Ogni mese succedono decine di cose. Qui trovi quelle che possono toccare una famiglia o una piccola impresa in Svizzera o in Italia, raggruppate per tema. Per i casi su cui abbiamo scritto un articolo c’è il link: lì trovi i dettagli e cosa fare.
Qual è stato il tema del mese?
Le promesse di soldi e i favori di fine anno. A dicembre si aspettano pacchi, rimborsi e tredicesime, si comprano regali, si chiudono i conti dell’anno. I truffatori usano proprio questo clima: ti offrono qualcosa, o ti chiedono un piccolo favore, e intanto prendono la carta, un codice o dei soldi.
- Svizzera, 17 dicembre, il falso rimborso dell’IVA: la polizia cantonale di Zurigo segnala email a nome dell’Ufficio federale della dogana e della sicurezza dei confini (UDSC). Dicono che un tuo acquisto recente dà diritto a un rimborso dell’IVA di qualche centinaio di franchi. Il sito copia la grafica della Confederazione, stemma compreso, e chiede dati personali, carta e il codice di sei cifre che arriva dalla banca.
- Svizzera, 24 dicembre, i buoni regalo del capo: email che sembrano del direttore arrivano alla segreteria o alla contabilità. Chiedono di comprare in fretta carte regalo digitali «per i clienti», prima delle feste, e poi di mandare i codici. Una volta mandati i codici, i soldi di solito sono persi.
- Svizzera, 23 dicembre, il falso «miracolo di Natale»: l’Ufficio federale della cibersicurezza (UFCS) riceve sempre più segnalazioni da persone già truffate con un falso investimento, ora contattate da finti studi legali o finte autorità che dicono di aver ritrovato il denaro. Per riaverlo bisogna pagare «commissioni». Nel 2024 l’UFCS aveva ricevuto 91 segnalazioni di questo tipo, nel 2025 fino a quel momento 462.
- Italia, 5 e 23 dicembre, i rimborsi del fisco: l’Agenzia delle Entrate avverte di email con il suo logo che promettono un rimborso di 115,50 euro con un pulsante «Modulo Rimborso», che chiede prima i dati personali e poi la carta. Il 23 dicembre un’altra campagna: «nuove istruzioni operative» per i rimborsi, con una scadenza stretta.
Chi ha già perso soldi è il bersaglio preferito della seconda truffa. Come funziona e cosa fare lo spieghiamo in Truffe negli investimenti online. Per l’email del capo vale la regola dei due canali, raccontata in la truffa del CEO con la voce clonata a Svitto.
Cosa è successo in Svizzera?
Più chiamate del falso funzionario di banca in Ticino, la Serafe usata per raccogliere il numero AVS, messaggi che ti chiedono di richiamare e offerte di lavoro che ti trasformano in complice.
- Falso funzionario di banca, Ticino (2 dicembre): la Polizia cantonale segnala un aumento dei tentativi nelle ultime settimane. Sul display compare il numero di una banca vera, una tecnica che si chiama spoofing. Chi chiama si presenta come operatore o esperto di sicurezza, parla di movimenti sospetti o di accessi all’e-banking e mette fretta per ottenere codici, password, autorizzazioni di pagamento o l’accesso a distanza al computer. Il consiglio della polizia: interrompi la chiamata e richiama tu la banca dai canali che usi sempre.
- Serafe e la «verifica della situazione abitativa» (2 dicembre): l’UFCS descrive email a nome della Serafe, l’ente che incassa il canone radio-TV. Il sito falso chiede un dato alla volta: telefono, data di nascita, poi il numero AVS, la data di un eventuale trasloco e solo alla fine la carta. L’UFCS spiega che la Serafe riceve i traslochi direttamente dal Comune e non chiede mai il numero AVS per email. E avverte: con la data del trasloco i truffatori possono preparare messaggi successivi, a nome della Posta o della banca, nel momento in cui sei più distratto.
- «Richiami questo numero» (16 dicembre): l’UFCS segnala sempre più messaggi senza link che ti chiedono di telefonare. Al numero risponde il call center dei truffatori: lo schema è in mi ha chiamato la banca, ma era una truffa.
Perché il numero sul display non basta lo abbiamo spiegato in il numero della polizia di Lugano falsificato.
Lavoro, abbonamenti e falsi negozi. Altri quattro avvisi di dicembre, utili soprattutto ai più giovani e a chi compra online:
- Il lavoro da sogno che finisce in un’indagine (3 dicembre): la polizia cantonale di Zurigo descrive offerte per «collaboratori da remoto» o «tester di prodotti» con provvigioni alte. Dopo una breve candidatura in chat chiedono documenti e dati bancari, poi di aprire nuovi conti o portafogli di criptovalute per far passare pagamenti. Alla fine i soldi promessi non arrivano, e chi ha prestato il conto si ritrova indagato per riciclaggio: girare denaro di altri può essere un reato anche se non lo sapevi.
- Colloqui con il programma infetto (9 dicembre): l’UFCS riporta due casi su LinkedIn. In uno, durante un finto colloquio, il candidato ha incollato un comando sul computer «per risolvere un problema di caricamento del video»: file bloccati e anche le copie su iCloud cancellate. Il meccanismo è in il finto annuncio di lavoro con il programma da scaricare.
- Abbonamenti da «disdire» (10 dicembre): email che imitano marchi noti o servizi di streaming dicono che è stato attivato un abbonamento a pagamento. Per evitarlo basta disdire dal link. La pagina falsa chiede dati, password o carta e poi il codice SMS della banca. Un abbonamento si controlla nell’app o nel sito che usi già, mai dal link.
- Nella retrospettiva di fine anno (30 dicembre) l’UFCS torna sulle aziende vere copiate per costruire falsi negozi, il trucco che abbiamo raccontato nella rassegna di novembre.
Prima di comprare da un negozio che non conosci, guarda quando è nato il dominio e controlla il link su sito-ok.com. Gli altri segnali sono in Negozi online che sembrano svizzeri ma spediscono dall’Asia.
E in Italia?
Multe false a nome di PagoPA, finti siti del Governo, SMS che ti fanno chiamare numeri a pagamento e, per le aziende, caselle email rubate per cambiare l’IBAN delle fatture.
Il CERT-AGID, il centro dell’Agenzia per l’Italia digitale che ogni settimana conta le campagne contro l’Italia, ne ha registrate fra 62 e 82 a settimana nelle prime tre settimane di dicembre. I temi che tornano:
- Multe false: nove campagne nella prima settimana di dicembre e undici nella terza, tutte via email e a nome di PagoPA. Il 29 dicembre anche la Polizia Postale ha avvisato: i messaggi arrivano via email, SMS o app di messaggistica, parlano di multe o mancati pagamenti e spingono a pagare subito da un link o da un codice QR. Come riconoscerle: la multa falsa a nome di PagoPA.
- Il finto Governo (29 novembre-5 dicembre): email con oggetto «Verifica dei Dati Bancari» e il logo della Presidenza del Consiglio. Il sito copia un portale istituzionale e ti fa scegliere la tua banca da un elenco, per rubare l’accesso all’home banking. Nessun ente pubblico ti chiede di «verificare» la banca da un link.
- La finta Polizia di Stato (6-12 dicembre): una pagina con nome e logo della Polizia per rubare la password dell’email.
- L’INPS che chiede tutto, di nuovo (13-19 dicembre): dopo novembre, il CERT-AGID segnala una nuova campagna di SMS che portano a una pagina dove caricare un selfie, l’IBAN e le foto di carta d’identità, tessera sanitaria, patente e delle ultime tre buste paga. Documenti e buste paga non si mandano mai in risposta a un SMS.
- Numeri 892 e 893 (4 dicembre): la Polizia Postale segnala SMS che ti invitano a chiamare un numero che inizia con 892 o 893 per una «comunicazione importante». Sono numeri a pagamento: resti in attesa e alla fine paghi la chiamata. CUP, ASL e INPS non usano numeri a pagamento.
Dal 1° al 24 dicembre la Polizia Postale ha pubblicato un calendario dell’Avvento con un consiglio al giorno. La casella dell’8 dicembre era dedicata agli acquisti online. Il 24 dicembre ha anche segnalato email di ricatto che chiedono criptovalute: cosa fare è in Ti minacciano con un video nudo che non hai mai girato.
Polizia Postale, Calendario dell'Avvento Cyber, 8 dicembre: gli acquisti online Polizia Postale, email di sextortion con ricatto in criptovalutePer le aziende, la fattura con l’IBAN cambiato (11 dicembre): il CSIRT Italia, la squadra dell’Agenzia per la cybersicurezza nazionale che risponde agli incidenti, segnala una campagna contro organizzazioni italiane. I truffatori entrano in caselle email aziendali con password rubate o indovinate, poi aspettano: leggono le conversazioni, trovano un pagamento in sospeso e si inseriscono nella discussione vera con un cliente o un fornitore. A quel punto mandano nuove istruzioni di pagamento verso un IBAN estero. Il CSIRT consiglia la verifica in due passaggi su tutte le caselle, il controllo delle regole di inoltro automatico che nessuno ha creato e una verifica su un altro canale prima di cambiare le coordinate di pagamento.
CSIRT Italia, Thread Hijacking: rilevate attività malevole tramite caselle compromesseUn IBAN che cambia per email non si accetta mai senza una telefonata al numero che avevi già. Lo stesso vale per la verifica in due passaggi: se non l’hai ancora attivata sulla posta, la spieghiamo in Verifica in due passaggi: SMS, app o chiave?.
Dal Garante privacy, due casi che servono a tutti (17 dicembre):
- Aimag, azienda di servizi per energia, acqua, ambiente e teleriscaldamento: sanzione di 300’000 euro. Nell’area riservata del sito chiunque, con il codice fiscale di un cliente e un’email qualsiasi, poteva registrarsi a suo nome e vedere indirizzo e numero di telefono. I consensi alla pubblicità erano già spuntati sul «sì». Per una PMI con un’area clienti la lezione è chiara: chi si registra va verificato, e i consensi non si spuntano al posto del cliente.
- Verisure Italia: sanzione di 400’000 euro per telefonate, email e SMS pubblicitari continuati anche dopo l’opposizione. Chi chiedeva un preventivo sul sito veniva considerato d’accordo a ricevere pubblicità. Il Garante ha detto di no: dare il numero per un preventivo non è un consenso alle telefonate commerciali.
Quali notizie arrivano dall’Europa?
Chiusi call center di finti poliziotti e finti bancari, e a Zurigo spento un servizio che ripuliva criptovalute.
- Ucraina, call center chiusi (16 dicembre): Eurojust, l’agenzia europea per la cooperazione fra procure, annuncia l’azione di Repubblica Ceca, Lettonia, Lituania e Ucraina contro una rete di call center a Dnipro, Ivano-Frankivsk e Kiev. Il 9 dicembre 72 perquisizioni e dodici arresti. Le vittime note sono oltre 400 in tutta Europa, con un danno stimato di oltre 10 milioni di euro. Chiamavano fingendosi poliziotti o dicendo che il conto in banca era stato violato, e facevano installare programmi per il controllo a distanza. Un copione molto simile a quello segnalato in Ticino.
- Zurigo, servizio di «mixing» spento (1° dicembre): con il sostegno di Eurojust, la procura, la polizia cantonale e la polizia della città di Zurigo, insieme alle autorità tedesche, hanno chiuso un servizio che mescolava criptovalute per renderne difficile la provenienza e che, secondo Eurojust, serviva a riciclare denaro. Sequestrati tre server trovati in Svizzera e oltre 25 milioni di euro in criptovalute.
Due casi di dicembre li abbiamo già raccontati. Il 15 dicembre il procuratore generale del Texas ha fatto causa a cinque produttori di televisori per il riconoscimento di ciò che guardi: come spegnerlo è in La tua TV sa cosa guardi?. Il 30 dicembre una società di sicurezza ha reso note due estensioni del browser che copiavano le conversazioni con ChatGPT e DeepSeek: come controllare le tue in Estensioni del browser che rubano le chat.
Quali aggiornamenti non puoi rimandare?
Telefoni Android e iPhone, Windows e Chrome, e per le aziende i firewall Fortinet e WatchGuard. Sono tutte falle che, secondo il produttore o secondo la CISA, l’agenzia di cybersicurezza statunitense, sono già state usate dagli attaccanti.
- Android (1° dicembre): Google corregge due falle che potrebbero essere state usate in attacchi limitati e mirati. In Impostazioni, alla voce sugli aggiornamenti di sicurezza, controlla che la data sia del 1° dicembre 2025 o successiva. Se il telefono non riceve più aggiornamenti, è il momento di pensare a sostituirlo.
- Windows (9 dicembre): fra gli aggiornamenti mensili di Microsoft c’è una falla già sfruttata, che permette a un programma già entrato nel computer di prendersi i pieni poteri. Avvia Windows Update e riavvia.
- Chrome (10 dicembre): Google sa che esiste un attacco per una falla corretta nella versione 143. Riguarda anche gli altri browser costruiti sulla stessa base, come Edge. Chiudi e riapri il browser: l’aggiornamento parte da solo.
- iPhone e iPad (12 dicembre): con iOS 26.2 Apple corregge due falle di WebKit, il motore che apre le pagine web, che potrebbero essere state usate in un attacco «estremamente sofisticato» contro persone precise, sulle versioni precedenti a iOS 26. Per i modelli più vecchi c’è iOS 18.7.3.
- Firewall Fortinet (9 dicembre): una falla permette di entrare nella gestione dell’apparecchio senza password, tramite l’accesso con l’account FortiCloud. Questo accesso non è attivo di fabbrica, ma si accende quando l’apparecchio viene registrato dal pannello, se nessuno toglie la spunta. Il 16 dicembre la CISA l’ha segnalata come sfruttata.
- Firewall WatchGuard (19 dicembre): un’altra falla, diversa da quella di novembre, nella VPN, il collegamento a distanza con la rete dell’ufficio, è già usata dagli attaccanti. La CISA chiede anche di cercare segni di intrusione dopo l’aggiornamento.
Se in ufficio c’è un firewall e non sai chi lo aggiorna, è la prima domanda da fare a gennaio. Per chi ha già fatto tutto, una sola cosa: i telefoni e i tablet regalati a Natale vanno aggiornati appena accesi, prima di installare le app.
Dove segnalo una truffa?
Prima in Svizzera, poi in Italia, a seconda di dove vivi o di dove è il tuo conto.
- Svizzera: segnala il messaggio o la chiamata all’UFCS sul modulo online di report.ncsc.admin.ch (bastano pochi minuti, anche dal telefono). In Ticino puoi segnalare una chiamata sospetta alla Polizia cantonale allo 0848 25 55 55. In Ticino, se hai già dato codici o autorizzato un pagamento, la Polizia cantonale indica di chiamare subito il 117. Se hai perso soldi o dato la carta, chiama subito la banca per bloccarla, poi telefona alla polizia cantonale per fissare un appuntamento e sporgere denuncia. Per un’urgenza il numero è il 117.
- Italia: segnala sul sito del Commissariato di PS online della Polizia Postale, alla pagina commissariatodips.it/segnalazioni. Se hai pagato, blocca la carta con la banca e sporgi denuncia.
- Buoni regalo: se hai già mandato i codici, contatta subito chi ha emesso la carta regalo e chiedi di bloccarla. Poi denuncia. Conserva l’email e la ricevuta.
Il Metodo 3V applicato al mese
| Fase | La lezione di dicembre |
|---|---|
| Verifica: chi mi scrive o mi chiama davvero? | La dogana, il fisco, la Serafe, la banca, il capo: lo stemma, il logo, il numero sul display e il nome del mittente non provano niente |
| Validazione: la richiesta ha senso? | Un rimborso che chiede la carta, un recupero che chiede commissioni, un capo che vuole codici di buoni regalo per email: no |
| Velocità controllata: chi mi mette fretta? | «Prima delle feste», «scadenza stretta», «blocchiamo subito il pagamento»: a fine anno la fretta sembra normale, ed è proprio per questo che funziona |
Il metodo completo è nel libro «Sicurezza informatica per professionisti» e nella guida al Metodo 3V.
Domande frequenti
Mi è arrivata un'email della dogana svizzera che mi offre un rimborso dell'IVA su un acquisto: è vera?
Molto probabilmente no. A dicembre 2025 la polizia cantonale di Zurigo ha segnalato email a nome dell'Ufficio federale della dogana e della sicurezza dei confini che promettono un rimborso dell'IVA di qualche centinaio di franchi. Il sito copia la grafica della Confederazione e chiede la carta e il codice della banca. Non cliccare e segnala l'email all'UFCS.
Il mio capo mi ha scritto di comprare buoni regalo per i clienti e mandargli i codici: cosa faccio?
Non comprare niente e chiamalo al numero che conosci, o chiediglielo di persona. È una truffa nota, segnalata dalla polizia cantonale di Zurigo proprio prima di Natale 2025: l'email sembra del superiore, ma l'indirizzo è copiato o simile. Se hai già mandato i codici, chiama subito chi ha emesso la carta regalo per bloccarla e sporgi denuncia.
Uno studio legale dice di aver ritrovato i soldi che ho perso con un falso investimento: posso fidarmi?
No, se ti chiede di pagare prima. L'UFCS a dicembre 2025 ha segnalato un forte aumento di queste offerte, a volte con il nome della FINMA, dell'Europol o di un'autorità estera. Nessun ente serio chiede commissioni in anticipo per restituirti dei soldi. Non rispondere, non dare l'accesso al computer e, se hai già pagato, sporgi denuncia alla polizia.
Un SMS mi chiede di chiamare un numero che inizia con 893 per una comunicazione importante: lo faccio?
No. La Polizia Postale ha avvisato a dicembre 2025 che i numeri 892 e 893 sono a pagamento: resti in attesa di una comunicazione che non arriva e alla fine paghi la chiamata. CUP, ASL e INPS non usano numeri a pagamento. Se pensi che ci sia davvero qualcosa per te, cerca tu il numero sul sito ufficiale dell'ente e blocca il mittente.
Il regalo più utile di queste feste non costa niente: dieci minuti con chi in famiglia o in ufficio è meno pratico. Bastano tre frasi da dirsi a voce: un rimborso non chiede la carta, la banca non chiede codici al telefono, nessuno restituisce soldi persi in cambio di un anticipo. Cosa è successo a gennaio lo trovi nella rassegna di gennaio.
