Social engineering: come ti manipolano.
E come ti fermi in tempo.

Cos'è il social engineering?

Con quali leve ti manipolano?

Quasi sempre con una di queste sei, spesso con due o tre insieme. Per ciascuna: un caso vero, raccontato in un articolo del sito con le fonti e l'audio da ascoltare.

Il segnale comune è uno: ti chiedono di agire subito, da solo, senza dirlo a nessuno. «È riservato», «non ne parli con nessuno», «non riattacchi»: chi è vero non ha bisogno di isolarti.

Se riconosco la voce o vedo il volto, posso fidarmi?

No: voce e volto non bastano più come prova. Con l'intelligenza artificiale bastano poche decine di secondi di registrazione, presi da un audio o da una storia sui social, per copiare una voce. Ho fatto la prova di persona: con 25 secondi della mia voce ne è uscita una copia molto simile. Anche un volto si può imitare in videochiamata.

Non è un'ipotesi: nel primo semestre 2026 l'UFCS ha descritto una truffa del capo in cui i criminali hanno imitato la voce del superiore per far fare pagamenti ai collaboratori, e truffe sentimentali con voci imitate al telefono e videochiamate false. Quindi non serve allenare l'orecchio: serve verificare per un'altra strada, richiamando un numero che hai già o chiedendo la parola d'ordine. La guida Intelligenza artificiale e truffe mostra come funzionano voci e video falsi.

Come fanno a sapere il mio nome, il mio indirizzo, il mio conto?

Dalle fughe di dati e da quello che pubblichiamo. A ottobre 2026 sono usciti nomi, indirizzi e telefoni di circa 890'000 account di Ricardo, i dati delle prenotazioni dei campeggi TCS e, da un fornitore delle casse pensioni, possono essere usciti anche salario e averi previdenziali. Il resto lo trovano sui social: la scuola dei figli, le vacanze, il nome del cane (cosa non condividere).

Un messaggio o una telefonata con i tuoi dati giusti sembra vero. Ma un dato giusto prova solo che qualcuno lo conosce, non chi è. Puoi controllare gratis se la tua email è finita in una fuga di dati su passwordrubata.com.

Cos'è il Metodo 3V e come lo uso?

1. Verifica: chi me lo chiede è davvero chi dice di essere? Non lo stabilisci dal nome, dal numero sul display, dalla voce o dal volto: si copiano tutti. Lo controlli tu, per un'altra strada: riagganci e richiami il numero che hai già, apri tu l'app, chiedi la parola d'ordine.
2. Validazione: anche se fosse davvero lui, la richiesta ha senso? È la domanda che ferma gli inganni che superano la prima, per esempio quando la voce è clonata bene o la casella del capo è stata davvero rubata. La banca non chiede codici, la polizia non ritira soldi o gioielli a casa, il capo non chiede bonifici segreti fuori procedura, chi ti ama non ti chiede di svuotare il conto.
3. Velocità controllata: chi mi mette fretta, e perché? Non vuol dire essere lenti. Vuol dire non accettare la fretta imposta da fuori e riprenderti il tempo per decidere con calma. Una richiesta vera aspetta i cinque minuti che ti servono per richiamare.

Come mi difendo, a casa e al lavoro?

Con poche regole decise prima, quando sei calmo. Nel momento della telefonata non si ragiona bene: per questo la regola deve essere già pronta.

Il testo pronto della regola per i pagamenti, da copiare e far firmare, è nell'articolo sul caso di Svitto. Fra direzione e amministrazione vale la stessa regola della parola d'ordine di famiglia: solo a voce, conosciuta solo da chi ordina e da chi esegue i pagamenti, cambiata quando qualcuno lascia l'azienda.

C'è anche il rovescio: i truffatori possono usare il nome della tua azienda per ingannare clienti e fornitori, con email che sembrano partire da voi.

È successo: cosa faccio adesso?

Niente vergogna, e niente attese. Questi copioni sono fatti da professionisti per ingannare persone attente. Chi agisce subito ha più possibilità di fermare il danno.

1. La telefonata è ancora in corso o qualcuno sta venendo a ritirare soldi o gioielli: riaggancia e chiama il 117 in Svizzera o il 112 in Italia. Non aprire a nessuno.
2. Hai fatto un bonifico o dato i dati della carta: chiama subito la banca dal numero sul retro della carta o dall'app (con una banca solo online, la chat di assistenza) e chiedi di bloccare la carta e di richiamare il pagamento. Fallo il giorno stesso.
3. Hai lasciato entrare un «tecnico» nel computer o installato un'app: scollega il dispositivo da Internet (Wi-Fi spento, cavo staccato) e fallo controllare. Le password poi le cambi da un altro dispositivo.
4. Hai dato una password o un codice: cambia la password sul sito vero, aperto da te, attiva la verifica in due passaggi e scegli «esci da tutti i dispositivi». Se era un codice della banca, chiama subito la banca.
5. Ti ricattano con foto o video: non pagare e non rispondere più. Salva le prove, blocca il contatto, segnala il profilo alla piattaforma. Per un minorenne: 147 in Svizzera, 19696 in Italia (cosa fare passo per passo).
6. È successo al lavoro: avvisa subito il titolare o chi gestisce l'informatica, anche se ti sembra di aver rimediato.
7. Conserva le prove: numero che ha chiamato, orari, schermate dei messaggi, ricevute dei pagamenti. Servono alla banca e alla polizia.
8. Diffida di chi ti promette di recuperare i soldi a pagamento: dopo una truffa arriva spesso la seconda.

Dove lo segnalo?

1. In Svizzera: all'Ufficio federale della cibersicurezza (UFCS) con il modulo online di segnalazione: scegli il tipo di truffa e descrivi cosa è successo, bastano pochi minuti. Se hai perso soldi, dato dati o ricevi minacce, la denuncia si fa alla polizia cantonale. Se la truffa è in corso, chiama il 117. La polizia ticinese ha una pagina di consigli contro le truffe telefoniche.
2. In Italia: alla Polizia Postale, con le segnalazioni online del Commissariato di P.S., oppure con una denuncia in un ufficio della Polizia Postale o in questura. Se la truffa è in corso, chiama il 112.

Segnala anche se non hai perso niente. A maggio 2026 a Lugano gli arresti per le chiamate shock sono arrivati grazie a una segnalazione fatta subito alla centrale della polizia.

Quanto sono diffuse queste truffe?

Molto, e colpiscono tutte le età in modo diverso. I numeri ufficiali più recenti:

• Svizzera, polizia: nel 2025 sono stati registrati 1'708 reati di falso supporto tecnico (1'570 nel 2024): delle 1'175 persone danneggiate, 640 avevano più di 70 anni. Le truffe sentimentali sono state 692 (639 nel 2024) e le truffe del CEO (il finto capo che chiede un bonifico) 560 (504 nel 2024). Nei ricatti sessuali per soldi, 321 delle 1'021 persone danneggiate avevano fra 10 e 17 anni: quasi un terzo. Fonte: UST, criminalità digitale: modi operandi e persone danneggiate 2020-2025, 23 marzo 2026.
• Svizzera, UFCS: nel primo semestre 2026 le segnalazioni di telefonate minatorie a nome di false autorità sono state 3'817, il 64% in meno rispetto al primo semestre 2025. Secondo l'UFCS ha probabilmente aiutato la regola contro i numeri falsificati. Le truffe restano la categoria più segnalata (10'759 su 27'128), e i truffatori usano ormai l'intelligenza artificiale per testi, foto, video e voci. Fonte: UFCS, rapporto semestrale 2026/I, 24 agosto 2026.
• Italia, Polizia Postale: nel 2025 ha trattato 27'085 procedimenti per truffe e altri reati economici online, con somme sottratte per oltre 269 milioni di euro (dati al 21 dicembre 2025). Il report segnala che la truffa del CEO si evolve con la voce e i movimenti del dirigente ricreati con l'intelligenza artificiale. Fonte: Polizia Postale, report annuale 2025, 10 gennaio 2026.

Denunce alla polizia e segnalazioni all'UFCS sono due conteggi diversi: non si sommano e non si confrontano fra loro. Molte vittime, soprattutto di truffe sentimentali e ricatti, non denunciano per vergogna: i numeri veri sono probabilmente più alti. Il quadro completo è nella retrospettiva del 2025.