Ogni mese succedono decine di cose. Qui trovi quelle che possono toccare una famiglia o una piccola impresa in Svizzera o in Italia, raggruppate per tema. Per i casi su cui abbiamo scritto un articolo c’è il link: lì trovi i dettagli e cosa fare.
Qual è stato il tema del mese?
I premi, gli omaggi e i lavori facili che finiscono con una richiesta di soldi. Il messaggio promette qualcosa: un telefono nuovo, un regalo, uno stipendio da casa. Per averlo basta poco: una piccola spesa, un modulo, un buono da comprare. È proprio quel poco che i truffatori vogliono.
- Svizzera, 10 marzo: l’Ufficio federale della cibersicurezza (UFCS) descrive un’email che sembra di Amazon. Sei fra «250 clienti svizzeri selezionati» e puoi vincere buoni, l’ultimo iPhone o una console. Nelle righe in piccolo c’è la trappola: inserendo la carta sottoscrivi un abbonamento di più anni. A volte il link porta anche a una pagina falsa che chiede la password di Amazon, così i truffatori entrano nel tuo account e vedono le carte salvate.
- Italia, 5 marzo: il CSIRT Italia, la squadra di risposta agli incidenti dell’Agenzia per la cybersicurezza nazionale, segnala su WhatsApp un finto omaggio per la Festa della Donna. Il messaggio porta a una pagina che ti dice che hai vinto un premio. Per riceverlo devi prima inoltrare il messaggio ai tuoi contatti e ai gruppi, poi pagare una piccola cifra con la carta. Così ogni vittima diventa il postino della truffa successiva, e il messaggio arriva da un’amica.
- Svizzera, 24 marzo: l’UFCS segnala offerte di lavoro false sui siti di aziende svizzere vere, iscritte al registro di commercio ma senza un sito proprio. I truffatori glielo costruiscono, con una sezione «Lavoro e carriere» protetta da password. I casi arrivano da tutte le regioni linguistiche, compresa una presunta azienda ticinese, e gli annunci sono comparsi anche su giornali stampati. Al candidato chiedono curriculum, referenze e diplomi, poi di installare un’app di messaggistica. In un caso gli hanno chiesto di comprare buoni per criptovalute fino a 2’500 franchi, «rimborsati più avanti».
Chi cerca lavoro rischia anche altro: un programma da installare «per il colloquio». Lo abbiamo raccontato in Finto annuncio di lavoro: quando la candidatura ti fa installare un programma malevolo.
Cosa è successo in Svizzera?
Chiamate shock in aumento in Ticino e due arresti, email di ricatto che arrivano «da te stesso», finti avvisi di virus nel browser e, per le aziende, vecchi domini e fatture in un archivio ZIP.
- Chiamate shock, Ticino (9 marzo): la Polizia cantonale segnala un aumento delle telefonate ai danni di persone anziane. Dall’inizio dell’anno quattro truffe sono andate a segno, per un danno di alcune centinaia di migliaia di franchi. Tre copioni: il finto poliziotto che chiede una cauzione per un parente dopo un incidente, il finto medico che chiede soldi per cure urgenti non coperte dall’assicurazione, il finto nipote che deve chiudere un affare. Chi chiama tiene la persona al telefono, a volte sia sul fisso sia sul cellulare, perché non possa chiedere a nessuno.
- Due arresti a San Vittore (reso noto il 18 marzo): il 9 marzo, lo stesso giorno, persone anziane a Chiasso e a Biasca hanno consegnato contanti e oggetti preziosi a chi si era presentato al telefono come personale medico. I familiari delle vittime hanno avvisato subito la centrale d’allarme della polizia, e le pattuglie hanno fermato a San Vittore due cittadini polacchi di 50 e 38 anni che si allontanavano verso nord. La refurtiva è stata recuperata. Secondo il Ministero pubblico, i due potrebbero far parte di un gruppo più ampio.
Il caso di San Vittore mostra cosa funziona: avvisare subito. La regola da ricordare: shock più richiesta di soldi uguale truffa. La polizia ticinese raccomanda di non dire mai al telefono il nome dei parenti, di rispondere che prima devi consultarti con qualcuno e di interrompere la conversazione. Poi chiama il familiare al numero che conosci e il 117. Perché anche il numero della polizia sul display può essere falso lo spieghiamo in il numero della polizia di Lugano falsificato.
Il ricatto che arriva dal tuo indirizzo. A marzo l’ondata di email che minacciano di vendere i dati della tua carta nel dark web è continuata: ne hanno scritto la polizia di Zurigo il 4 marzo e l’UFCS il 10. Il mittente è falsificato e non c’è nessuna prova: non pagare. Ne abbiamo parlato nella rassegna di febbraio.
Cybercrimepolice.ch, uno sconosciuto minaccia di vendere i dati nel darknet (in tedesco)Le email false della settimana. La polizia cantonale di Zurigo pubblica su cybercrimepolice.ch i casi veri che le vengono segnalati. A marzo:
- 4 marzo: un’email a nome della polizia cantonale di Zurigo parla di un documento ufficiale legato a un controllo sulla protezione dei dati. L’allegato è un file HTML che apre una finta pagina di accesso dell’Amministrazione federale e chiede nome utente e password.
- 11 marzo: mentre navighi su un sito normale, il browser si riempie di un avviso di virus, a volte con una voce che lo ripete, e un numero del «supporto Microsoft» o «Apple». Al telefono ti chiedono di pagare la pulizia e di installare un programma per il controllo a distanza. Poi entrano nel tuo e-banking. L’avviso è falso: chiudi il browser (su Windows con Ctrl+Alt+Canc e Gestione attività, su Mac con Cmd+Opzione+Esc) e non chiamare.
- 18 marzo: email a nome di Swissquote, banca online e piattaforma di trading, dicono che il modulo fiscale americano W-8BEN è scaduto e va rinnovato subito. La pagina falsa chiede accesso e codici di conferma.
Il 25 marzo, e poi il 31 con l’UFCS, è toccato a chi vende su Ricardo: un finto acquirente, una finta verifica «per i nuovi venditori» e una pagina che chiede il PIN di TWINT. Tutto in Phishing TWINT su Ricardo e sulle altre piattaforme di annunci.
UFCS, rapporto settimanale 26w13Per le aziende, due avvisi dell’UFCS.
- Il vecchio dominio (3 marzo): quando un’azienda chiude o cambia nome, spesso lascia scadere il dominio. Chi lo ricompra riceve le email ancora indirizzate lì e può usarle per reimpostare le password di conti social, cloud e fornitori. Oppure si presenta come «successore» della ditta e chiede pagamenti ai vecchi clienti. Il consiglio: tieni il dominio anche dopo la chiusura e cambia l’indirizzo email registrato presso banca, assicurazioni e fornitori prima di lasciarlo.
- La fattura in un archivio ZIP (17 marzo): email con una «fattura» compressa che contiene una pagina HTML. Aperta, mostra una vecchia conversazione innocua e intanto, di nascosto, si collega a un sito esterno che può portarti, passo dopo passo, a scaricare un programma malevolo. L’UFCS dice che ha provato a ingannare perfino i suoi analisti. Una fattura vera arriva quasi sempre in PDF: un file HTML dentro uno ZIP non si apre.
Cosa succede davvero quando si apre un allegato infetto lo racconto in Cosa succede se apri un allegato infetto.
E in Italia?
Multe false in aumento, tre avvisi del fisco su email e siti falsi, il bonifico deviato verso l’IBAN sbagliato e un contratto della luce firmato da altri.
Il CERT-AGID, il centro dell’Agenzia per l’Italia digitale che ogni settimana conta le campagne contro l’Italia, ne ha registrate fra 100 e 127 a settimana. I temi che tornano:
- Multe false: 130 campagne fra il 28 febbraio e il 27 marzo, tutte via email e a nome di PagoPA. Nell’ultima settimana del mese sono state 47. Come riconoscerle: la multa falsa a nome di PagoPA.
- Tessera sanitaria: email che annunciano una scadenza «imminente» per rubare dati personali e della carta. Nella settimana dal 21 al 27 marzo sette campagne, il numero più alto degli ultimi due mesi.
- INPS e app infette: a inizio mese nuovi SMS a nome dell’INPS per farsi mandare documenti e dati personali, e altri SMS con un link per scaricare un’app che, sui telefoni Android, prende di mira la banca. Un’app si scarica solo dal negozio ufficiale del telefono, mai da un link in un SMS.
Il fisco, la posta e lo SPID. In primavera si prepara la dichiarazione dei redditi, e un’email «dell’Agenzia delle Entrate» sembra più credibile. A marzo l’Agenzia ha pubblicato tre avvisi:
- 19 marzo: email a nome dell’Agenzia e di AgID, l’Agenzia per l’Italia digitale, con un link a una pagina che chiede la password della tua casella email, con il logo di AgID e una grafica che ricorda l’accesso con SPID. Dopo aver rubato la password, la pagina ti manda sul sito vero dell’Agenzia delle Entrate-Riscossione, che mostra un errore: così pensi a un guasto e non a un furto.
- 23 marzo: un sito falso con un indirizzo quasi uguale a quello vero, a nome dell’Agenzia delle Entrate-Riscossione, ti chiede di «confermare di essere un utente reale» e poi i dati personali e bancari.
- 30 marzo: più campagne per rubare le credenziali SPID, con i loghi dell’Agenzia, di SPID e di AgID.
Un dettaglio che riguarda chi ha un sito: secondo il CERT-AGID, alcune di queste pagine false stavano sul sito WordPress di un’azienda che non c’entrava niente, rimasto a una versione vecchia con falle note. Un sito non aggiornato può finire a ospitare le truffe di altri. Per il fisco vale sempre la stessa regola: entri tu nell’area riservata dal sito ufficiale, mai dal link. Un altro trucco delle email false lo trovi in la falsa email dell’Agenzia delle Entrate-Riscossione.
Il bonifico deviato (27 marzo). La Polizia Postale avverte le aziende che pagano fornitori italiani o esteri: un truffatore si inserisce nello scambio di email e manda una richiesta di pagamento identica alle solite, con logo, firma e stile giusti, ma con un IBAN diverso. La scusa è un problema amministrativo, un aggiornamento contabile, un cambio di banca. La Polizia Postale parla di numerosi casi negli ultimi mesi. La difesa: ogni cambio di IBAN si verifica con una telefonata al numero che hai già in rubrica, non a quello scritto nell’email. Come metterlo per iscritto in azienda: la regola dei due canali.
Polizia Postale, frode «Man in the Middle» su e-mail aziendaliRicatti e nudi falsi. Il 10 marzo la Polizia Postale ha ricordato come funziona il ricatto con le foto intime: un profilo falso, tanta fiducia in poco tempo, poi la minaccia. Pagare non fa cancellare niente. La variante con i video creati dall’IA è in Ti minacciano con un video nudo che non hai mai girato. Il 18 marzo, alla Camera dei deputati, la Polizia di Stato ha presentato «Quel corpo non è il mio», un podcast sulla storia vera di un gruppo di ragazze finite in video pornografici falsi. Dal 2025 la legge italiana sull’intelligenza artificiale punisce con il carcere da uno a cinque anni chi diffonde senza consenso immagini, video o voci falsificati con l’IA e capaci di ingannare, se causano un danno ingiusto alla persona; si procede su querela. Il 9 marzo il Garante privacy ha ricordato la dichiarazione firmata il 23 febbraio da 61 autorità per la protezione dei dati, fra cui l’Incaricato federale svizzero (IFPDT), contro le immagini intime create con l’IA senza consenso. Cosa fare se succede a scuola: Foto di nudo false fra compagni di scuola.
Polizia Postale, ALERT! Sex Extortion online Polizia Postale, presentato alla Camera il podcast «Quel corpo non è il mio» Legge italiana sull'intelligenza artificiale del 2025 (Normattiva) Garante privacy, newsletter del 9 marzo 2026 IFPDT, dichiarazione congiunta sulle immagini generate con l'IA (in inglese)Dal Garante privacy, il contratto che non hai firmato (10 marzo): sanzione di 2 milioni di euro ad Acea Energia. Le violazioni riguardano i dati di oltre 1’200 clienti: agenti incaricati di cercarne di nuovi, porta a porta e non solo, avevano attivato forniture di luce e gas a loro insaputa, anche fotografando i loro documenti e con firme false. Molti se ne sono accorti solo con la lettera di attivazione o con un sollecito di pagamento. Il 26 marzo un’altra sanzione, di 563’052 euro a Enel Energia, per offerte commerciali fatte al telefono senza una base valida, anche a clienti che avevano negato il consenso al marketing. Per tutti: non lasciare fotografare un documento a chi bussa alla porta o ti ferma per strada, e leggi le bollette quando arrivano.
Garante privacy, sanzione ad Acea Energia: contratti attivati all'insaputa dei clienti Garante privacy, newsletter del 26 marzo 2026Cosa è cambiato in Europa?
Le polizie europee hanno chiuso un servizio che aggirava la verifica in due passaggi, un mercato di password rubate e una rete costruita con i router di persone ignare.
- Tycoon 2FA (4 marzo): Europol annuncia lo smantellamento di un servizio in abbonamento che vendeva ai criminali pagine false capaci di intercettare l’accesso mentre lo fai, codice di verifica compreso. Attivo almeno dall’agosto 2023, ha permesso di entrare negli account di posta e cloud di quasi 100’000 organizzazioni nel mondo, fra cui scuole e ospedali. Tolti 330 domini, con Microsoft e altre aziende accanto alle polizie di sei Paesi europei. La lezione: un codice via SMS o app ferma molti attacchi, ma non una pagina falsa che lo inoltra subito. Il passo in più sono le passkey e le chiavi di sicurezza, che funzionano solo sul sito vero. Le differenze in Verifica in due passaggi: SMS, app o chiave?.
- LeakBase (4 marzo): chiuso un forum con oltre 142’000 utenti registrati dove si compravano e vendevano database rubati e archivi di password raccolte da programmi spia sui computer infetti. Quegli archivi sono il motivo per cui una password usata su più siti è un rischio: basta un computer infetto per perderle tutte.
- I router presi in prestito (12 marzo): Eurojust, l’agenzia europea per la cooperazione fra procure, annuncia la chiusura di un servizio che vendeva ai criminali la possibilità di nascondersi dietro l’indirizzo internet di altri. Lo faceva con 369’000 router e altri apparecchi infettati in 163 Paesi, i cui proprietari non sapevano nulla. Spenti 24 server in sette Paesi, sequestrati 34 domini. Il nostro consiglio: se il router di casa o dell’ufficio ha molti anni, chiedi al fornitore se riceve ancora aggiornamenti, e cambia la password di gestione se è ancora quella stampata sull’etichetta.
A fine marzo sono usciti anche i numeri del 2025: il rapporto dell’UFCS sul secondo semestre e la statistica criminale svizzera. Li abbiamo letti e spiegati in Il 2025 della sicurezza informatica in Svizzera e in Italia.
Quali aggiornamenti non puoi rimandare?
Chrome, i vecchi iPhone, Android, e per le aziende la webmail Zimbra, SharePoint e le telecamere datate.
- Google Chrome (12, 13 e 31 marzo): tre aggiornamenti in un mese, ciascuno per una falla già sfruttata dagli attaccanti. La versione da avere è almeno la 146.0.7680.177. Chrome si aggiorna da solo, ma la correzione entra solo quando lo chiudi e lo riapri.
- iPhone vecchi (11 marzo): a inizio marzo ricercatori di sicurezza hanno descritto Coruna, un insieme di attacchi contro gli iPhone con versioni vecchie di iOS. Alcune delle falle usate stanno nel motore che apre le pagine web: bastava visitare un sito preparato. Le correzioni erano già nelle versioni più recenti di iOS. L’11 marzo Apple ha portato le correzioni anche sui modelli che non possono più passare a iOS 26: iOS 15.8.7 per iPhone 6s, 7 e SE di prima generazione, iOS 16.7.15 per iPhone 8 e X. Controlla in Impostazioni, Generali, Aggiornamento software, anche sui telefoni vecchi di casa passati a un familiare.
- Android (bollettino di marzo): Google segnala che una falla nei componenti Qualcomm, presenti in molti telefoni, potrebbe essere usata in attacchi limitati e mirati. Sei protetto se nelle impostazioni il livello della patch di sicurezza è del 5 marzo 2026 o successivo. Se il tuo telefono non riceve più aggiornamenti da anni, non usarlo per la banca.
- Per le aziende: la CISA, l’agenzia di cybersicurezza statunitense, ha aggiunto alle falle già sfruttate quella della webmail Zimbra (18 marzo), che alcuni fornitori offrono alle aziende, e quella di SharePoint installato sui propri server (18 marzo). Il 5 marzo anche una falla del 2017 di alcune telecamere Hikvision: se hai un impianto vecchio raggiungibile da internet, chiedi all’installatore se è aggiornato.
Cosa fare con un iPhone che non riceve più nessun aggiornamento, e come attivare la Modalità di isolamento se rischi attacchi mirati, lo spieghiamo in L’iPhone è inviolabile?.
Dove segnalo una truffa?
Prima in Svizzera, poi in Italia, a seconda di dove vivi o di dove hai il conto.
- Svizzera: segnala il messaggio, la telefonata o il sito all’UFCS con il modulo online di report.ncsc.admin.ch: poche domande, si compila anche dal telefono. Se hai pagato o dato i dati della carta, chiama subito la banca per bloccarla, poi telefona alla polizia cantonale per fissare un appuntamento e sporgere denuncia. Per una chiamata shock in corso, o se un familiare ti racconta di averla appena ricevuta, chiama il 117.
- Italia: segnala sul sito della Polizia Postale, alla pagina commissariatodips.it/segnalazioni. Se hai inserito SPID o dati della carta, cambia subito la password, blocca la carta con la banca e sporgi denuncia.
- Se non te la senti da solo: fatti aiutare da un familiare o da una persona di fiducia. Non cancellare il messaggio e fai una foto dello schermo: servono come prova.
Il Metodo 3V applicato al mese
| Fase | La lezione di marzo |
|---|---|
| Verifica: chi mi scrive o mi chiama davvero? | Amazon, l’Agenzia delle Entrate, il fornitore, il medico al telefono: il logo, l’indirizzo del mittente e perfino il messaggio di un’amica non provano niente |
| Validazione: la richiesta ha senso? | Un premio che chiede la carta, un lavoro che chiede buoni, un fornitore che cambia IBAN per email, un ricattatore senza prove: no |
| Velocità controllata: chi mi mette fretta? | «Entro 24 ore», «cure urgenti», «il modulo è scaduto», «inoltra per sbloccare il premio»: fermati e verifica con un numero che conosci |
Il metodo completo è nel libro «Sicurezza informatica per professionisti» e nella guida al Metodo 3V.
Domande frequenti
Mi è arrivata un'email dal mio stesso indirizzo che minaccia di vendere i dati della mia carta: devo pagare?
No. A marzo 2026 la polizia di Zurigo e l'UFCS hanno descritto proprio questa ondata: il mittente è falsificato, chi scrive non ha mostrato nessuna prova e pagare in Bitcoin non garantisce nulla. Non rispondere e sposta l'email nella posta indesiderata. Controlla l'estratto conto della carta e, se trovi addebiti strani, chiama l'emittente. Se usi la stessa password altrove, cambiala.
Ho trovato un lavoro da casa ben pagato, ma mi chiedono di comprare dei buoni che mi rimborseranno: è normale?
No, è lo schema descritto dall'UFCS a marzo 2026: siti falsi di aziende svizzere vere, colloqui in chat e poi una richiesta di buoni per criptovalute, in un caso fino a 2'500 franchi. Un datore di lavoro vero non ti chiede soldi. Interrompi il contatto, non mandare altri documenti e, se hai già pagato, sporgi denuncia alla polizia.
Mentre navigavo è comparso un avviso di virus con un numero di assistenza da chiamare: cosa faccio?
Non chiamare: l'avviso è una pagina web, non viene da Windows né dal tuo antivirus. Chiudi il browser, su Windows con Ctrl+Alt+Canc e Gestione attività, su Mac con Cmd+Opzione+Esc. Se hai già telefonato e lasciato installare un programma, spegni il computer, chiama la banca per bloccare l'e-banking e fai reinstallare il sistema da una persona di fiducia.
Un fornitore mi scrive che ha cambiato banca e mi manda il nuovo IBAN: posso pagare?
Non prima di averlo verificato. A marzo 2026 la Polizia Postale ha segnalato numerosi casi di email aziendali intercettate e modificate solo nell'IBAN, con logo e firma giusti. Telefona al fornitore al numero che hai già in rubrica, non a quello dell'email, e chiedi conferma a voce. Se hai già pagato, chiama subito la banca: a volte il bonifico si blocca.
Ad aprile arrivano le email sulla dichiarazione dei redditi e sui rimborsi, e i truffatori lo sanno. Prima che inizino, prenditi un quarto d’ora questo fine settimana per un giro dei dispositivi di casa e dell’ufficio: telefoni, tablet, router. Quello che non riceve più aggiornamenti non va usato per la banca né per lo SPID. Cosa è successo dopo lo trovi nella rassegna di aprile.
