Ogni mese succedono decine di cose. Qui trovi quelle che possono toccare una famiglia o una piccola impresa in Svizzera o in Italia. Per i casi su cui abbiamo scritto un articolo c’è il link: lì trovi i dettagli e cosa fare.
Qual è stato il tema del mese?
Il telefono come esca: il messaggio ti spaventa, poi ti dà un numero da chiamare, e dall’altra parte c’è il truffatore. Non c’è un link da evitare, quindi i filtri della posta non servono. Al telefono ti chiedono i dati della carta, un codice, di accettare un pagamento TWINT o di installare un programma per «assisterti» a distanza.
- Svizzera, 15 settembre: l’UFCS segnala un’impennata di queste «truffe da richiamata», con numeri che iniziano con 021, 022, 026 e 071. Esempi veri: una fattura Migros da 765 franchi con dentro un vino da circa 250 franchi (che Migros nei suoi negozi non vende), un presunto accesso al conto UBS dal Portogallo, un addebito MediaMarkt via TWINT. Ne abbiamo scritto in Falsa fattura via email o PEC.
- Svizzera, 22 settembre: email autentiche di Google, poi la telefonata di un finto «supporto di Google» da un numero svizzero falsificato. Lo trovi in Mi ha chiamato il supporto di Google: è una truffa?.
- Ticino, 10 settembre: finti poliziotti, vedi sotto.
- Ovunque, 23 settembre: pagine false scritte apposta perché ChatGPT, Gemini e i riassunti IA di Google propongano il numero dei truffatori come assistenza ufficiale. I dettagli in Numero dell’assistenza chiesto a ChatGPT o a Google.
Cosa è successo in Svizzera?
Truffe al telefono, una nuova versione dello skimming senza apparecchi, dati delle targhe raccolti in massa e un nuovo progetto di legge sulla cibersicurezza.
- Il pagamento falso nel sito vero (1 settembre): nel negozio online di un servizio di consegna di cibo a domicilio qualcuno ha inserito di nascosto un pezzo di codice nella pagina di pagamento. Al posto di TWINT compariva l’opzione «Credit/Debit Card», con un modulo in inglese diverso dal resto del sito, che mandava i dati della carta ai truffatori. Se in un negozio che usi spesso la pagina di pagamento cambia aspetto o lingua, fermati e paga in un altro modo. Se vedi addebiti strani, contesta subito con la banca.
- Dati delle targhe (3 settembre): con il servizio di ricerca del detentore di un veicolo qualcuno ha raccolto in automatico numero di targa, nome e indirizzo, aggirando i limiti di richieste. Colpito anche il Ticino, dopo altri cantoni. I sistemi del Cantone non sono stati violati, la pagina «Elenco targhe» è stata disattivata e il Cantone non pagherà riscatti. Diffida di lettere, email e SMS con multe, tassa di circolazione, collaudo o pedaggi esteri da pagare subito.
- La carta da tagliare (8 settembre): un SMS «della banca» segnala movimenti sospetti e chiede di chiamare un numero. Al telefono un finto impiegato ti fa tagliare la carta senza rovinare il chip e te la fa spedire o consegnare a un «incaricato» che passa da casa. Il chip funziona ancora: in un caso sono spariti oltre 10’000 franchi. Nessuna banca ritira carte, chip o PIN a domicilio.
- Finti poliziotti con nomi veri (10 settembre): la Polizia cantonale ticinese avverte di telefonate di falsi agenti che usano i nomi di agenti reali, accusano di reati gravi e chiedono se in casa ci sono gioielli o oggetti di valore. Per sembrare credibili danno come recapito il numero vero delle segnalazioni della polizia (0848 25 55 55), che con loro non c’entra. Riattacca: la polizia non chiede mai queste cose al telefono. Per le urgenze c’è il 117.
- Chiamate shock agli anziani (reso noto il 18 settembre): arrestato il 16 a Thusis, nei Grigioni, un 31enne sospettato di truffe in Riviera e nel Mendrisiotto. Il copione: un finto medico dice che un parente è gravemente malato e servono subito soldi per le cure. L’arresto è partito dalla segnalazione di un privato alla centrale d’allarme. Se ti chiamano così, riattacca e chiama tu il parente al numero che conosci.
- SwissNovaChat e SwissNovaCare (1 settembre): l’associazione dei consumatori ACSI segnala che SwissNovaChat chiede 427 franchi l’anno per un «assistente IA» mai sottoscritto e che le richieste continuano attraverso Letterdata. La lettera di contestazione da copiare è in Fattura SwissNovaChat o SwissNovaCare da Letterdata.
- SRF (28 settembre): copiati i dati di contatto e organizzativi del 2020 di circa 340 collaboratori attuali ed ex della SRF; secondo la SRG niente password né dati bancari. È un promemoria anche per le PMI: i vecchi elenchi del personale vanno cancellati quando non servono più.
- Candidature infette (29 settembre): l’UFCS riceve sempre più segnalazioni di programmi malevoli installati durante una candidatura di lavoro o con il trucco «ClickFix» (la pagina ti chiede di copiare e lanciare un comando). Spiegato in Finto annuncio di lavoro.
Una nuova legge in arrivo (25 settembre): il Consiglio federale ha incaricato il DDPS di preparare una legge federale sulla cibersicurezza, ispirata al regolamento europeo sulla ciber-resilienza dei prodotti (Cyber Resilience Act, 2024). Riguarderà chi produce, importa o vende software e apparecchi (con il divieto di vendere prodotti non sicuri), con in più obblighi per proteggere i dati digitali importanti e per chi offre hosting e cloud. Il DDPS deve preparare entro giugno 2027 un progetto da mettere in consultazione: oggi non cambia niente, ma una PMI che vende apparecchi collegati a Internet farà bene a seguirla.
UFCS, il Consiglio federale intende creare una nuova legge sulla cibersicurezzaIl 29 settembre si è saputo che a inizio agosto il ransomware aveva colpito una parte dei server del Comune di Manno, ripartito grazie ai backup: la storia completa.
A fine settembre è stato attaccato anche un fornitore di software delle casse pensioni, ma la notizia è diventata pubblica a ottobre: la trovi nella rassegna di ottobre.
E in Italia?
Falsi rimborsi del fisco a raffica, la falsa Prefettura che ha ingannato Revolut, la truffa del CEO da 95 milioni, i video falsi del Governatore della Banca d’Italia e l’attacco al gestore dell’acqua di Pescara.
- Revolut (12-23 settembre): con richieste urgenti via PEC partite da un indirizzo vero di una Prefettura, i truffatori si sono fatti consegnare documenti e selfie di circa 680 clienti. Secondo la RSI, che riprende il Financial Times, sono soprattutto clienti in Svizzera. Il 18 settembre il Garante ha avviato una verifica sulle altre banche italiane e ha chiesto di controllare se hanno ricevuto messaggi dalla stessa casella PEC. Cosa fare se sei cliente: Revolut ha consegnato i dati dei clienti a una falsa Prefettura. E per sapere se i tuoi dati girano nel dark web: I miei dati sono finiti nel dark web?.
- Fideuram (25 settembre): un WhatsApp «del capo», la voce clonata di un avvocato conosciuto e email con i conti: 95 milioni partiti. Come fermarla con una procedura: Truffa del CEO con la voce clonata.
- Video falsi di Panetta (10 settembre): la Banca d’Italia avverte di videomessaggi creati con l’IA in cui il Governatore sembra consigliare investimenti, come già successo nel 2025 con Karin Keller-Sutter. Nessuna autorità lo fa: il video di Keller-Sutter o di Panetta è falso.
- Falso trading (7 settembre): la Polizia Postale di Crotone ha denunciato per ricettazione otto persone residenti a Roma, titolari di società che avrebbero messo a disposizione conti e carte per far girare i soldi. Un cittadino, attirato da un post sui social con «facili guadagni», aveva versato oltre 125’000 euro in tre mesi a sedicenti broker. Prima di versare, controlla che la società sia nei registri della Consob.
- ACA Pescara (notizia del 3 settembre): il gestore del servizio idrico dell’area di Pescara è sotto attacco dal 28 agosto. All’inizio l’azienda aveva escluso i dati dei clienti; a ottobre ha scritto agli utenti che potrebbero essere stati presi nome, codice fiscale, indirizzo della fornitura, email, telefono e numero del contatore. Se sei cliente, diffida di messaggi su bollette non pagate, rimborsi o verifiche del contatore.
Quali email false sono arrivate di più?
I falsi rimborsi dell’Agenzia delle Entrate, ogni settimana al primo posto, seguiti dalle multe false con la grafica di SEND e PagoPA. Sommando i quattro riepiloghi settimanali del CERT-AgID (dal 5 settembre al 2 ottobre), è un nostro calcolo, si arriva a 621 campagne con obiettivi italiani. Le più insidiose del mese:
- Rimborso TARI da 95 euro (3 settembre): siti con la grafica di PagoPA promettono il rimborso di un pagamento in eccesso della tassa sui rifiuti e alla fine chiedono numero, scadenza e codice della carta. I rimborsi veri non chiedono mai il codice della carta.
- Fascicolo Sanitario Elettronico e «Bonus Vacanze» (5-18 settembre): email che chiedono di «confermare» i dati per non perdere l’accesso al fascicolo, e un falso sito dell’Agenzia delle Entrate per un presunto «Bonus Vacanze». Accanto a SPID e CIE (le identità digitali italiane) offre l’accesso «Altro», che chiede foto della carta d’identità e della tessera sanitaria, le ultime tre buste paga, un selfie, telefono ed email: tutto quello che serve per chiedere un prestito a tuo nome.
- Bollo auto ACI e falso sito del Servizio Sanitario (19-25 settembre): il primo finge un bollo non pagato e chiede i dati della carta; il secondo installa un programma spia, diverso a seconda che tu lo apra da Android o da Windows.
- Per le PMI: un falso sito del Registro delle Imprese chiede ragione sociale, codice fiscale e IBAN dell’azienda, e le PEC di sollecito partite da caselle vere ma violate portano un allegato ZIP che infetta il computer (ne parla l’articolo sulla falsa fattura).
La Polizia Postale, il 25 settembre, ha aggiunto due avvisi: i siti clone costruiti con l’IA, quasi identici a quelli di banche ed enti (guarda l’indirizzo lettera per lettera, o digitalo tu), e le truffe sui biglietti dei concerti degli Oasis: il codice per acquistare è personale, non si compra e non garantisce il biglietto.
Polizia Postale, siti clone e intelligenza artificiale Polizia Postale, biglietti per concerti, occhio alle truffeCosa dicono i numeri e il Garante?
Secondo l’Agenzia per la cybersicurezza nazionale, a settembre gli eventi informatici in Italia sono saliti a 485, il 57% in più di agosto, con 235 incidenti. L’incidente con le conseguenze più pesanti: un ransomware (il programma che blocca i dati e chiede un riscatto) contro un polo ospedaliero con due sedi, che ha fatto chiudere temporaneamente una struttura. Il possibile punto d’ingresso è una falla in un apparecchio di rete di confine. Il rapporto dell’ACN sul mese è uscito il 26 ottobre.
Per le aziende che mandano messaggi promozionali, il Garante ha multato BBVA Italia per oltre 5,5 milioni di euro (decisione del 3 settembre): un cliente aveva detto no alle comunicazioni commerciali, nell’app e al servizio clienti, e per sette mesi ha continuato a riceverle. La banca ha parlato di un errore tecnico; per il Garante non basta che il «no» sia registrato in un sistema, deve essere rispettato ovunque. Se hai una newsletter o mandi SMS ai clienti, controlla che chi si cancella non riceva più niente da nessun canale.
ACN, Operational Summary di settembre 2026 Garante privacy, newsletter dell'11 settembre 2026 (BBVA Italia)Cosa è successo in Europa e nel mondo?
Le notizie che toccano anche noi.
- Aeroporti inglesi: a inizio settembre i dati dei clienti degli aeroporti di Manchester, Stansted ed East Midlands, rubati ad agosto, sono stati pubblicati online (circa 8,8 milioni di persone secondo Have I Been Pwned).
- Google e la posizione (21 settembre): l’autorità irlandese per la protezione dei dati ha multato Google per 403 milioni di euro per come ha usato, fra il 2018 e il 2020, i dati sugli spostamenti degli utenti raccolti con «Attività web e app» e «Cronologia delle posizioni». Il Garante italiano, che ha partecipato alla decisione, ne ha dato notizia il 30 settembre. Google ha annunciato ricorso. Vale la pena aprire le impostazioni dell’account Google e controllare cosa è attivo.
- Microsoft 365 (notizia del 24 settembre; attacchi di luglio-agosto): una campagna ha provato password su oltre 5’700 account ed è entrata solo in sette, tutti account dimenticati con la password di fabbrica. Cosa controllare in azienda.
- Webmail Roundcube (21 settembre): una falla chiusa a maggio è ora sfruttata. Se leggi la posta dal browser con questa pagina, chiedi al tuo hosting se è aggiornata: cosa fare.
- iPhone, iPad e Mac (28 settembre): Apple ha corretto una falla che potrebbe essere già stata usata in attacchi mirati. Aggiorna a iOS 26.7.1 o successivo: come controllare in due minuti.
Il Metodo 3V applicato al mese
| Fase | La lezione di settembre |
|---|---|
| Verifica: chi mi chiama davvero? | Un numero svizzero sul display, il nome di un agente vero, il recapito vero della polizia: tutto si può copiare |
| Validazione: la richiesta ha senso? | Nessuna banca ti fa tagliare la carta, nessun poliziotto chiede dei gioielli, nessun rimborso chiede il codice della carta |
| Velocità controllata: perché tanta fretta? | Il termine breve per «annullare» un acquisto serve a non farti pensare: riattacca e chiama tu il numero che hai già |
Dove segnalo una truffa?
- In Svizzera: compila il modulo dell’UFCS su report.ncsc.admin.ch (bastano pochi minuti, anche dal telefono). Se hai perso soldi o sei in pericolo, chiama la polizia cantonale (117) e sporgi denuncia.
- In Italia: segnala alla Polizia Postale su commissariatodips.it, e in caso di danno sporgi denuncia.
- Se hai dato i dati della carta: chiama subito la banca dal numero sul retro della carta o dalla chat nell’app, e falla bloccare. Più sei veloce, più è facile fermare i pagamenti.
- Se hai installato un programma su richiesta di uno sconosciuto: disinstallalo, scollega il computer da Internet e cambia le password da un altro dispositivo.
Domande frequenti
Cosa è successo di importante in sicurezza informatica a settembre 2026?
Il tema del mese sono le truffe che ti fanno chiamare un numero: falsi acquisti da annullare, finto supporto di Google, finti poliziotti in Ticino. In più il caso Revolut con la falsa Prefettura, la truffa del CEO Fideuram da 95 milioni, i falsi rimborsi del fisco italiano e le falle di iPhone e della webmail Roundcube.
La banca mi chiede di tagliare la carta e di spedirla: è normale?
No, è una truffa segnalata dall'UFCS a settembre 2026. Il finto impiegato ti fa tagliare la carta senza rovinare il chip, che funziona ancora, e se la fa consegnare. In un caso sono spariti oltre 10'000 franchi. Riattacca e blocca la carta chiamando il numero sul retro o dall'app.
Mi ha chiamato un poliziotto con un nome vero e mi ha dato il numero della polizia: posso fidarmi?
Non basta. In Ticino a settembre 2026 i truffatori usavano nomi di agenti reali e davano come recapito il numero vero della Polizia cantonale. La polizia non chiede mai al telefono se hai gioielli o soldi in casa. Riattacca e, se vuoi, chiama tu il 117.
Ho ricevuto un rimborso TARI o IRPEF via email: lo chiedo?
No. A settembre 2026 il CERT-AgID ha segnalato siti falsi con la grafica di PagoPA e dell'Agenzia delle Entrate che promettono rimborsi e alla fine chiedono il codice della carta. La tua situazione fiscale la controlli dal sito ufficiale, entrando con SPID o CIE, senza usare il link del messaggio.
Queste truffe non sono finite con il mese: a ottobre i dati rubati ai fornitori le hanno rese ancora più credibili, come racconta la rassegna di ottobre. Oggi stesso salva in rubrica i numeri veri della tua banca e dei tuoi familiari: è quello che ti servirà la prossima volta che qualcuno ti chiede di richiamare.
