Phishing: cos'è, come riconoscerlo e cosa fare se hai cliccato

Il phishing è una truffa in cui un messaggio ingannevole, che sembra arrivare da una banca, da una società di carte di credito o da un sito con accesso riservato, ti invita a "confermare" i tuoi dati. Il link rimanda a una copia del sito vero, allestita apposta: se inserisci i tuoi dati riservati, finiscono ai criminali, spiega la Polizia Postale. Oltre all'e-mail si usano gli SMS (smishing), le telefonate (vishing), le chat e i social. Nel 2025 il Commissariato di P.S. Online ha gestito oltre 32.000 segnalazioni di phishing, secondo il report annuale della Polizia Postale.

Che cosa cercano i truffatori

Il Garante per la protezione dei dati personali elenca il bottino tipico: nome utente e password, codici di accesso, numeri di conto, dati del bancomat e della carta di credito. Con questi dati si possono fare acquisti a tuo nome, prelevare denaro dal conto o usare le tue credenziali per altre attività illecite. A volte il messaggio non chiede nulla, ma ti fa aprire un allegato: false fatture, contravvenzioni o avvisi di consegna che installano un malware, per esempio un trojan bancario o un programma che registra ciò che digiti.

I segnali che devono metterti in allarme

• Fretta e minacce: il conto verrà chiuso, la multa aumenterà, il pacco tornerà indietro se non agisci subito. Il 16 ottobre 2026 il CERT-AgID ha descritto un SMS su una presunta multa sul Grande Raccordo Anulare: 17 euro da pagare in giornata per evitare una sanzione più alta e la perdita di punti, con un link a un dominio che imitava quello della Polizia di Stato (poliziadistato.it).
• Una richiesta di dati riservati: password, PIN, codici ricevuti via SMS, numero della carta. La Banca d'Italia lo ripete: la banca non ti chiederà mai i dati che usi per i pagamenti online o l'home banking, né via e-mail né per telefono. Per il Garante, in generale, nemmeno enti pubblici, aziende e grandi catene di vendita chiedono dati personali per e-mail, SMS, social o chat.
• Un mittente o un link che non tornano: un indirizzo che imita quello vero, un dominio con una lettera in più. Su computer passa il puntatore sul link prima di cliccare per leggere l'indirizzo reale; su iPhone tieni premuto il link.
• Allegati che non aspettavi, soprattutto fatture, avvisi di consegna o comunicazioni legali.
• Un numero o un indirizzo identici a quelli della tua banca: con lo spoofing i truffatori camuffano l'origine di e-mail, SMS e telefonate.

Non contare sugli errori di grammatica. Secondo il CERT-AgID, l'intelligenza artificiale permette ormai di scrivere messaggi di phishing corretti e adattati a chi li riceve; la Polizia Postale segnala siti clone graficamente identici agli originali, che compaiono anche tra i risultati di una ricerca online. Una grafica curata o un logo conosciuto non garantiscono nulla: controlla l'indirizzo, perché anche una sola lettera diversa può nascondere un sito contraffatto.

Hai cliccato o inserito i tuoi dati? Cosa fare subito

1. Se hai inserito i dati della carta o dell'home banking, contatta subito la banca attraverso i canali ufficiali, per esempio il numero sul retro della carta, e chiedi di bloccare la carta e le operazioni sospette.
2. Cambia la password che hai digitato sul sito falso, e quella di tutti gli account dove usavi la stessa; poi attiva l'autenticazione a due fattori.
3. Se hai aperto un allegato o installato qualcosa su richiesta del messaggio, controlla il dispositivo con un antivirus affidabile e aggiornato.
4. Annota l'indirizzo (URL) del sito falso e conserva il messaggio: ti serviranno per la denuncia.
5. Sporgi denuncia presso un ufficio di Polizia: è ciò che indica la Polizia Postale a chi ha inserito i propri dati su un sito copia. Se non hai inserito nulla, basta una segnalazione.
6. Se dal conto o dalla carta sono usciti soldi che non hai autorizzato, chiedi il rimborso alla banca. Per la Banca d'Italia la denuncia non è indispensabile per ottenerlo, ma aiuta a combattere le truffe; il rimborso, però, spetta solo se hai agito con diligenza, e di norma non se hai comunicato tu i codici al telefono.

Dove segnalare il phishing in Italia

• Alla Polizia Postale, con il modulo "Segnala online" del Commissariato di P.S. Online, argomento Phishing: indichi l'URL del sito contraffatto e quello del sito originale, poi confermi dal link che ricevi via e-mail. Non è una denuncia né un servizio di emergenza: per le urgenze chiama il 112 o il 113.
• Al CERT-AgID, inoltrando il messaggio originale a malware@cert-agid.gov.it, con il testo completo e il link ricevuto.
• All'azienda imitata. Apple, per esempio, riceve le e-mail sospette che sembrano sue all'indirizzo reportphishing@apple.com; in Gmail apri il messaggio, fai clic su Altro accanto a Rispondi e scegli Segnala phishing.

Un antivirus protegge dal phishing?

In parte. Il Garante consiglia di installare e tenere aggiornato un antivirus che protegga anche dal phishing e di controllare che il filtro antispam della posta sia attivo. Sono un aiuto, non una garanzia: per Apple, davanti a un messaggio o a una chiamata sospetti, l'opzione più sicura è presumere che si tratti di una frode e contattare direttamente l'azienda.

Il link più sicuro, in un messaggio che non aspettavi, è quello che non apri. Vai tu sul sito o sull'app ufficiale: se il problema esiste davvero, lo troverai lì.