Ogni mese succedono decine di cose. Qui trovi quelle che possono toccare una famiglia o una piccola impresa in Svizzera o in Italia, raggruppate per tema. Per i casi su cui abbiamo scritto un articolo c’è il link: lì trovi i dettagli e cosa fare.
Qual è stato il tema del mese?
I falsi rimborsi e i piccoli pagamenti che aprono la porta a una truffa più grande. Il messaggio promette soldi o chiede pochi franchi. Sembra innocuo. Ma la pagina falsa vuole sempre la stessa cosa: i dati della carta e, se riesce, il codice che arriva per SMS.
- Svizzera, 5 maggio: l’Ufficio federale della cibersicurezza (UFCS) descrive il «doppio phishing». Un SMS o un’email a nome della Posta, di DHL o di DPD dice che un pacco è bloccato per pochi franchi di spese. Paghi sulla pagina falsa con la carta. Poco dopo ti chiama un finto impiegato della banca, a volte con il numero vero della banca sul display: ti parla di un addebito sospetto e ti chiede di leggergli un codice SMS o di confermare nell’app, «per bloccarlo». In realtà stai autorizzando un pagamento con la carta che ti hanno appena rubato.
- Svizzera, 6 maggio: la polizia cantonale di Zurigo segnala email false a nome della Serafe, l’ente che incassa il canone radio-TV, che annunciano un rimborso, a volte «valido solo per 24 ore». La pagina falsa chiede dati personali, carta e il codice di sicurezza arrivato per SMS.
- Italia, 15 maggio: l’Agenzia delle Entrate avverte di email con il suo logo che promettono un rimborso legato alla dichiarazione dei redditi del 2025. Chiedono nome, codice fiscale, telefono e soprattutto i dati della carta.
- Italia, 9-15 maggio: il CERT-AGID segnala numerose campagne di SMS a nome dell’INPS che promettono un falso «bonus carburante». Anche qui il traguardo è la carta di pagamento.
Per i pacchi c’è la nostra guida Stai aspettando un pacco?. Per la telefonata della finta banca, cosa dice e come finisce: mi ha chiamato la banca, ma era una truffa.
Cosa è successo in Svizzera?
Arresti per le chiamate shock in Ticino e per i falsi consulenti bancari nel Vaud, un attacco che, secondo la stampa, ha lasciato senza internet per 40 minuti la rete fissa di Salt, e una email falsa a settimana segnalata dalla polizia di Zurigo.
- Chiamate shock, Lugano (reso noto il 29 maggio): il 26 maggio il Ministero pubblico e la Polizia cantonale hanno arrestato a Lugano due cittadini italiani di 20 e 23 anni, residenti in Italia. Si presentavano al telefono come agenti, dicevano che un familiare era coinvolto in una rapina e chiedevano con insistenza denaro e gioielli. Decisiva una segnalazione tempestiva alla CECAL, la centrale d’allarme della polizia. La polizia parla di un aumento considerevole di queste chiamate nelle ultime settimane e ha una pagina di consigli.
- Falsi consulenti bancari, Vaud (19 maggio): il 15 maggio la Polizia cantonale vodese ha fermato nove persone fra i 18 e i 27 anni nella regione di Losanna, con oltre 36’000 franchi in contanti e molte carte bancarie. Lo schema: una telefonata «della banca» per un aggiornamento urgente dell’e-banking o un allarme di sicurezza, poi la richiesta di spostare i soldi su un «conto sicuro» o di lasciar controllare il computer a distanza. La polizia ricorda anche che prestare il proprio conto a terzi in cambio di soldi espone a un procedimento penale.
- Salt (15 maggio): verso le 19 la rete fissa di Salt è rimasta senza internet per circa 40 minuti. Secondo il quotidiano Le Temps, ripreso da Netzwoche, si trattava di un attacco che sommerge la rete di richieste (DDoS), non di un guasto. Salt non ha pubblicato un comunicato. Nessuna notizia di dati rubati. Per una piccola azienda è un promemoria: sai cosa fai se internet si ferma per un’ora?
- La truffa dell’anticipo (12 maggio): l’UFCS segnala email di presunti uomini d’affari da Paesi in crisi, come l’Iran o gli Stati del Golfo, che chiedono aiuto per spostare capitali e promettono un compenso ricco. Poi arrivano le spese da anticipare: onorari, tasse, avvocati. Dopo il primo pagamento c’è sempre un nuovo ostacolo. Chi ha già pagato tende a continuare per non perdere quanto ha versato: è proprio su questo che contano.
Un agente vero non ti chiede mai soldi o gioielli per aiutare un familiare, e un impiegato vero della banca non ti chiede mai di spostare i risparmi «per proteggerli». Se ricevi una chiamata così, riattacca e chiama tu il 117 o il numero della banca che conosci. Abbiamo spiegato perché il numero sul display non basta in il numero della polizia di Lugano falsificato.
Le email false della settimana. La polizia cantonale di Zurigo pubblica su cybercrimepolice.ch i casi veri che le vengono segnalati. A maggio, oltre alla Serafe:
- 13 maggio: un finto ordine Amazon dice che la prova gratuita di Prime Video è diventata un abbonamento annuale a pagamento, già addebitato sulla carta. Il pulsante «annulla ordine» porta a una pagina falsa che chiede la password di Amazon e poi la carta, «per il rimborso».
- 20 maggio: email a nome di Cyon, un fornitore svizzero di hosting, che dice che il tuo dominio sta per scadere: sito irraggiungibile, email ferme. Il rinnovo costa poco, ma dopo la carta compare una finta conferma dell’app della banca e la richiesta del codice SMS. Riguarda chi ha un sito o un indirizzo email con il proprio nome.
- 27 maggio: concorsi falsi sui social con biglietti per grandi eventi, pubblicati da profili che copiano nomi e loghi di aziende note. Chi commenta riceve un messaggio privato di congratulazioni e poi la richiesta di dati, carta o «spese di spedizione».
Per il dominio vale una regola semplice: il rinnovo si controlla entrando tu nel pannello del fornitore, mai dal link dell’email. Lo stesso trucco con l’aggiornamento del sito lo trovi in l’email falsa dell’hosting.
Biglietti e WhatsApp, due retrospettive già raccontate. Il 19 maggio l’UFCS ha descritto i biglietti falsi per i mondiali di calcio, lo zoo di Zurigo con il conto alla rovescia e il museo del cioccolato copiato: tutto in Biglietti per concerti ed eventi su siti falsi. Il 26 maggio ha segnalato sempre più account WhatsApp rubati con un messaggio, in italiano e in tedesco, che chiede di votare «Sofia», la figlia di un amico, in un concorso scolastico. Il voto chiede il codice di sei cifre di WhatsApp o di inquadrare un codice QR. Cosa fare in WhatsApp rubato con il falso concorso.
UFCS, Settimana 20: biglietti truffa per il campionato mondiale e affini UFCS, Settimana 21: falsi concorsi per rubare gli account WhatsAppSempre a maggio, a Briga, il tribunale di primo grado ha condannato un ex collaboratore di un collegio che aveva creato nudi falsi di un’allieva. Il caso e cosa fare se succede a scuola sono in Foto di nudo false fra compagni di scuola.
E in Italia?
Multe false a valanga, falsi rimborsi del fisco e dell’INPS, finti pedaggi su WhatsApp e un avviso del Garante sulle password conservate male.
Il CERT-AGID, il centro dell’Agenzia per l’Italia digitale che ogni settimana conta le campagne contro l’Italia, ne ha registrate fra 94 e 131 a settimana. I temi che tornano:
- Multe false: 115 campagne in quattro settimane, tutte via email e quasi sempre a nome di PagoPA. A fine maggio, 46 in una sola settimana, anche a nome di SEND, il servizio dello Stato per le notifiche digitali, e di ATAC, l’azienda dei trasporti di Roma. Come riconoscerle: la multa falsa a nome di PagoPA.
- Biglietti dei mezzi pubblici (20 maggio): la Polizia Postale segnala messaggi ai clienti di Tap&Go, il pagamento contactless di ATAC, e di ATM a Milano. Dicono che non hai registrato l’uscita da una corsa e ti chiedono di «chiudere la pratica» pagando online.
- Pedaggi su WhatsApp (11 maggio): messaggi da un numero estero a nome di Autostrade per l’Italia segnalano un pedaggio non pagato e portano a un sito falso che vuole dati personali e bancari.
- INPS e la finta verifica dell’identità (2-8 maggio): SMS che promettono erogazioni dello Stato e chiedono codice fiscale, IBAN, le foto fronte e retro di un documento e perfino un video, per una finta verifica dell’identità. Il nostro consiglio: un documento e un video non si mandano mai in risposta a un SMS.
- Agenzia delle Entrate, tre avvisi oltre al rimborso: il 5 maggio una finta notifica amministrativa, a nome dell’Agenzia e di Agenzia delle Entrate-Riscossione, che si vedrebbe solo cliccando un link ed entrando con i propri dati; il 19 maggio il falso rinnovo della tessera sanitaria, che chiede di entrare con SPID o CIE, le identità digitali; il 20 maggio finti solleciti con scritto «Azione urgente». Sulla tessera sanitaria l’Agenzia è chiara: vale sei anni e, quando scade, quella nuova ti arriva da sola.
Il nostro consiglio: un’email «del fisco» si controlla senza link, entrando tu nell’area riservata dal sito ufficiale per vedere se c’è davvero qualcosa. Ne abbiamo parlato anche in la falsa email dell’Agenzia delle Entrate-Riscossione.
Dal Garante privacy, un caso che serve alle aziende (21 maggio): sanzione di 85’000 euro a The European House - Ambrosetti, società di consulenza, dopo un attacco che ha portato via nomi, email, nomi utente e password di 61’670 persone. Alcune password erano conservate in chiaro, cioè leggibili così come sono, e c’erano ancora credenziali di sistemi non più usati. Le persone sono state avvisate circa due mesi dopo la scoperta, e solo dopo l’intervento del Garante. Il nostro consiglio, per una PMI: le password non si conservano mai leggibili, e gli accessi che non servono più si cancellano. Per tutti: se usavi quella password anche altrove, cambiala.
Garante privacy, newsletter del 21 maggio 2026Il 19 maggio la Polizia Postale ha ricordato che una chat può diventare un ricatto con le foto intime, e che chi ricatta commette un reato: la colpa non è di chi si è fidato. La variante con i video falsi è in Ti minacciano con un video nudo che non hai mai girato.
Polizia Postale, Sextortion: quando una chat diventa ricattoQuali truffe arrivano dall’Europa?
I falsi «recuperatori» di soldi persi e il falso canone radio-TV in Germania.
- Lettonia e Ucraina (29 maggio): Eurojust, l’agenzia europea per la cooperazione fra procure, annuncia la chiusura di un call center a Charkiv. Il 26 maggio arrestati quattro capi, cinque indagati, 14 perquisizioni. Telefonavano a persone anziane già truffate in passato, promettevano di recuperare i soldi persi e intanto ne prendevano altri, con finti investimenti anche in criptovalute e prestiti aperti a loro insaputa. Il nostro consiglio: chi ti chiama per «recuperare» una perdita e ti chiede un anticipo va trattato come la seconda puntata della stessa truffa. I segnali in Truffe negli investimenti online.
- Germania (21 maggio): la Verbraucherzentrale Bayern, il centro dei consumatori della Baviera, avverte di email false sul canone radio-TV con i loghi di ARD e ZDF: un «nuovo piano di pagamento», un arretrato da versare subito su un conto estero e perfino uno sconto per chi paga in anticipo, che non esiste. È la stessa idea della falsa Serafe in Svizzera.
Due casi di maggio venuti da fuori Europa li abbiamo già raccontati: l’11 maggio l’accordo fra il Texas e LG sul riconoscimento di ciò che guardi in TV, in La tua TV sa cosa guardi?, e lo stesso giorno le falle nei server delle telecamere e dei baby monitor che usano l’app CloudEdge, in Hai una telecamera economica o un baby monitor?.
Quali aggiornamenti non puoi rimandare?
Un programma gratuito infettato alla fonte, l’antivirus di Windows, e per le aziende Exchange e i siti Drupal.
- DAEMON Tools Lite (6 maggio): il programma per aprire i file d’immagine di CD e DVD sul computer è stato distribuito per un periodo con un’installazione infetta della versione gratuita 12.5.1, presa dal sito ufficiale. Il produttore consiglia a chi l’ha scaricata in quel periodo di fare una scansione completa del computer e di installare la versione 12.6 dal sito ufficiale. Il 27 maggio la CISA, l’agenzia di cybersicurezza statunitense, l’ha inserita fra le falle già sfruttate. La lezione: anche il sito vero può distribuire un programma infetto. Il nostro consiglio: meno programmi hai, meno rischi corri, e se non lo usi più toglilo.
- Microsoft Defender (20 maggio): due falle dell’antivirus integrato in Windows, una permette a un programma già sul computer di prendersi i pieni poteri, l’altra può mandarlo in blocco. La CISA le ha inserite fra quelle già sfruttate. Defender si aggiorna da solo: controlla in Sicurezza di Windows, alla voce Protezione da virus e minacce, che gli aggiornamenti siano recenti.
- Exchange sui propri server (14 maggio): Microsoft conferma che una falla della posta via browser di Exchange Server (Outlook Web Access) è già sfruttata: chi apre in Outlook Web Access un’email preparata e compie certe azioni può far partire codice dei truffatori nel browser. Riguarda le aziende che hanno Exchange installato in casa, non chi usa la posta di Microsoft 365. A fine maggio la correzione definitiva non c’era ancora (gli aggiornamenti sono arrivati il 9 giugno): chi gestisce il server deve tenere attiva la protezione automatica di Microsoft.
- Drupal (20 e 22 maggio): una falla «molto critica» nel cuore di Drupal, un programma per fare siti, riguarda i siti con database PostgreSQL. Il 22 maggio Drupal ha segnalato i primi tentativi di sfruttarla. Se il tuo sito è fatto con Drupal, chiedi a chi lo gestisce se è aggiornato.
Il 24 maggio anche Roundcube, la pagina per leggere la posta dal browser che offrono molti hosting, ha pubblicato aggiornamenti di sicurezza. (Aggiornamento: a settembre una di quelle falle è risultata sfruttata.) Cosa chiedere al fornitore in Webmail Roundcube, una falla è già sfruttata.
Dove segnalo una truffa?
Prima in Svizzera, poi in Italia, a seconda di dove vivi o di dove è il tuo conto.
- Svizzera: segnala il messaggio o la chiamata all’UFCS sul modulo online di report.ncsc.admin.ch (bastano pochi minuti, anche dal telefono). Se hai perso soldi o dato i dati della carta, chiama subito la banca per bloccarla, poi telefona alla polizia cantonale per fissare un appuntamento e sporgere denuncia. Per una chiamata shock in corso, il numero è il 117. Le email false si possono anche inoltrare a cybercrimepolice.ch, seguendo le istruzioni sul sito.
- Italia: segnala sul sito del Commissariato di PS online della Polizia Postale, alla pagina commissariatodips.it/segnalazioni. Se hai pagato, blocca la carta con la banca e sporgi denuncia.
- Se non te la senti da solo: chiedi a un familiare o a una persona di fiducia di aiutarti con il modulo. Conserva il messaggio, non cancellarlo: serve come prova.
Il Metodo 3V applicato al mese
| Fase | La lezione di maggio |
|---|---|
| Verifica: chi mi scrive o mi chiama davvero? | Serafe, Agenzia delle Entrate, la banca, la polizia: il logo nell’email e il numero sul display non provano niente |
| Validazione: la richiesta ha senso? | Un rimborso che chiede la carta, una banca che vuole un codice per «bloccare» un addebito, un agente che chiede gioielli: no |
| Velocità controllata: chi mi mette fretta? | «Valido 24 ore», «azione urgente», «il dominio scade», «tuo nipote è in caserma»: fermati e richiama tu un numero che conosci |
Il metodo completo è nel libro «Sicurezza informatica per professionisti» e nella guida al Metodo 3V.
Domande frequenti
Mi è arrivata un'email della Serafe con un rimborso del canone: è vera?
Molto probabilmente no. A maggio 2026 la polizia cantonale di Zurigo ha segnalato email false a nome della Serafe che annunciano un rimborso, a volte valido solo 24 ore, e portano a una pagina che chiede carta e codice SMS. Non cliccare. Se pensi di avere davvero diritto a un rimborso, apri tu il sito della Serafe scrivendo l'indirizzo o chiama il numero ufficiale.
Ho pagato pochi franchi per un pacco e poi mi ha chiamato la banca: cosa faccio?
È lo schema del doppio phishing descritto dall'UFCS a maggio 2026: con la carta rubata sul sito falso del pacco, il finto impiegato ti chiede un codice o una conferma nell'app per autorizzare un pagamento. L'UFCS consiglia di far bloccare subito la carta. Il nostro consiglio: riattacca, chiama tu la banca al numero sul retro della carta o nell'app e segnala il caso all'UFCS.
Un'email dice che la mia tessera sanitaria scade e va rinnovata con SPID: devo farlo?
No. L'Agenzia delle Entrate ha segnalato a maggio 2026 email false a nome del Ministero della Salute che chiedono di rinnovare la tessera entrando con SPID o CIE su un sito falso. La tessera sanitaria vale sei anni e quella nuova ti arriva a casa da sola. Se l'hai persa, la richiedi dal sito dell'Agenzia, aperto da te.
Mi hanno chiamato dicendo che sono della polizia e che mio figlio è coinvolto in una rapina: è possibile?
È la chiamata shock, una truffa: a fine maggio 2026 il Ministero pubblico e la Polizia cantonale ticinese hanno arrestato a Lugano due giovani che usavano proprio questo copione per chiedere soldi e gioielli. Nessun agente ti chiede denaro per aiutare un familiare. Riattacca, chiama tuo figlio al numero che conosci e poi il 117 in Svizzera o il 112 in Italia.
Giugno porta le vacanze e le prenotazioni: un messaggio che parla del tuo viaggio e chiede la carta si controlla sempre dall’app o dal sito ufficiale. Prima di partire fai una cosa che richiede cinque minuti: attiva la verifica in due passaggi su WhatsApp e sull’email. Le spieghiamo in Verifica in due passaggi: SMS, app o chiave?. Ti protegge proprio dai furti di account che a maggio sono partiti da un finto voto.
