Ogni mese succedono decine di cose. Qui trovi quelle che possono toccare una famiglia o una piccola impresa in Svizzera o in Italia, raggruppate per tema. Per i casi su cui abbiamo scritto un articolo c’è il link: lì trovi i dettagli e cosa fare.
Qual è stato il tema del mese?
Gli inviti falsi: un messaggio vocale, una riunione online, un colloquio di lavoro. Sono richieste normali, che arrivano ogni giorno a chi lavora. Per questo funzionano: non spaventano, ti chiedono solo di fare una cosa che fai già, ascoltare, partecipare, rispondere.
- Svizzera, 9 giugno, i colloqui di lavoro: l’Ufficio federale della cibersicurezza (UFCS) descrive tre trappole per chi cerca lavoro. Un invito a un colloquio telefonico «da confermare nel calendario Google» porta a una finta pagina di accesso che ruba l’account. Un falso lavoro a domicilio per «imballare e rispedire pacchi» chiede foto di passaporto, carta d’identità e patente, che servono a ordinare merce a tuo nome con carte rubate. E un finto selezionatore su LinkedIn chiede a un informatico di scaricare ed eseguire un progetto per una «prova tecnica»: è un programma che ruba password, cookie e criptovalute. Ne abbiamo scritto in Finto annuncio di lavoro.
- Svizzera, 23 e 24 giugno, i messaggi vocali: l’UFCS segnala un aumento di email «New voicemail» che imitano Microsoft 365 e OneDrive, con data, numero e durata inventati. In un caso l’oggetto era «Necrologio». O c’è un archivio ZIP che installa un programma malevolo, o un link a un finto lettore audio che chiede email e password di Microsoft. Il giorno dopo la polizia cantonale di Zurigo descrive un’esca simile a nome di Swisscom o di un servizio di segreteria: dopo la password provano a prendersi anche il codice della verifica in due passaggi.
- Svizzera, 30 giugno, le riunioni: un finto acquirente su un portale immobiliare propone di parlarne su Zoom e manda un link «alternativo». La pagina imita Zoom e chiede un «aggiornamento urgente», in una finestra falsa disegnata dentro la pagina, con un indirizzo falso anche lei. Il file scaricato è un programma malevolo o uno strumento per controllare il computer da lontano. L’UFCS aggiunge che all’estero girano varianti con Microsoft Teams e Google Meet.
Per un’azienda l’esca del messaggio vocale è la più pericolosa. L’UFCS spiega il seguito: con la password di una casella si entra anche in OneDrive, SharePoint e Teams, si leggono le email per preparare una falsa richiesta di pagamento e si scrive ai contatti dalla casella vera. Un messaggio vocale vero arriva di solito come file audio, non come archivio ZIP, e si ascolta dall’app, per esempio Teams.
Cosa è successo in Svizzera?
Finti rimborsi degli hotel con dati veri, false prestazioni AVS, telefonate a nome di ewz che portano via TWINT, e più segnalazioni di fughe di dati al garante federale.
- Hotel e Booking su WhatsApp (2 giugno): messaggi che conoscono date, albergo e nomi degli ospiti promettono un rimborso e portano a una finta pagina TWINT, poi a una finta pagina della banca. Secondo l’UFCS i dati vengono da una fuga di dati legata a Booking.com dell’aprile 2026. Secondo l’UFCS, citato da Blick e dalla RSI, le segnalazioni sono passate da 8 in aprile a 23 in maggio. Il caso è spiegato nei dettagli in il falso acquirente su Ricardo e Tutti e, con le versioni più recenti, in Falso rimborso dell’hotel.
- «Interdiscount chiude» (3 giugno): un’email annuncia una svendita totale per chiusura. Televisori, computer e console a CHF 2.95, dopo un breve sondaggio e un «codice bonus». La pagina chiede nome, indirizzo e carta per una «tassa di prenotazione». In realtà provano ad addebitare di più e a tenersi la carta.
- False prestazioni complementari AVS (10 giugno): un’email a nome dell’Ufficio federale delle assicurazioni sociali dice che, per una nuova legge, il tuo diritto alle prestazioni complementari va riesaminato. Il falso portale chiede il numero AVS, la tua situazione personale, l’IBAN e poi, con la scusa di un errore, la carta di credito con scadenza e codice di sicurezza. L’esca parla a chi riceve una rendita AVS o AI. Il nostro consiglio: ricorda che nessun ufficio ti chiede la carta per pagarti una prestazione.
- Avvisi falsi della Posta nelle cassette (16 giugno): fogli gialli con un codice QR, nella Svizzera romanda, che portano a un sito falso e a «spese» di 2.10 franchi. Ne abbiamo scritto in Mi ha chiamato la banca: è una truffa?.
- Telefonate a nome di ewz (17 giugno): finti collaboratori dell’azienda elettrica di Zurigo chiamano con un numero falsificato, che sembra svizzero o di ewz. Parlano di un rimborso o di un controllo, mandano un SMS con un link e ti guidano passo per passo fino a una finta pagina TWINT, dove chiedono la banca, i dati e il codice di verifica. Con quei dati prendono il controllo del tuo TWINT e pagano a tuo nome. Se succede, chiama subito la banca per bloccarlo.
Il filo comune è il codice: quello di TWINT, quello arrivato per SMS, quello della verifica in due passaggi. Serve a dimostrare che sei tu. Chi te lo chiede al telefono o in una pagina aperta da un link non è la tua banca né il tuo fornitore.
Più fughe di dati segnalate (30 giugno). L’Incaricato federale della protezione dei dati e della trasparenza (IFPDT) ha pubblicato il suo rapporto annuale. Fra aprile 2025 e marzo 2026 gli sono arrivate 484 notifiche di violazioni della sicurezza dei dati, contro 363 l’anno prima. Quelle volontarie, fatte anche quando la legge non lo chiede, sono passate da 26 a 141. L’IFPDT cita in particolare molti alberghi: persone non autorizzate sono entrate nelle piattaforme di prenotazione e hanno scritto agli ospiti per chiedere i dati di pagamento o mandarli su siti di phishing. Fra le misure indica la verifica in due passaggi e la formazione del personale.
IFPDT, 33° Rapporto d'attività 2025/2026, pagg. 100-101Se hai un albergo o un B&B, vale per te: l’accesso alla piattaforma di prenotazione va protetto con la verifica in due passaggi, perché è da lì che partono i messaggi agli ospiti.
E in Italia?
Multe false a raffica, l’INPS falso che chiede un selfie, il fisco falso sulle criptovalute e la pre-denuncia online della Polizia di Stato.
Il CERT-AGID, il centro dell’Agenzia per l’Italia digitale che ogni settimana conta le campagne contro l’Italia, ne ha registrate fra 130 e 201 a settimana. I temi che tornano:
- Multe false: il tema più usato in tutte le settimane di giugno, con oltre 100 campagne nelle settimane più pesanti, quasi tutte con i marchi di PagoPA e di SEND, il servizio dello Stato per le notifiche digitali. Il 19 giugno la Polizia Postale descrive messaggi dal linguaggio formale, con targa e numero di pratica, che portano a false pagine di pagamento. Come riconoscere una multa vera lo spieghiamo in Multa PagoPA arrivata per PEC: è vera?.
- INPS e il selfie (12 e 26 giugno): SMS a nome dell’INPS che raccolgono dati sul lavoro e sul reddito. Il sito falso chiede di caricare buste paga e CUD, carta d’identità, tessera sanitaria e un selfie. Documento e foto del volto possono servire a farsi passare per te dove l’identità si verifica online con documento e foto. Il nostro consiglio: si danno solo dentro i siti ufficiali, aperti da te.
- Agenzia delle Entrate e criptovalute (19 giugno): un finto obbligo di «dichiarare le cripto-attività» con scadenza vicina. Il sito chiede codice fiscale e cellulare, poi quali servizi di criptovalute usi e quanto valgono, oppure la banca e il saldo del conto. Alla fine un «errore di sincronizzazione» minaccia un «blocco cautelativo» e ti dice di chiamare un «Ufficio Verifiche di Milano». Al telefono ci sono i truffatori.
- Tessera sanitaria «da sostituire» (30 giugno): siti con logo e colori del Ministero della Salute annunciano che le tessere emesse prima del 2023 verranno disattivate e chiedono 6,39 euro di spese con la carta. Per chi è iscritto al Servizio sanitario nazionale la tessera si rinnova da sola ed è gratuita: la manda l’Agenzia delle Entrate a casa.
- PEC usate per truffare (15 e 17 giugno): il CERT-AGID ha gestito da gennaio oltre 650 casi di caselle PEC rubate o aperte apposta per mandare phishing. Lo CSIRT Italia segnala PEC a tema «Fattura Elettronica» con un archivio ZIP con dentro una pagina malevola. La PEC garantisce che il messaggio è stato consegnato, non che sia innocuo.
- Per chi ha un sito: a metà e fine giugno il CERT-AGID conta campagne a tema «rinnovo» a nome di noti fornitori di hosting e di domini. Il nostro consiglio: il rinnovo si controlla entrando dal sito del fornitore, non dal link dell’email.
Dalla Polizia Postale, tre avvisi da tenere a mente:
- Agenzie di viaggio false (8 giugno): siti identici a quelli veri, con partita IVA e numeri di telefono che appartenevano ad agenzie esistenti. Offerte molto convenienti, pagamento online, poi il viaggio non esiste. Prima di pagare, cerca l’agenzia da solo e chiamala al numero che trovi tu.
- Finti recuperatori (12 giugno): chi ha già perso soldi viene contattato su WhatsApp, per email o al telefono da una «società» che usa il nome di Cybersecurity Italia e dell’evento CyberSEC e promette di recuperare il denaro. Chiede altri soldi. È la seconda truffa dopo la prima: lo spieghiamo in Truffe negli investimenti online.
- Il falso Commissariato di PS online (27 giugno): messaggi con il nome e il logo della Polizia Postale parlano di una truffa con la SIM e chiedono di «sostituirla» da un link, pagando. Il nostro consiglio: ricorda che nemmeno la polizia vera ti chiede soldi da un link.
Trenitalia (26 giugno). L’azienda ha scritto ad alcuni clienti che persone non autorizzate hanno avuto accesso a dati legati ai biglietti: dati anagrafici e di contatto, estremi del documento d’identità, codice della carta fedeltà, tratta, data, orario e numero del biglietto. Niente password né dati delle carte. Trenitalia avverte che potrebbero arrivare messaggi ingannevoli che parlano dei tuoi viaggi e ricorda che non chiede mai password o dati di pagamento. Un dato vero in un messaggio non prova che sia autentico.
Il Post, Trenitalia ha subito un attacco informatico Trenitalia, comunicazione ai clienti sulla violazione dei datiDal Garante privacy, una decisione che riguarda molti genitori (17 giugno). Una madre pubblicava su Facebook le foto dei figli sotto i 14 anni senza il consenso del padre. Il Garante le ha vietato di farlo senza il consenso di entrambi i genitori e l’ha ammonita. Non contano lo scopo affettuoso, il numero di foto o il profilo privato: le immagini possono comunque girare. Dai 14 anni decide il ragazzo. Nella stessa newsletter c’è una sanzione di 180’000 euro a Emirates per l’informativa poco chiara e la conservazione troppo lunga dei dati sanitari dei passeggeri a mobilità ridotta. Su cosa non pubblicare dei figli abbiamo scritto in Oversharing.
Garante privacy, newsletter n. 548 del 17 giugno 2026A fine giugno la Consob ha fatto oscurare altri 21 siti di investimento abusivi: ne parliamo nell’articolo sulle truffe negli investimenti online.
Quali notizie arrivano dall’Europa?
Un colpo ai programmi che rubano le password, e il finto Macron che vende investimenti.
- Operation Endgame (24 giugno): autorità giudiziarie e polizie di Germania, Belgio, Danimarca, Francia, Paesi Bassi, Regno Unito, Stati Uniti e Canada, con Europol ed Eurojust, hanno spento 326 server e 142 domini usati da tre programmi malevoli. Uno, SocGholish, si diffonde con falsi aggiornamenti del browser mostrati su siti veri ma infettati. Gli altri due rubano password e dati o installano altri programmi malevoli. Eurojust parla di 27 milioni di insiemi di dati rubati recuperati. La polizia olandese ha contato oltre 24 milioni di credenziali da circa 384’000 computer infettati, e consiglia: se il tuo computer è stato infettato, considera rubati tutti gli account usati da quel computer.
- Il finto Macron (8 giugno): una donna francese di circa ottant’anni ha perso 25’000 euro dopo una pubblicità con un video falso del presidente. Il copione gira in tutta Europa ed è raccontato in Il finto Macron che consiglia un investimento.
Il nostro consiglio: se sospetti che il computer sia stato infettato, cambia le password da un altro dispositivo, cominciando da email e banca, e attiva la verifica in due passaggi. Per sapere se un tuo indirizzo email compare in una violazione puoi controllare gratis su passwordrubata.com: basta l’indirizzo, nessuna password.
Quali aggiornamenti non puoi rimandare?
Chrome e Android per tutti, i firewall e le VPN per le aziende.
- Chrome (8 giugno): la versione 149.0.7827.102/.103 corregge 74 falle. Per una, Google sa che esiste già un modo di sfruttarla in rete. Chrome si aggiorna da solo, ma la correzione vale solo dopo averlo chiuso e riaperto. La CISA la elenca come falla di Chromium, la base usata anche da altri browser come Edge: aggiorna anche quelli.
- Android (bollettino di giugno): Google indica una falla che potrebbe essere stata sfruttata in attacchi limitati e mirati, e il 2 giugno la CISA, l’agenzia di cybersicurezza statunitense, l’ha inserita fra le falle già sfruttate. Controlla in Impostazioni la data dell’aggiornamento di sicurezza: deve essere di giugno 2026 o successiva. Il nostro consiglio: se il telefono non riceve più aggiornamenti, è il momento di pensare a sostituirlo.
- Firewall FortiGate (18 giugno): il CERT-AGID segnala un archivio trovato in rete con credenziali di accesso alle VPN e ai pannelli di gestione di questi apparati, con password in chiaro, di organizzazioni di 194 Paesi, anche enti pubblici italiani. Secondo il CERT-AGID, allo stato attuale non risulta legato a una falla nuova del programma ma a password indovinate o già rubate. Se la tua azienda usa questi apparati per lavorare da casa, chi te li gestisce deve cambiare le password, attivare la verifica in due passaggi sulla VPN e controllare gli accessi recenti.
- Router e reti Ubiquiti UniFi (23 giugno): la CISA ha aggiunto tre falle di UniFi OS fra quelle già sfruttate. Sono apparati diffusi anche negli uffici piccoli: chiedi a chi li gestisce se sono aggiornati.
Dove segnalo una truffa?
Prima in Svizzera, poi in Italia, a seconda di dove vivi o di dove è il tuo conto.
- Svizzera: segnala il messaggio o la chiamata all’UFCS sul modulo online di report.ncsc.admin.ch (bastano pochi minuti, anche dal telefono). Se hai perso soldi o dato i dati della carta o di TWINT, chiama subito la banca per bloccarli, poi prendi appuntamento con la polizia cantonale per la denuncia. Le email false si possono anche inoltrare a cybercrimepolice.ch, seguendo le istruzioni sul sito.
- Italia: segnala sul sito del Commissariato di PS online della Polizia Postale, alla pagina commissariatodips.it/segnalazioni. Se hai pagato, blocca la carta con la banca e sporgi denuncia. Come ricorda la Polizia Postale, puoi anche preparare una pre-denuncia online sul portale Denuncia Online della Polizia di Stato, entrando con SPID o carta d’identità elettronica: va poi confermata entro 48 ore in un ufficio di polizia, altrimenti viene cancellata.
- Se non te la senti da solo: chiedi a un familiare o a una persona di fiducia di aiutarti con il modulo. Conserva il messaggio, non cancellarlo: serve come prova.
Il Metodo 3V applicato al mese
| Fase | La lezione di giugno |
|---|---|
| Verifica: chi mi scrive davvero? | Microsoft, Swisscom, ewz, l’INPS, la polizia: il nome nell’email o il numero sul display non provano niente. Apri tu l’app o il sito |
| Validazione: la richiesta ha senso? | Un ufficio che ti paga una prestazione non chiede la carta. Un messaggio vocale non arriva in un file ZIP. Un colloquio non richiede il passaporto prima dell’assunzione |
| Velocità controllata: chi mi mette fretta? | La riunione che sta per cominciare, il «blocco cautelativo», la scadenza della dichiarazione: fermati, chiudi e richiama tu |
Domande frequenti
Mi è arrivata un'email con un nuovo messaggio vocale da ascoltare: è vera?
Molto probabilmente no. A giugno 2026 l'UFCS e la polizia di Zurigo hanno segnalato email false a nome di Microsoft 365, OneDrive e Swisscom, con un archivio ZIP infetto o un finto lettore che chiede la password. Non aprire allegati e link. Se aspetti davvero un messaggio, ascoltalo dall'app della segreteria o da Teams, aperti da te.
Durante una riunione online mi viene chiesto di installare un aggiornamento: devo farlo?
No, non dalla finestra che compare nella pagina. L'UFCS ha descritto finti inviti Zoom (all'estero anche Teams e Meet) che fanno scaricare un programma per controllare il computer. Chiudi la pagina, apri Zoom o Teams dal tuo computer e aggiorna da lì, o dal sito del produttore. Il nostro consiglio: se l'altra persona insiste e ha fretta, è un motivo in più per fermarti.
Un SMS dell'INPS mi chiede buste paga, documento e un selfie: cosa faccio?
Non caricare niente. A giugno 2026 il CERT-AGID ha segnalato SMS falsi dell'INPS che chiedono proprio questi dati, insieme a carta d'identità e tessera sanitaria. Documento e foto del volto possono servire a farsi passare per te. Il nostro consiglio: entra nel sito dell'INPS digitando tu l'indirizzo, con SPID o CIE. Se hai già inviato i documenti, sporgi denuncia e avvisa la banca.
Posso pubblicare sui social le foto dei miei figli piccoli?
In Italia, secondo il Garante privacy, per i figli sotto i 14 anni serve il consenso di entrambi i genitori, anche con un profilo privato e poche foto. Dai 14 anni decide il ragazzo. Il nostro consiglio, ovunque tu viva: una foto pubblicata può essere copiata e girare per anni, quindi chiedi prima all'altro genitore e preferisci un gruppo ristretto a un profilo aperto.
Luglio porta le vacanze, e con le vacanze più inviti e più messaggi da alberghi e piattaforme. Prima di aprire un invito a una riunione, a un colloquio o un messaggio dell’albergo, controlla dal sito o dall’app ufficiale, non dal link. E prima di partire attiva le notifiche della banca: così vedi subito un pagamento che non hai fatto tu. Cosa è successo dopo lo trovi nella rassegna di luglio.
