Phishing: come riconoscerlo.
E cosa fare se hai già cliccato.

Cos'è il phishing?

Che forme prende il phishing oggi?

11 situazioni reali, raccontate negli articoli del sito con le fonti. Per ciascuna: cosa succede, in due righe, e dove leggere il resto. Tutti gli articoli sul tema sono nella categoria Phishing.

Le truffe con la voce clonata e i video falsi hanno una guida a parte: Intelligenza artificiale e truffe.

Come riconosco un messaggio di phishing?

Guarda cosa ti chiede, non come si presenta. Logo, italiano perfetto, numero vero sul display e perfino i tuoi dati giusti si possono copiare. La richiesta no: è lì che il truffatore si scopre.

1. Ti chiede qualcosa che chi è vero non chiede così: la password, il codice arrivato per SMS, i dati della carta, di installare un programma, di inquadrare un codice QR per pagare, di appoggiare la carta al telefono.
2. Ti mette fretta o paura: «scade oggi», «valido due giorni», «il conto verrà bloccato», «il sito verrà sospeso». La fretta serve a non farti controllare.
3. Ti promette soldi: un rimborso, una vincita, un pagamento da ricevere. Per ricevere soldi non si inseriscono mai credenziali né codici.
4. Il link non porta dove dice: sul computer passa il mouse sopra il link senza cliccare e leggi l'indirizzo vero. Se non sei sicuro, non aprirlo: controlla l'indirizzo gratis su sito-ok.com.

Tre cose che non sono una prova che il messaggio sia vero: il lucchetto accanto all'indirizzo (dice solo che la connessione è cifrata, ce l'hanno quasi tutti i siti falsi), una PEC (può partire da una casella vera ma rubata) e il numero sul display (si falsifica).

Come mi difendo dal phishing?

Il Metodo 3V, prima di ogni clic

Il Metodo 3V del mio libro «Sicurezza informatica per professionisti» sono tre domande da farti prima di agire:

1. Verifica: chi mi scrive o mi chiama è davvero chi dice di essere? Lo controllo richiamando io il numero che ho già, o aprendo io l'app.
2. Validazione: anche se fosse davvero lui, la richiesta ha senso? La banca non chiede codici, la dogana non fa pagare con un QR in una lettera, il fornitore non cambia IBAN con un'email.
3. Velocità controllata: chi mi mette fretta, e perché? Un rimborso vero aspetta i cinque minuti che ti servono per verificare.

Le abitudini che ti proteggono

Ho cliccato: cosa faccio adesso?

Niente vergogna, e niente attese. Queste trappole sono costruite per ingannare persone attente. Ogni ora conta: segui il caso che ti riguarda.

1. Hai solo aperto il link, senza scrivere niente: chiudi la pagina e non tornarci. Di solito non succede altro.
2. Hai scaricato un file, installato un'app o incollato un comando: scollega il dispositivo da Internet (Wi-Fi spento, cavo staccato) e fallo controllare da un tecnico. Le password poi le cambi da un altro dispositivo.
3. Hai scritto una password: cambiala subito sul sito vero, aperto da te, e ovunque usavi la stessa. Attiva la verifica in due passaggi e, nelle impostazioni dell'account, scegli «esci da tutti i dispositivi».
4. Hai dato i dati della carta, un codice della banca o hai lasciato entrare un «tecnico» nel computer: chiama subito la banca dal numero sul retro della carta o dall'app e fai bloccare la carta. Con una banca solo online, usa la chat di assistenza nell'app. Fallo il giorno stesso: per il rimborso conta. In Italia la banca deve rimborsare in fretta (la sentenza UE spiegata), in Svizzera conta il contratto.
5. Hai dato il codice di WhatsApp: segui i passi per riprendere l'account e avvisa i tuoi contatti di non mandare soldi.
6. Era il computer o la casella di lavoro: avvisa subito chi gestisce l'informatica, anche se ti sembra di aver rimediato. Prima lo sanno, meno si allarga.
7. Conserva le prove: schermate del messaggio, numero o indirizzo del mittente, orari, ricevute dei pagamenti.

Dove segnalo il phishing?

1. In Svizzera: all'Ufficio federale della cibersicurezza (UFCS) con il modulo online di segnalazione: scegli il tipo di truffa e descrivi cosa è successo, bastano pochi minuti. Un sito falso lo puoi segnalare anche su antiphishing.ch. Se hai perso soldi o dato dati, la denuncia si fa alla polizia cantonale.
2. In Italia: alla Polizia Postale, con le segnalazioni online del Commissariato di P.S., oppure con una denuncia in un ufficio della Polizia Postale o in questura.

Segnala anche se non hai perso niente: le segnalazioni servono alle autorità per avvisare gli altri e far chiudere i siti falsi.

Quanto è diffuso il phishing?

È fra le truffe più segnalate in Svizzera, in Italia e in Europa. I numeri ufficiali più recenti:

• Svizzera, polizia: nel 2025 sono stati registrati 7'409 reati di phishing, contro 5'930 nel 2024 (+24,9%); nel 2020 erano 642. Fonte: UST, criminalità digitale: modi operandi e persone danneggiate 2020-2025, 23 marzo 2026.
• Svizzera, UFCS: nel primo semestre 2026 ha ricevuto 8'877 segnalazioni di phishing, su 27'128 segnalazioni volontarie. Il metodo di phishing più segnalato ora è quello per telefono, e da maggio è aumentato molto il phishing legato a TWINT. Fonte: UFCS, rapporto semestrale 2026/I, 24 agosto 2026.
• Italia, Polizia Postale: nel 2025 il portale del Commissariato di P.S. online ha raccolto oltre 32'000 segnalazioni di phishing (dati al 21 dicembre 2025). Fonte: Polizia Postale, report annuale 2025, 10 gennaio 2026.
• Unione europea, ENISA: su quasi 4'900 incidenti analizzati fra luglio 2024 e giugno 2025, il phishing (comprese telefonate, email infette e pubblicità false) è la via d'ingresso in circa il 60% dei casi. Fonte: ENISA Threat Landscape 2025, ottobre 2025 (in inglese).

Denunce alla polizia, segnalazioni all'UFCS e incidenti analizzati da ENISA sono tre cose diverse: non si sommano e non si confrontano fra loro. E molte vittime non denunciano, quindi i numeri veri sono probabilmente più alti. Il quadro completo è nella retrospettiva del 2025.