Ogni mese succedono decine di cose. Qui trovi quelle che possono toccare una famiglia o una piccola impresa in Svizzera o in Italia, raggruppate per tema. Per i casi su cui abbiamo scritto un articolo c’è il link: lì trovi i dettagli e cosa fare.
Qual è stato il tema del mese?
Le truffe legate alle vacanze e al tempo libero: treni, concerti, alloggi e pacchi. D’estate si prenota di più, spesso di fretta e dal telefono. I truffatori lo sanno e mandano messaggi che sembrano una buona notizia: un rimborso, un biglietto ancora disponibile, uno sconto.
- Svizzera, 7 luglio: l’Ufficio federale della cibersicurezza (UFCS) mette in fila i rischi prima della partenza: pagine di prenotazione false, annunci a pagamento che compaiono sopra i risultati veri nei motori di ricerca, solleciti di pagamento falsi arrivati anche su WhatsApp dopo una prenotazione vera, siti falsi per vignette e pedaggi all’estero e per le autorizzazioni di viaggio come l’ESTA. Il consiglio pratico più semplice: scrivi su carta il numero per bloccare le carte, perché se ti rubano il telefono quello salvato lì non lo recuperi.
- Italia, 8 luglio: la Polizia Postale avverte di SMS a nome di Trenitalia: «Il tuo treno è arrivato in ritardo. Hai diritto a un indennizzo». La pagina falsa chiede il numero di telefono, i dati completi della carta e una «quota di verifica». Anche lo CSIRT Italia, la squadra di risposta agli incidenti dell’Agenzia per la cybersicurezza nazionale, ha segnalato una campagna di SMS a tema Trenitalia per rubare i dati delle carte, nella settimana fino al 26 luglio.
- Italia, 9 luglio: email false ai clienti di idealista.it, il portale di case in vendita e in affitto, con un codice QR che porta a un sito falso dove vengono chiesti dati personali e bancari.
- Italia, 30 luglio: per i concerti esauriti la Polizia Postale descrive siti falsi che copiano le piattaforme di vendita, profili rubati che rivendono biglietti «al prezzo originale», documenti d’identità rubati mostrati per sembrare affidabili e PDF di biglietti veri modificati, spesso con codici già usati.
A fine giugno Trenitalia ha avvisato i clienti di una violazione dei dati: ne abbiamo scritto nella rassegna di giugno. Chi ha ricevuto l’avviso deve aspettarsi messaggi che conoscono i suoi viaggi.
Cosa è successo in Svizzera?
Una nuova regola contro le chiamate con numeri svizzeri falsi, ma i falsi poliziotti non si fermano; dati rubati ai fornitori di due aziende note; e un’email falsa a settimana segnalata dalla polizia di Zurigo.
- Chiamate con il numero falso (dal 1° luglio): dall’inizio del 2026 gli operatori dovevano già contrassegnare come «sconosciute» o bloccare le chiamate sospette che usano numeri di rete fissa svizzeri. Da luglio vale anche per i numeri di cellulare. È il trucco con cui un truffatore dall’estero fa comparire sul display il numero di una banca o di un posto di polizia. Utile, ma non perfetto: il numero sul display resta un indizio, non una prova.
- Falso poliziotto in Mesolcina (notizia del 6 luglio): a un uomo di 82 anni hanno telefonato finti agenti e lo hanno convinto a ritirare 20’000 franchi da consegnare a un corriere. Poi è andato dalla polizia cantonale grigionese, e a fine giugno la polizia ha arrestato il corriere a San Vittore al momento della consegna. Nessun agente vero ti chiede di ritirare contanti o di consegnarli a qualcuno.
- IWB, Basilea (15 luglio): rubati a un fornitore circa 40’000 nomi e indirizzi di clienti dell’azienda dell’energia di Basilea, con i dati tecnici dei contatori. Niente email, telefoni, consumi o dati bancari. IWB ricorda che non chiede mai password e che i suoi collaboratori non incassano soldi alla porta. Se qualcuno si presenta «per il contatore», chiedi il tesserino e richiama tu l’azienda.
- Stadler, Turgovia (21 luglio): il costruttore di treni dice che a metà luglio qualcuno è entrato con credenziali rubate nella piattaforma che usa per scambiare documenti con un fornitore, e ha preso dati tecnici di quel fornitore. Il gruppo criminale Everest chiede 10 milioni di franchi. Stadler non paga e ha sporto denuncia. La lezione per le PMI è nel come: sono bastate le credenziali rubate di una piattaforma condivisa con un fornitore. Un accesso così va protetto anche con la verifica in due passaggi.
Le email false della settimana. La polizia cantonale di Zurigo pubblica su cybercrimepolice.ch i casi veri che le vengono segnalati. A luglio uno a settimana:
- 1 luglio: email a nome della Zürcher Kantonalbank che chiede di «confermare il numero di telefono». La pagina falsa chiede contratto e password dell’e-banking e poi la lettera di attivazione, con cui i truffatori registrano un loro dispositivo sul tuo conto.
- 8 luglio: email a nome di Webland, un fornitore di hosting, che dice che il metodo di pagamento non è valido e va aggiornato. Chiede accesso, carta e codice SMS. Riguarda chi ha un sito o un dominio.
- 15 luglio: un «pacco AliExpress non ritirato» e CHF 1.95 di spese di spedizione. La pagina falsa poi dà un errore e chiede di reinserire la carta, o di usarne un’altra.
- 22 luglio: sconto del 50% su un condizionatore portatile a nome di MediaMarkt, dopo un finto sondaggio sul caldo con conto alla rovescia. Finisce in un negozio falso che chiede la carta.
- 29 luglio: «rinnovo del mandato di pagamento» Klarna. La pagina falsa chiede il numero di telefono e poi il codice di sei cifre arrivato per SMS: con quello provano a entrare nel tuo conto vero.
Un codice arrivato per SMS non si dà a nessuno e non si inserisce in una pagina aperta da un link: serve proprio a dimostrare che sei tu. Chi vende sugli annunci ha visto un trucco simile: la pagina falsa chiede il PIN TWINT. Lo spieghiamo in il falso acquirente su Ricardo e Tutti. Per i pacchi c’è la nostra guida Stai aspettando un pacco?.
L’intelligenza artificiale nelle truffe, tre settimane di fila. L’UFCS ha dedicato tre retrospettive settimanali a come l’IA rende le truffe più credibili:
- 14 luglio, le immagini: foto generate con l’IA su siti di investimento falsi, annunci di lavoro falsi e ricevute postali contraffatte. Mani e volti sbagliati non bastano più per riconoscerle: conta se la scena ha senso.
- 21 luglio, i testi e i siti: email impeccabili e siti professionali fatti con l’IA. Fra gli indizi l’UFCS cita i trattini lunghi, il grassetto ovunque, i superlativi senza contenuto, i siti di una sola pagina e i richiami forzati alla Svizzera (il Cervino che si vede da una finestra, il Lago di Lugano in una vista impossibile). Nessun indizio basta da solo.
- 27 luglio, i video: la finta sextortion con il volto della vittima montato su un video di nudo. Ne abbiamo scritto in Ti minacciano con un video nudo che non hai mai girato.
Sempre a luglio abbiamo spiegato la finta «verifica di essere umano» che chiede di incollare un comando nel computer: la truffa ClickFix.
E in Italia?
Multe false a raffica, finti rimborsi di INPS e Ministero della Salute, un falso portale dell’automobilista in cima a Google e una multa a Wind Tre che parte da un finto tecnico dell’assistenza.
Il CERT-AGID, il centro dell’Agenzia per l’Italia digitale che ogni settimana conta le campagne contro l’Italia, ne ha registrate fra 130 e 176 a settimana. I temi che tornano:
- Multe false: con i falsi rinnovi della tessera sanitaria, il phishing più frequente del mese. Fra la fine di giugno e la fine di luglio oltre cento campagne per email e SMS con i marchi di PagoPA e di SEND, il servizio dello Stato per le notifiche digitali. 29 solo nell’ultima settimana di luglio.
- Tessera sanitaria «da sostituire» (dalla fine di giugno): siti falsi del Ministero della Salute che annunciano una sostituzione obbligatoria della tessera e chiedono i dati della carta di pagamento. Variante dell’11-17 luglio: un finto «rimborso» del Ministero dopo una «verifica dell’identità».
- INPS (18-24 luglio): SMS che copiano la sezione del portale sulle somme da restituire, con due importi molto diversi, 385,40 e 6,60 euro. Anche qui l’obiettivo sono i dati della carta.
- SPID e Banca Widiba (11-17 luglio): una finta apertura di conto a tuo nome che ti spinge a telefonare ai truffatori.
- Il falso Portale dell’Automobilista (25-31 luglio): un sito che imita quello del Ministero delle Infrastrutture e dei Trasporti era secondo nei risultati di Google prima dell’intervento del CERT-AGID. Cerca il sito ufficiale con calma: il primo risultato non è sempre quello vero.
- Finta sextortion «ShinyHunters» (dal 28 luglio): email di ricatto che fingono di arrivare da un gruppo criminale noto, che ha smentito. Girava all’estero da aprile.
Il 13 luglio lo CSIRT Italia ha segnalato anche SMS a nome del corriere Bartolini: consegna non riuscita, «riprogramma» inserendo dati personali e carta.
ACN, la settimana cibernetica del 19 luglio 2026Dal Garante privacy, due casi che servono a tutti:
- Wind Tre (16 luglio): sanzione di 1’715’600 euro per le violazioni del febbraio 2025. Fingendosi tecnici dell’assistenza, degli attaccanti avevano convinto il personale di due punti vendita a dar loro accesso ai sistemi aziendali. Hanno portato via i dati di oltre 365’000 clienti, e per 41’359 anche dati di pagamento (IBAN o carta con il numero in parte oscurato e la scadenza). Per una PMI la lezione è semplice: nessun «tecnico» ottiene un accesso senza che tu lo verifichi richiamandolo a un numero che conosci.
- Character.AI (9 luglio): 158’000 euro per informativa carente e adempimenti in ritardo. Il Garante ha trovato carenti anche la verifica dell’età e le tutele per i minori, e ha ordinato di correggerle. Ne abbiamo scritto per i genitori in Chatbot «amici» e ragazzi.
Chi ha ricevuto l’avviso di Wind Tre o di Trenitalia deve mettere in conto messaggi che conoscono il suo nome, il suo contratto o i suoi viaggi. Un dato vero in un messaggio non prova che sia autentico.
Quali truffe arrivano dall’Europa?
Le più costose restano i falsi investimenti, e d’estate gli alloggi che non esistono.
- Paesi Bassi e Belgio (15 luglio): la polizia olandese annuncia di aver smantellato una rete di falsi investimenti con circa venti call center e oltre 700 «consulenti finanziari». Arresti a Cipro e in Belgio il 7 luglio e ad Atene il 10 luglio. Secondo la polizia, oltre 100 milioni di euro al mese incassati in più Paesi. Lo schema è quello che conosciamo: un primo investimento piccolo che «rende» subito, una piattaforma che sembra vera, richieste sempre più alte, spesso in criptovalute. E alla fine i falsi «recuperatori» che chiedono un anticipo per restituirti i soldi. Tutti i segnali in Truffe negli investimenti online.
- Austria (20 luglio): Watchlist Internet, il servizio austriaco che censisce i siti truffa, aggiunge alla sua lista un altro sito di case vacanza falso. È il fenomeno degli alloggi che non esistono: chi prenota su questi portali paga e arriva senza alloggio. La lista degli alloggi falsi è pubblica e si può consultare prima di pagare.
Per gli alloggi vale una regola semplice: paga solo dentro la piattaforma dove hai trovato l’annuncio, mai con un bonifico o una carta prepagata chiesti in chat.
Quali aggiornamenti non puoi rimandare?
WordPress per chi ha un sito, SharePoint per le aziende che lo hanno sui propri server, Firefox per chi usa Firefox.
- WordPress (17 luglio): corrette due falle del cuore di WordPress, una critica e una grave, che, secondo la CISA, combinate possono permettere a un estraneo di far eseguire i suoi comandi al sito. Le versioni corrette sono 7.0.2, 6.9.5 e 6.8.6; le versioni precedenti alla 6.8 non sono toccate. WordPress.org ha forzato l’aggiornamento automatico dove è possibile, e il 21 luglio l’agenzia di cybersicurezza statunitense CISA le ha inserite fra le falle già sfruttate. Se hai un sito, controlla la versione in Bacheca, sotto Aggiornamenti, o chiedilo a chi te lo gestisce.
- SharePoint (1, 14, 16 e 22 luglio): a luglio il catalogo CISA delle falle già sfruttate ha aggiunto quattro falle di Microsoft SharePoint, il programma per condividere documenti in azienda. Riguarda soprattutto le aziende e gli enti che hanno SharePoint installato sui propri server: chi li gestisce deve installare gli aggiornamenti di sicurezza di Microsoft e controllare che nessuno sia già entrato.
- Firefox (14 luglio): la versione 152.0.6 corregge due falle critiche. Mozilla non conosce attacchi, ma il codice per sfruttarle è pubblico. Riavvia il browser per completare l’aggiornamento.
Dove segnalo una truffa?
Prima in Svizzera, poi in Italia, a seconda di dove vivi o di dove è il tuo conto.
- Svizzera: segnala il messaggio o la chiamata all’UFCS sul modulo online di report.ncsc.admin.ch (bastano pochi minuti, anche dal telefono). Se hai perso soldi o dato i dati della carta, chiama subito la banca per bloccarla, poi prendi appuntamento con la polizia cantonale per la denuncia. Le email false si possono anche inoltrare a cybercrimepolice.ch, seguendo le istruzioni sul sito.
- Italia: segnala sul sito del Commissariato di PS online della Polizia Postale, commissariatodips.it, alla voce per le segnalazioni. Se hai pagato, blocca la carta con la banca e sporgi denuncia.
- Se non te la senti da solo: chiedi a un familiare o a una persona di fiducia di aiutarti con il modulo. Conserva il messaggio, non cancellarlo: serve come prova.
Il Metodo 3V applicato al mese
| Fase | La lezione di luglio |
|---|---|
| Verifica: chi mi scrive davvero? | Trenitalia, INPS, Klarna, la polizia: il nome sul messaggio o il numero sul display non provano niente |
| Validazione: la richiesta ha senso? | Un rimborso che chiede la carta, un biglietto esaurito che qualcuno «ti tiene», un codice SMS da inserire: no |
| Velocità controllata: chi mi mette fretta? | Conto alla rovescia, «ultimi biglietti», «paga entro oggi»: è la leva che usano tutti, fermati e controlla dall’app |
Domande frequenti
Mi è arrivato un SMS di Trenitalia che offre un indennizzo per un treno in ritardo: è vero?
Molto probabilmente no. A luglio 2026 la Polizia Postale e lo CSIRT Italia hanno segnalato SMS falsi a nome di Trenitalia che portano a una pagina dove vengono chiesti i dati completi della carta e una quota di verifica. Un indennizzo vero non richiede di pagare nulla: controlla solo dall'app o dal sito ufficiale di Trenitalia, aperti da te.
In Svizzera da luglio posso fidarmi del numero che vedo sul display?
Non del tutto. Dal 1° luglio 2026 gli operatori devono contrassegnare come sconosciute o bloccare le chiamate sospette che usano numeri svizzeri, anche di cellulare. Riduce le chiamate con il numero falso, ma non le elimina. Se chi chiama ti chiede soldi o dati, riattacca e richiama tu il numero che conosci, quello della banca o della polizia.
Ho un sito WordPress: cosa devo controllare dopo la falla di luglio 2026?
Che il sito sia almeno alla versione 7.0.2, oppure 6.9.5 o 6.8.6 se usi una serie precedente. Lo vedi nella Bacheca, sotto Aggiornamenti. WordPress ha forzato l'aggiornamento automatico dove possibile, ma alcuni siti lo hanno spento. Se il sito te l'ha fatto un'agenzia, scrivile oggi e chiedi conferma della versione installata.
Ho ricevuto una lettera che dice che i miei dati sono stati rubati a un fornitore. Cosa faccio?
Leggi quali dati sono usciti: con nome e indirizzo i truffatori possono scriverti o presentarsi alla porta, con email e telefono possono mandarti messaggi mirati. Per qualche mese diffida di chi conosce quei dettagli e ti chiede soldi, password o codici. Se qualcuno si presenta a casa, chiedi il tesserino e chiama tu l'azienda al numero sulla bolletta.
Agosto è il mese in cui molti sono in vacanza e controllano meno. Prima di partire, fai due cose che richiedono cinque minuti: scrivi su un foglio il numero per bloccare le carte e attiva la verifica in due passaggi sull’email. Se un messaggio ti chiede di pagare o di inserire la carta mentre sei via, quella pausa per controllare dall’app vale più di qualsiasi offerta.
