Novembre è il mese in cui si compra di più online, e i truffatori lo sanno. Qui trovi i casi che possono toccare una famiglia o una piccola impresa in Svizzera o in Italia, raggruppati per tema. Dove abbiamo scritto un articolo c’è il link: lì trovi i dettagli e cosa fare.
Qual è stato il tema del mese?
I negozi online falsi del Black Friday, e il finto pacco che arriva dopo. Un negozio falso oggi non si riconosce più dalla grafica sciatta o dall’italiano sbagliato. Copia i negozi veri, si dà un nome che suona svizzero e si fa pubblicità sui social.
- Svizzera, 25 novembre: l’Ufficio federale della cibersicurezza (UFCS) registra un aumento delle segnalazioni di negozi falsi, concorsi falsi e phishing in vista del Black Friday e del Cyber Monday. I siti copiano la grafica di noti negozi svizzeri e mettono «svizzero» nell’indirizzo o nel nome. Vendono quello che si cerca di più: console, elettronica, lampade, abiti di marca, elettrodomestici. Chiedono di pagare prima, con carta, TWINT o bonifico istantaneo. Poi la merce non arriva, o arriva scadente. E se hai pagato con la carta, i dati possono servire per altre truffe.
- Dopo gli acquisti, i pacchi: sempre l’UFCS avverte che dopo il Black Friday arriva la seconda ondata, SMS ed email a nome della Posta, di DHL o di DPD su un pacco bloccato, un indirizzo mancante o un dazio da pagare. La cifra è piccola, spesso da 1 a 3 franchi. Ma ai truffatori interessano i dati completi della carta, o farti sottoscrivere senza saperlo un abbonamento.
- Svizzera, 19 novembre: la polizia cantonale di Zurigo, su cybercrimepolice.ch, elenca i segnali di un negozio falso: l’unico contatto è un modulo anonimo o un numero WhatsApp, mancano condizioni di reso chiare, tante valute, ma non sempre il franco, l’indirizzo è del tipo «nome-schweiz.com» o «nome-zurich.net».
- Italia, 28 novembre: nel giorno del Black Friday la Polizia Postale dà tre regole: attenzione ai siti clone e ai link arrivati per email, chat o pubblicità sui social (l’indirizzo si scrive a mano); niente bonifici, meglio una carta prepagata o ricaricabile; diffidare delle offerte troppo vantaggiose e cercare le opinioni di altri clienti se il venditore è sconosciuto.
L’impressum non basta più. Il 18 novembre l’UFCS ha descritto un trucco che toglie di mezzo uno dei controlli classici. I truffatori cercano nel registro di commercio (Zefix) aziende svizzere vere che non hanno un sito, e costruiscono per loro un sito falso con ragione sociale e numero di iscrizione corretti. Chi controlla trova tutto in ordine. Gli esempi dell’UFCS, non solo aziende senza sito:
- un falso negozio di prodotti fotografici con il nome e l’indirizzo di un fotografo vero, che poi si è visto arrivare i reclami dei clienti truffati;
- un falso commerciante di legna da ardere, una truffa che torna ogni inverno: al dominio dell’azienda vera era stato aggiunto solo un trattino;
- siti di finti studi legali, con nomi di avvocati veri, che danno credibilità a email che accusano di aver violato il diritto d’autore e chiedono di pagare;
- un indirizzo quasi uguale a quello di una banca, usato per le email di finti impiegati, che se lo apri nel browser ti porta sul sito vero della banca, così sembra tutto a posto.
Come si riconoscono i negozi che si fingono svizzeri e spediscono dall’Asia lo spieghiamo in Negozi online che sembrano svizzeri. Per i pacchi c’è la guida Stai aspettando un pacco?.
Perché arrivano email sulle tasse delle criptovalute?
Perché è un tema reale ma spesso complesso: chi riceve l’email non è sicuro delle regole e tende a obbedire. A novembre lo stesso pretesto è comparso in Svizzera e in Italia.
- Svizzera, 11 novembre: l’UFCS descrive un’email a nome del Cantone di Zurigo che chiede di aggiornare i dati «secondo le nuove norme fiscali sulle criptovalute», con una scadenza brevissima e la minaccia di sanzioni. Il sito falso chiede indirizzo, data di nascita, telefono e IBAN, poi rimanda al sito vero del Cantone, così nessuno si insospettisce. L’UFCS ritiene che con quei dati le vittime vengano poi chiamate al telefono da finti impiegati, che conoscono già la banca e la data di nascita.
- Svizzera, stessa settimana: email a nome dell’Amministrazione federale delle contribuzioni, il fisco federale, che promettono pagamenti della cassa pensione e chiedono di aggiornare i dati. Il saluto è pensato per le persone anziane, per far credere che il mittente sappia a chi scrive.
- Italia, 4-18 novembre: l’Agenzia delle Entrate pubblica sei avvisi in due settimane. Un finto servizio di «dichiarazione delle criptovalute» che all’ultimo passo chiede di collegare il portafoglio digitale (chi lo fa consegna il controllo delle sue criptovalute). Un finto «Dipartimento Tax-Force Anti Money Laundering», che non esiste, chiede 3’350 euro per chiudere portafogli aperti a tuo nome. Un messaggio con la firma falsa del Direttore generale parla di irregolarità nel tuo portafoglio e chiede soldi: l’Agenzia precisa che non fa controlli automatici sui portafogli di criptovalute. E poi lettere false su tasse per redditi esteri da pagare «in giornata», e un falso rimborso di 1’495,39 euro che ruba le credenziali della banca.
Il nostro consiglio: un’email del fisco che ti mette fretta si controlla senza link. In Svizzera entri tu nel portale del tuo Cantone o chiami l’ufficio delle imposte al numero che trovi sulla tua ultima dichiarazione. In Italia entri nell’area riservata dal sito dell’Agenzia. Se hai dubbi, l’Agenzia delle Entrate (avviso del 18 novembre) suggerisce di rivolgerti a un intermediario di fiducia, non a chi ti ha scritto.
Cosa è successo in Svizzera?
Due arresti per una chiamata shock nel Locarnese, l’iPhone «ritrovato all’estero», il finto supporto Apple al telefono, gli annunci che non consegnano mai, e un nuovo canale di allerta dell’UFCS.
- Chiamata shock, Locarnese (reso noto l’11 novembre): il 4 novembre a Locarno sono state arrestate una 18enne e una minorenne, cittadine ceche residenti in Repubblica Ceca, sospettate di aver partecipato a truffe con chiamate shock (comunicato di Ministero pubblico, Magistratura dei minorenni e Polizia cantonale). La sera prima, nel Malcantone, un’anziana aveva consegnato denaro e gioielli: al telefono qualcuno, fingendosi una persona del mondo medico, le aveva chiesto con insistenza una grossa somma per curare una parente gravemente malata, con poche ore di tempo. Decisiva la segnalazione rapida di un familiare alla centrale d’allarme della polizia. La refurtiva è stata in gran parte recuperata.
- L’iPhone smarrito che «riappare» (4 novembre): l’UFCS ha ricevuto diverse segnalazioni di SMS arrivati mesi dopo il furto o la perdita di un iPhone: «il tuo dispositivo è stato localizzato all’estero». Il messaggio conosce modello, colore e memoria, perché i ladri li leggono dal telefono. Il link porta a una falsa pagina di Apple che chiede l’ID Apple e la password. Lo scopo è togliere il blocco che rende il telefono rubato inutilizzabile e invendibile. Apple non ti scrive mai per dirti che ha ritrovato il tuo iPhone.
- Il finto supporto Apple (5 novembre): la polizia di Zurigo segnala telefonate di finti operatori Apple che parlano di un problema di sicurezza dell’ID Apple. Per sembrare veri, mentre parlano fanno partire dal sito di Apple una vera email del supporto che conferma la richiamata. Poi chiedono la password, i dati della carta o l’accesso a distanza al telefono o al computer.
- Annunci che non consegnano (12 novembre): telefoni, console e oggetti di marca a prezzi bassi sulle piattaforme di annunci, con foto vere, numeri e IBAN svizzeri, a volte la copia di un documento o la foto della ricevuta postale «della spedizione». Paghi con TWINT o bonifico e il venditore sparisce. Un documento d’identità o un numero svizzero non provano che la persona esista. Il consiglio della polizia: quando puoi, incontra il venditore e paga in contanti alla consegna.
- Email con il tuo nome e il tuo indirizzo (26 novembre): phishing a nome di banche e servizi di pagamento con nome, indirizzo e scadenze giuste. I dati non vengono per forza da un furto recente: spesso sono messi insieme da vecchie fughe di dati e da informazioni pubbliche. Un’email che ti conosce non è per questo un’email vera.
Chi chiama per un familiare malato o nei guai e chiede soldi o gioielli subito è un truffatore, anche se piange, anche se conosce il nome della persona. Riattacca, chiama il familiare al numero che conosci, poi il 117. Se hai perso un iPhone, attiva subito la modalità «smarrito» dall’app Dov’è o da iCloud.com, e non togliere mai il telefono dal tuo account Apple: è proprio quello che vogliono i ladri. Proteggi anche la scheda SIM con un PIN.
Le novità dell’UFCS per tutti. Dal 13 novembre l’UFCS può mandare le allerte sui ciberattacchi gravi, su vasta scala o di tipo nuovo, anche tramite Alertswiss, l’app e il sito della protezione della popolazione. Per il phishing di tutti i giorni restano i canali di sempre. Se hai già l’app sul telefono, potrai ricevere lì anche queste allerte. Per Comuni e organizzazioni, il 10 novembre l’UFCS ha pubblicato un modello di piano d’emergenza con strumenti pratici e un filmato: serve a decidere prima, a mente fredda, chi fa cosa se un attacco blocca tutto.
UFCS, allarmi trasmessi anche mediante Alertswiss in caso di gravi ciberminacce UFCS, il piano d'emergenza per garantire la ciber-resilienzaIl 18 novembre l’UFCS ha anche pubblicato il rapporto del primo semestre, in cui fra i temi c’è la pubblicità a pagamento fraudolenta su motori di ricerca e social, usata soprattutto per le truffe degli investimenti online, e il giorno dopo il Consiglio federale ha detto come vuole contrastare i siti truffa. Ne parliamo in Truffe negli investimenti online. Il 24 novembre privatim, la conferenza degli incaricati cantonali della protezione dei dati, ha preso posizione sul cloud degli enti pubblici: il perché in Dove stanno i tuoi dati.
UFCS, rapporto semestrale 2025/IE in Italia?
Multe false in crescita a fine mese, l’INPS che chiede selfie e buste paga, la finta Polizia che accusa di reati gravi, e la falsa banca su WhatsApp con la foto di un dirigente della Polizia.
Il CERT-AGID, il centro dell’Agenzia per l’Italia digitale che ogni settimana conta le campagne contro l’Italia, ne ha registrate fra 71 e 91 a settimana. I temi che tornano:
- Multe false: 43 campagne in quattro settimane, tutte via email a nome di PagoPA, con un picco di 15 nell’ultima settimana del mese. Come riconoscerle: la multa falsa a nome di PagoPA.
- INPS (8-14 novembre): SMS che chiedono, oltre ai dati personali e all’IBAN, un selfie e le foto di carta d’identità, tessera sanitaria, patente e delle ultime tre buste paga. Questo materiale può servire a farsi passare per te.
- Pacco GLS (8-14 novembre): email con un finto modulo di riconsegna che porta a una copia del sito di GLS e chiede di copiare e incollare un comando sul computer. È il trucco della finta verifica, spiegato in Finta «verifica di essere umano» che chiede di incollare un comando.
- Banca d’Italia e rinnovi (1-14 novembre): una pagina falsa con il logo della Banca d’Italia chiede di «aggiornare i dati» per le norme antiriciclaggio e di scegliere la propria banca; e dodici campagne di falsi rinnovi a nome di fornitori di hosting e domini, di iCloud e di altri servizi. Riguardano chi ha un sito o un indirizzo email con il proprio nome.
La Polizia vera non scrive per accusarti. Il 12 novembre la Polizia Postale ha avvertito di email e messaggi con loghi, intestazioni e nomi di uffici di polizia che accusano il destinatario di aver visto materiale pedopornografico e chiedono soldi per «interrompere le indagini». Contano sull’urgenza e sulla minaccia di una denuncia. La Polizia di Stato non manda mai email o messaggi per notificare un reato o chiedere un pagamento: non rispondere, non pagare e non aprire link o allegati.
La finta banca, poi il finto poliziotto su WhatsApp (21 novembre): un SMS che sembra della tua banca segnala un problema al conto. Subito dopo chiama su WhatsApp un numero sconosciuto, con la foto ufficiale di un noto dirigente della Polizia di Stato nel profilo, che ti convince a «mettere al sicuro» i risparmi con un bonifico o a dargli codici e password usa e getta. Né la banca né la Polizia ti contattano su WhatsApp per un movimento sospetto. Come finisce di solito questa telefonata è in Mi ha chiamato la banca, ma era una truffa.
Polizia Postale, attenzione alle false comunicazioni delle Forze di Polizia Polizia Postale, profili falsi con foto di dirigenti della Polizia di StatoLinkedIn e l’intelligenza artificiale, in Italia e in Svizzera. Dal 3 novembre LinkedIn usa alcuni dati degli iscritti dell’Unione europea, dello Spazio economico europeo e della Svizzera, come il profilo e i post pubblici, per addestrare la sua IA che scrive testi. I messaggi privati sono esclusi. L’opzione è attiva se non la spegni. Il Garante privacy ha spiegato che chi si oppone dopo il 3 novembre protegge solo quello che pubblica da lì in avanti. Se usi LinkedIn, cerca nelle impostazioni, alla voce sulla privacy dei dati, l’uso dei dati per migliorare l’IA generativa, e decidi tu.
Garante privacy, dal 3 novembre LinkedIn addestrerà i suoi sistemi con i dati di chi non si è opposto LinkedIn, aggiornamento dei termini e dell'uso dei dati (in inglese)Per le aziende, nel riepilogo settimanale del 16 novembre il CSIRT Italia dell’Agenzia per la cybersicurezza nazionale ha segnalato email che annunciano lo spazio della casella esaurito e rubano la password della posta. Il nostro consiglio: nessun fornitore ti chiede la password per darti più spazio: si controlla entrando dal sito o dall’app che usi sempre.
ACN, la Settimana cibernetica del 16 novembre 2025Quali truffe arrivano dall’Europa?
Piccoli addebiti sulla carta che nessuno notava, e un colpo ai programmi che rubano le password.
- Operazione Chargeback (5 novembre): Eurojust, l’agenzia europea per la cooperazione fra procure, annuncia 18 arresti in un’indagine partita da Germania e Lussemburgo, con interventi anche in Italia. Fra il 2016 e il 2021 tre reti avrebbero addebitato su milioni di carte di credito falsi abbonamenti a siti di incontri, per adulti e di streaming. Il trucco: addebiti sotto i 50 euro al mese, con descrizioni oscure, verso siti che i motori di ricerca non trovano. Il danno stimato è di almeno 300 milioni di euro. Fra gli arrestati ci sono cinque dirigenti di società di pagamento tedesche, accusati di aver aiutato le reti in cambio di commissioni. Gli arrestati sono sospettati, non condannati.
- Operation Endgame (13 novembre): autorità di dieci Paesi, coordinate da Eurojust ed Europol, hanno spento 1’025 server e sequestrato 20 domini di tre strumenti criminali: Rhadamanthys, un programma che ruba password e dati dal browser, dalla posta e dai portafogli di criptovalute, VenomRAT, che permette di comandare un computer a distanza e arrivava con email di phishing e finte pagine antivirus, e la rete di computer infetti Elysium. Il principale sospettato di VenomRAT è stato arrestato in Grecia.
Il nostro consiglio, dopo Chargeback: un addebito piccolo che non riconosci non va lasciato correre perché «sono solo pochi euro». Chiedi alla banca che cos’è e, se non è tuo, fai bloccare la carta e contesta l’addebito.
Da fuori Europa, il 14 novembre l’associazione di consumatori americana U.S. PIRG ha pubblicato il suo rapporto annuale sui giocattoli, con la prova di quattro giocattoli che parlano grazie all’intelligenza artificiale. Se pensi di regalarne uno a Natale, le domande da fare prima sono in Giocattoli con intelligenza artificiale.
Quali aggiornamenti non puoi rimandare?
Windows, Chrome, i telefoni Samsung e, per le aziende, i firewall WatchGuard.
- Windows (11 novembre): Microsoft corregge una falla del cuore di Windows già sfruttata: un programma dannoso già entrato nel computer può prendersi i pieni poteri. Controlla in Impostazioni, alla voce Windows Update, che gli aggiornamenti di novembre siano installati.
- Google Chrome (17 novembre): aggiornamento per una falla che Google sa già sfruttata. Chrome si aggiorna da solo, ma l’aggiornamento parte solo quando lo riapri: chiudilo e riaprilo, o vai su Aiuto, Informazioni su Google Chrome.
- Telefoni Samsung (10 novembre): il 7 novembre ricercatori di sicurezza hanno descritto LANDFALL, un programma spia per i telefoni Samsung Galaxy nascosto in immagini mandate, a quanto pare, via WhatsApp, usato contro persone precise in Medio Oriente. La falla era già stata corretta da Samsung nell’aggiornamento di aprile 2025. Il 10 novembre la CISA, l’agenzia di cybersicurezza statunitense, l’ha inserita fra le falle già sfruttate. Per te vuol dire una cosa sola: controlla in Impostazioni, Aggiornamento software, che il telefono sia aggiornato. Il nostro consiglio: un telefono che non riceve più aggiornamenti da molti mesi resta scoperto anche dalle falle già corrette.
- Firewall WatchGuard Firebox (12 novembre): la CISA ha inserito fra le falle già sfruttate una falla grave dei firewall WatchGuard, che permette di far eseguire comandi da internet senza password. Nel riepilogo settimanale del 16 novembre il CSIRT Italia ha segnalato che un esempio di attacco è pubblico. Se in ufficio c’è un firewall WatchGuard, chiedi a chi lo gestisce se è aggiornato.
Dove segnalo una truffa?
Prima in Svizzera, poi in Italia, a seconda di dove vivi o di dove è il tuo conto.
- Svizzera: segnala il messaggio, il negozio o la chiamata all’UFCS con il modulo online di report.ncsc.admin.ch, anche dal telefono. Un indirizzo di phishing si può segnalare anche su antiphishing.ch. Se hai pagato o dato i dati della carta, chiama subito la banca per bloccarla, poi telefona alla polizia cantonale per fissare un appuntamento e sporgere denuncia. Per una chiamata shock in corso, il numero è il 117.
- Italia: segnala sul sito del Commissariato di PS online della Polizia Postale, alla pagina commissariatodips.it/segnalazioni. Se hai pagato, blocca la carta con la banca e sporgi denuncia.
- Se hai comprato su un negozio falso: conserva la conferma d’ordine, le email e la pagina del negozio (una foto dello schermo basta). Chiedi alla banca se puoi contestare l’addebito: prima lo fai, meglio è.
Il Metodo 3V applicato al mese
| Fase | La lezione di novembre |
|---|---|
| Verifica: chi mi scrive o mi chiama davvero? | Impressum, numero del registro, logo del fisco, foto di un dirigente della Polizia: si copiano tutti. Controlli tu, da fuori |
| Validazione: la richiesta ha senso? | Un fisco che vuole collegarsi al tuo portafoglio, Apple che ti scrive per un iPhone ritrovato, chi si dice medico e chiede soldi per una parente: no |
| Velocità controllata: chi mi mette fretta? | «Offerta solo oggi», «paga in giornata», «poche ore per le cure»: è proprio lì che conviene rallentare |
Il metodo completo è nel libro «Sicurezza informatica per professionisti» e nella guida al Metodo 3V.
Domande frequenti
Mi è arrivato un SMS di Apple: il mio iPhone perso è stato ritrovato all'estero. È vero?
No. A novembre 2025 l'UFCS ha descritto proprio questi SMS: conoscono modello e colore del telefono perché i ladri li leggono dall'iPhone rubato, e il link porta a una falsa pagina di Apple per rubarti l'ID Apple e sbloccare il telefono. Apple non ti scrive per un ritrovamento. Non cliccare, tieni attiva la modalità smarrito e non togliere il telefono dal tuo account.
Un'email del fisco mi chiede di dichiarare le criptovalute entro oggi: cosa faccio?
Non cliccare. A novembre 2025 sono girate email false a nome del Cantone di Zurigo e dell'Agenzia delle Entrate su presunti obblighi fiscali per le criptovalute: chiedono dati, IBAN, soldi o il collegamento del tuo portafoglio digitale. Il fisco non ti chiede di collegare un portafoglio. Entra tu nel portale ufficiale o chiama l'ufficio delle imposte al numero che già conosci.
Un negozio online ha impressum e numero del registro di commercio svizzeri: posso fidarmi?
Non basta. A novembre 2025 l'UFCS ha segnalato siti falsi costruiti con i dati veri di aziende svizzere esistenti, prese dal registro di commercio. Cerca il nome del negozio insieme alla parola «truffa» o «recensioni», controlla da quanto tempo esiste e preferisci la fattura, come consiglia l'UFCS; se il negozio accetta solo il pagamento anticipato, rinuncia.
Sull'estratto conto c'è un addebito di pochi franchi o euro che non riconosco: è grave?
Va chiarito subito. Nel caso Chargeback, annunciato da Eurojust a novembre 2025, le reti addebitavano finti abbonamenti sotto i 50 euro al mese proprio perché nessuno ci facesse caso. Chiama la banca al numero sul retro della carta o scrivile dalla chat dell'app: se l'addebito non è tuo, fai bloccare la carta e chiedi di contestarlo.
Dicembre porta i regali di Natale e altri pacchi: i messaggi falsi aumenteranno ancora. Fra qualche settimana arriverà l’estratto conto della carta con gli acquisti di novembre: prenditi dieci minuti e leggilo riga per riga. Un addebito che non riconosci, anche di pochi franchi, è il segnale da seguire subito. Cosa è successo dopo lo trovi nella rassegna di dicembre.
