare solo copie scaricate e verificate prima del 9 aprile. Se l'hai scaricato in quei giorni, fai controllare il computer da un tecnico. Il nostro consiglio: cambia le password importanti da un altro dispositivo, a partire dall'email.

Un'email della polizia dice che ho visto materiale illegale e devo pagare per chiudere l'indagine: è vera?

No. È una truffa segnalata dalla Polizia Postale il 29 aprile 2026: email con loghi e firme di dirigenti della polizia, costruite per farti paura. La Polizia di Stato non notifica reati per email e non chiede mai soldi per fermare un'indagine. Non rispondere e non pagare. Se vuoi, segnala l'email sul sito del Commissariato di PS online e poi cancellala.

Una cosa da fare questa settimana, in dieci minuti: apri le impostazioni della tua email, controlla che non ci siano inoltri automatici che non hai creato tu e attiva la verifica in due passaggi. Come sceglierla è in Verifica in due passaggi: SMS, app o chiave?. L’email è la casella da cui si recuperano tutte le altre password: chiusa bene quella, il resto regge meglio. Cosa è successo il mese dopo lo trovi nella rassegna di maggio.