Acquisti online.
Comprare, vendere e investire senza farsi truffare.

Perché il sito non può dirti se è vero?

Come riconosco un negozio finto prima di pagare?

Con cinque controlli fatti da fuori, in quest'ordine. Nel 2020 ho seguito una pubblicità che vendeva un tapis roulant a 79 euro: una ricerca per immagine mostrava lo stesso prodotto in vendita fra i 500 e i 750 euro. Cinque minuti, e la risposta c'era già.

1. Cerca il nome del sito con la parola «truffa», poi «recensioni», e leggi cosa dicono gli altri fuori dal sito. Le recensioni sul sito le scrive chi lo gestisce.
2. Guarda chi c'è dietro. Impressum, in Italia ragione sociale e partita IVA: un'azienda con un indirizzo vero. Una SA o Sagl deve esistere nel registro di commercio (zefix.ch), in Italia nel registro delle imprese. Da solo non basta: i dati veri si copiano.
3. Guarda quando è nato il dominio. Per i .ch scrivi nel browser rdap.nic.ch/domain/ seguito dal nome del sito e cerca «registration»; per i .it la data è nella ricerca pubblica di nic.it. Un negozio «dal 2015» con un dominio di tre settimane non sta in piedi.
4. Leggi le condizioni di reso prima del carrello: dove va rispedita la merce, chi paga, da dove parte. Un magazzino in Asia per una boutique «di Bellinzona» non torna.
5. Guarda prezzo e modo di pagare. Un prezzo molto sotto tutti gli altri si confronta con una ricerca per immagine. Se il sito accetta solo il pagamento anticipato con bonifico o TWINT, rinuncio.

Se un indirizzo non ti convince, puoi controllarlo anche su sito-ok.com, un servizio mio, gratuito, prima di inserire la carta. Il conto alla rovescia in pagina ha uno scopo preciso: non farti leggere le condizioni di reso.

Black Friday e Natale: le offerte finte arrivano con quelle vere

Fra fine novembre e dicembre si compra di più e in fretta, e chi truffa lo sa: email, SMS e pubblicità con sconti che imitano i negozi conosciuti. Nei negozi dove compri da anni non rifai l'indagine ogni volta: ci entri dall'indirizzo che hai salvato tu, non dal link dell'offerta, e guardi importo e destinatario. Il controllo completo lo fai sui siti nuovi, e lì ti consiglio la fattura o un servizio con protezione dell'acquirente, con la massima cautela se il sito accetta solo il pagamento anticipato: lo ha raccomandato anche l'UFCS in un avviso prima del Black Friday.

I biglietti per concerti ed eventi

Il 21 ottobre 2026 la polizia cantonale di Zurigo ha segnalato siti di biglietti dall'aspetto professionale: scegli la data e i posti, inserisci la carta e alla fine compare un messaggio di errore. Serve a farti credere che il pagamento non sia passato, così non ci pensi più; i dati della carta sono già partiti. La regola che taglia tutto: non cercare il sito dei biglietti. Parti dal sito dell'organizzatore o del teatro, scrivendo tu l'indirizzo, e segui il rivenditore ufficiale che indica. In Italia la Polizia Postale ricorda che il codice personale per accedere alla vendita non si compra.

Carta, TWINT, bonifico: cosa si recupera e cosa no?

Il metodo di pagamento è l'unica difesa che funziona anche dopo. Prima di pagare un sito che non conosci, chiediti: se va male, chi mi ridà i soldi?

E gli addebiti piccoli non si lasciano correre. Nel novembre 2025 Eurojust ha smantellato una frode da almeno 300 milioni di euro fatta con finti abbonamenti sotto i 50 euro al mese, scelti proprio perché nessuno ci facesse caso. Una volta al mese scorro l'estratto della carta: quello che non riconosco lo contesto subito.

La fattura per un servizio mai chiesto

Dalla primavera 2026 molte persone in Svizzera ricevono fatture e solleciti per SwissNovaChat o SwissNovaCare, due «assistenti di intelligenza artificiale» mai sottoscritti; poi l'incasso è passato a una ditta svizzera, con richiami fino a quasi 900 franchi. Non pago niente, nemmeno una parte «per chiudere», e non chiamo i numeri della lettera. Contesto una volta per raccomandata, chiedendo la prova del contratto, e conservo tutto. Se arriva un precetto esecutivo non lo ignoro: faccio opposizione a chi me lo consegna o, entro dieci giorni, all'ufficio d'esecuzione, e chiedo la conferma. La lettera pronta da copiare è nell'articolo su SwissNovaChat.

Pacchi, dogana e consegne false

Il messaggio del pacco funziona perché arriva quando un pacco lo aspetti davvero. Nel 2021 ho aperto, da un computer che uso solo per queste prove, il link di un SMS «pacco in giacenza»: un sito fatto meglio di tanti portali veri, con codice di tracciamento, opzioni di consegna, tasse doganali da pagare e infine la carta. Il logo somigliava a quello di un corriere famoso, con una lettera cambiata.

Oggi la stessa esca arriva anche di carta. A fine ottobre 2026 l'Ufficio federale della dogana ha avvisato di lettere in cassetta con il suo logo e un codice QR per pagare un pacco, oltre a email e SMS, a volte precedute dalla telefonata di un finto esperto doganale. Il codice porta a un sito che ruba la carta. La dogana non chiede pagamenti per email o SMS e non telefona in anticipo, né ai privati né alle aziende.

1. Aspetto davvero un pacco? Se non aspetti niente dall'estero, una richiesta di dazi è già un allarme.
2. Il numero di spedizione lo prendo dalla conferma del negozio, non dal messaggio, e lo controllo sull'app o sul sito del corriere aperti da me. Con la Posta i costi d'importazione si pagano nell'app o in «I miei invii».
3. Un codice QR che apre un sito per pagare non lo inquadro. La QR-fattura svizzera è un'altra cosa: si paga dall'app della banca, che mostra beneficiario e IBAN, e solo se corrisponde a qualcosa che aspetti.

Buoni, cofanetti e carte regalo

Il cofanetto lo compri a novembre, lo regali a Natale, lo attiva qualcun altro a marzo. È una catena lunga, e ogni anello ha un nome e un'email. Il 3 novembre 2026 Smartbox, la società dei cofanetti regalo, ha trovato un accesso non autorizzato a una delle sue piattaforme: nomi ed email dei clienti possono essere stati visti, secondo la società non carte di pagamento né password. A me la mail di avviso è arrivata.

Io mi aspetto mail a tema, e a dicembre ancora di più: «il tuo cofanetto sta per scadere, attivalo entro 48 ore», «per il disagio ti offriamo un buono, inserisci la carta per riceverlo». Sono previsioni mie, non messaggi già visti. Un buono che chiede la carta di credito non ha senso: un regalo non si paga. Se un messaggio parla del tuo cofanetto, apri il sito scrivendo l'indirizzo a mano e guardi nel tuo account. Chi ha attivato il cofanetto che hai regalato può ricevere le stesse mail false senza sapere niente: dirglielo è un minuto.

E le carte regalo sono per i regali, non per i pagamenti. Chi ti chiede di pagare qualcosa, o di «verificare» un conto, con i codici di una carta regalo, che sia un venditore, un ufficio o una persona conosciuta solo online, sta truffando: una volta letti i codici, i soldi spariscono.

Vendo sui siti di annunci: cosa possono rubarmi?

Il pericolo non è pagare. È il link che ti mandano per farti incassare. Il copione lo ha descritto la polizia cantonale di Zurigo il 25 marzo 2026. Il finto acquirente compra davvero l'oggetto su Ricardo, così ricevi la mail vera della piattaforma. Subito dopo arrivano una mail falsa «di Ricardo» e un WhatsApp: «hai ricevuto la conferma di pagamento?». Il link porta a una copia del sito, poi a pagine con la grafica della tua banca che chiedono numero e PIN TWINT. Con quelli prendono il tuo conto. La mail vera ti rassicura, quella falsa ti deruba.

L'UFCS ha aggiunto che il bersaglio preferito è chi pubblica il primo annuncio, perché non conosce ancora le comunicazioni vere. Vale per Tutti.ch e per ogni sito di annunci; in Italia è la stessa truffa su Subito e Marketplace, con il bonifico «bloccato» che per sbloccarsi chiede 250 euro. C'è anche la versione con l'allegato: una «ricevuta TWINT» compressa che contiene un programma che ruba le password salvate nel browser. E dal 9 ottobre 2026 i messaggi possono citare il tuo indirizzo vero: da Ricardo sono stati copiati nomi, indirizzi e telefoni di circa 890'000 account (non email né password).

Chi vende biglietti ha un rischio in più: il finto acquirente chiede la foto del biglietto «per verificare», si prende il codice QR e sparisce. La foto di un biglietto con il QR, e la copia della carta d'identità, non le mando a nessuno. Chi in famiglia vende online spesso non legge guide: il messaggio qui sotto glielo giri tu.

Lo stesso trucco cambia scusa: il finto rimborso dell'hotel su TWINT, la finta banca che fa appoggiare la carta al telefono. E una variante va all'incontrario: chi ti chiede di far passare soldi sul tuo conto per conto suo, magari pagandoti, ti sta usando come money mule. In Svizzera il codice penale punisce anche chi doveva presumere che quei soldi venissero da un reato.

Investimenti e trading: il sito bello, il prelievo che non arriva

È la truffa che in Svizzera fa i danni più grandi di tutte, scrive l'UFCS nel rapporto semestrale del 30 marzo 2026. Le denunce registrate dalla statistica criminale sono passate da 1'231 nel 2021 a 2'854 nel 2025; la quota di casi risolti è scesa dal 22,6% al 4,3%, e quasi una persona danneggiata su due ha più di 60 anni.

I passi sono sempre gli stessi. Una pubblicità sui social porta a un finto articolo di giornale con un personaggio famoso. Un primo versamento piccolo, di solito 250 franchi o euro. Un «consulente» gentile che ti richiama per settimane, mentre sulla piattaforma il capitale cresce: sono numeri scritti da chi ti sta truffando. Poi altri soldi, a volte con un programma di assistenza a distanza installato «per aiutarti». Quando chiedi di prelevare compaiono tasse, commissioni, una «quota di sblocco». Se per ritirare i tuoi soldi ti chiedono di pagare, hai la risposta.

«Ma lo diceva il presidente in un video»

Nel giugno 2025 una donna di circa ottant'anni, nell'est della Francia, vede una pubblicità in cui Emmanuel Macron e Bernard Arnault lodano una piattaforma: il video del presidente è falso, creato con l'intelligenza artificiale. Fra giugno e luglio versa 25'000 euro, tutti i suoi risparmi. Cambia solo la faccia: in Svizzera, nell'estate 2025, l'UFCS ha ricevuto numerose segnalazioni di video falsi con la presidente della Confederazione Karin Keller-Sutter; in Italia la Banca d'Italia, il 10 settembre 2026, ha ripetuto l'avviso sui video che imitano il governatore Fabio Panetta. Nessun presidente, nessuna ministra e nessun miliardario ti consiglia dove mettere i soldi in un annuncio. Non lascio il numero nel modulo, e non inoltro il video «per chiedere se è vero»: così lo faccio girare.

Il controllo prima di versare un franco

Uno solo, e non lo fa il sito: cerco io il nome della società fra gli istituti autorizzati, aprendo il sito della FINMA in Svizzera, che pubblica anche una lista di allerta, o della Consob in Italia, che dal 2019 ha fatto oscurare oltre 1'700 siti abusivi. Se non c'è, non verso. Se c'è, la chiamo ai recapiti dell'elenco, non a quelli di chi mi ha cercato: i truffatori usano anche nomi di società vere. Un investimento vero resta lì anche dopo una settimana di verifiche. Io in casa ho una regola: prima di investire se ne parla insieme.

Criptovalute: la seconda ondata

Il 29 ottobre 2026 dalla piattaforma Binance sono stati rubati circa 6,3 miliardi di dollari in criptovalute; Binance ha dichiarato che le perdite sono a suo carico. Il rischio per i clienti è venuto dopo, come sempre: messaggi «di Binance» che chiedono di verificare il conto da un link per il rimborso, di spostare i fondi in un «portafoglio sicuro», di dare la frase di recupero. Quelle 12 o 24 parole sono la chiave dei tuoi soldi: nessuna piattaforma, nessun tecnico e nessuna polizia te le chiede. E l'oggetto che custodisce la chiave si compra dal produttore, nuovo, mai sottocosto: nell'ottobre 2026 Ledger ha confermato portafogli fisici manomessi, venduti da un rivenditore, con un componente nascosto che leggeva le 24 parole. Se nella scatola trovi parole già scritte, non usarlo.

Il falso trading si salda spesso alla truffa sentimentale: dopo mesi di messaggi, la persona conosciuta online propone «un investimento da fare insieme». A chi conosci solo online non mandi soldi, carte regalo o criptovalute, per quanto la storia sia commovente.

La seconda truffa: «recuperiamo i tuoi soldi»

Chi ha perso soldi viene cercato di nuovo. Un finto avvocato, un finto ufficio estero, perfino un finto agente di Europol telefonano per dire che il denaro è stato ritrovato e che per riaverlo bisogna prima pagare le tasse del Paese dove è bloccato. Le segnalazioni di questa truffa di recupero all'UFCS sono passate da 145 nel primo semestre 2025 a 325 nel secondo. Europol, la polizia e i tribunali non chiedono soldi per restituirti i tuoi; nemmeno le «agenzie» che rintracciano criptovalute e ti scrivono per prime. Riattacco, e il contatto lo aggiungo alla denuncia.

Ho un negozio online: cosa tocca a me?

«Il negozio me l'ha fatto l'agenzia, la sicurezza è roba loro.» È vero a metà. L'agenzia installa e aggiorna, se è nel contratto. I clienti però hanno comprato da te, e i loro dati li hanno lasciati a te.

1. Sapere su cosa gira il negozio. L'11 agosto 2026 Adobe ha corretto una falla di Adobe Commerce e Magento che permetteva di entrare negli account dei clienti senza password, e i primi tentativi di sfruttarla sono arrivati subito. Molti titolari non sanno su che piattaforma gira il proprio negozio: ti consiglio di chiederlo a chi l'ha fatto, per iscritto, insieme alla domanda «la correzione è installata?».
2. Chiedere anche del motore sotto. Con le falle PHP2Shell di ottobre 2026, aggiornare WordPress non bastava: PHP è il motore di WordPress e di molti negozi online, e spesso la sua versione la gestisce l'hosting. Ti consiglio di chiarire per iscritto chi è responsabile degli aggiornamenti.
3. Non farsi aggiornare da un'email. Dopo ogni falla famosa arrivano email e telefonate «dall'hosting» con un link per aggiornare. Io apro il pannello da solo, o chiamo il fornitore al numero che ho già.
4. Rendere facile distinguerti da un negozio finto. Impressum, sede e condizioni di reso ben visibili sono proprio i dati che i clienti attenti cercano. Nell'agosto 2026 l'UFCS ha scritto che i criminali copiano con cura la presenza in rete delle aziende per rubare le carte dei clienti negli shop online.
5. Pensare ai clienti prima che succeda. Se i dati escono, la prossima mail falsa avrà il tuo logo e il loro nome. Un testo già pronto per avvisarli, e una regola scritta («non vi chiederemo mai la carta per email»), valgono più di qualsiasi scusa dopo.

Il tuo sito può diventare la trappola per i clienti di altri: nel 2020 ho segnalato una falsa pagina di pagamento che rubava carte di credito ospitata su un sito WordPress violato di un'attività di Londra, e ho avvisato il titolare. Per sapere cosa vede chi guarda il tuo dominio da fuori c'è controllosicurezza.com, il test che ho creato per le aziende. Per le domande da fare al fornitore c'è il percorso «Posta, sito e negozio online» nella pagina per le aziende.

Ho già pagato: cosa faccio adesso?

In quest'ordine, e da quel momento nessun altro pagamento, qualunque cosa ti dicano: tasse, sblocco, spese di reso, recupero.

1. La banca, subito. Al numero sul retro della carta o dall'app, non a un numero trovato sul sito. Fai bloccare la carta che hai usato, anche se non vedi ancora addebiti, e chiedi se il pagamento si può contestare o richiamare. Per TWINT e bonifici chiama lo stesso, subito, e chiedi il richiamo: la restituzione non è garantita.
2. Le prove. Indirizzo del sito, conferma d'ordine, schermate, chat, mail, estratto conto. Prima di bloccare un profilo, fotografalo. La mail falsa non la cancelli: serve a chi indaga.
3. Se hai scritto una password sul sito falso, la cambi sul sito vero e ovunque la usi uguale. Se vuoi sapere se una tua password gira già fra quelle rubate, c'è passwordrubata.com, un servizio mio.
4. La denuncia. In Svizzera alla polizia cantonale, e puoi segnalare il caso all'UFCS su report.ncsc.admin.ch; un negozio con indicazioni false sull'origine si segnala alla SECO. In Italia alla Polizia Postale o ai Carabinieri: la segnalazione sul sito della Polizia Postale aiuta, ma non è una denuncia.
5. Non pagare spese di reso esorbitanti prima di aver chiesto alla banca se puoi contestare l'addebito, e conserva ogni prova.

Dopo la telefonata, alla banca conviene lasciare anche una traccia scritta, dall'app o per lettera:

E se ti vergogni, sappi che è proprio sulla vergogna che contano: la Polizia Postale scrive che le vittime delle truffe sentimentali denunciano spesso tardi proprio per vergogna. Chi è cascato in una truffa ben costruita non è stupido. Ha incontrato un sito fatto per non essere riconosciuto.

Il Metodo 3V applicato ai soldi online

Il Metodo 3V del libro «Sicurezza informatica per professionisti»: Verifica chi ti sta parlando. Valida se la richiesta ha davvero senso. Agisci a Velocità Controllata.

Questo tema ha un capitolo intero nel mio libro che sta per uscire, «Come difendersi dagli hacker» (ora in revisione editoriale), con la checklist da tenere accanto al computer.