Phishing: cos'è, come riconoscerlo e come difendersi

Il phishing è una truffa in cui qualcuno si spaccia per la tua banca, per un ente pubblico, per un corriere o per un servizio che usi ogni giorno, con un solo obiettivo: convincerti a consegnare password, dati della carta o codici di accesso. Il nome richiama la pesca, perché il truffatore lancia un'esca e aspetta che qualcuno abbocchi. Qui trovi come funziona, quali segnali osservare e cosa fare se hai già cliccato.

Phishing: cos'è e perché funziona così bene

Nella forma più classica il phishing è un'email che sembra legittima e ti chiede di inserire dati personali su una pagina che imita quella vera. Con quei dati il truffatore può entrare nei tuoi account o autorizzare pagamenti a tuo nome. La stessa tecnica oggi passa anche da SMS, chat, social network e telefonate.

Il trucco è quasi sempre psicologico. Il messaggio ti mette fretta e ti fa paura: un conto che sta per essere bloccato, una multa da pagare subito, un pacco che torna indietro. Quando sei agitato controlli meno, e questo è esattamente ciò che vuole chi ti scrive.

Non si tratta di casi isolati. Nella sintesi settimanale del CERT-AgID sul periodo dal 31 ottobre al 6 novembre 2026 risultano 217 campagne malevole, 187 delle quali rivolte espressamente all'Italia. Il tema più usato erano le false multe, con 98 campagne, e in 87 casi i truffatori si presentavano a nome di SEND, il servizio pubblico per le notifiche digitali.

Le forme più comuni: email, SMS, telefonate e QR code

Il phishing cambia nome a seconda del canale, ma lo schema resta lo stesso. Questa tabella riassume le varianti che incontri più spesso.

Tipo	Canale	Esempio tipico	Segnale d'allarme
Phishing	Email	Account sospeso, finta multa, rimborso in attesa	Link a una pagina che chiede password o dati della carta
Smishing	SMS e app di messaggistica	Pacco in giacenza, bolletta non pagata	Link o numero da chiamare subito
Vishing	Telefonata	Finto operatore della banca che segnala un'anomalia	Richiesta di PIN o di un codice appena ricevuto
Spear phishing	Email o chat personalizzata	Finto collega o fornitore che chiede un pagamento	Dettagli veri usati per sembrare credibile
QRishing	Codice QR	QR stampato o inviato in un messaggio	Porta a un sito di accesso o di pagamento falso

Lo spear phishing merita una nota a parte: è la versione su misura, preparata per una persona precisa con nome, ruolo o fatti reali raccolti online. Proprio perché sembra scritto da qualcuno che ti conosce, è più difficile da smascherare.

I segnali per riconoscere un messaggio truffa

Nessun segnale da solo è una prova, ma quando ne vedi due o tre insieme conviene fermarsi. Questi sono i più comuni, in linea con i suggerimenti del Garante per la privacy:

Urgenza o minaccia: devi agire entro poche ore, altrimenti perdi il conto, il servizio o il pacco.
Richiesta di dati segreti: PIN, password, codici OTP o il codice di sicurezza della carta. Banche ed enti pubblici non li chiedono via SMS o chat.
Mittente strano: numeri con poche cifre, nomi che non corrispondono all'indirizzo email, numeri nascosti.
Link che non porta al sito ufficiale: l'indirizzo assomiglia a quello vero ma ha lettere in più, trattini o un dominio diverso.
Allegati inattesi: file compressi o documenti che non aspettavi possono contenere programmi dannosi.
Errori di lingua: frasi tradotte male o formule insolite sono spesso un indizio, anche se i messaggi più curati ne sono privi.

Una domanda aiuta più di tutte: il mittente, anche se lo conosci, ti farebbe davvero questa richiesta in questo modo? Se hai un dubbio, contattalo tu su un canale che conosci già.

Come difendersi dal phishing ogni giorno

La regola d'oro è semplice: non usare mai il link o il numero contenuto nel messaggio. Apri tu l'app ufficiale oppure scrivi a mano l'indirizzo del sito. Se devi chiamare un ente, cerca il numero sul suo sito istituzionale o rivolgiti al centralino.

Consiglio: se un messaggio ti mette fretta, chiudilo e controlla direttamente nell'app della banca o nell'area personale del servizio. Se il problema esiste davvero, lo trovi lì.

Ci sono poi alcune abitudini che riducono molto i danni anche quando un tentativo va a segno:

attiva gli avvisi per ogni movimento sul conto e sulla carta, così ti accorgi subito di operazioni strane;
non salvare credenziali bancarie o dati della carta in note e foto sul telefono;
attiva la verifica in due passaggi su email e social, gli account più presi di mira;
usa password diverse per ogni servizio, in modo che una password rubata non apra tutto il resto;
installa gli aggiornamenti di telefono, computer e browser appena arrivano.

Quando fai un bonifico c'è anche un aiuto in più. Come spiega la Banca d'Italia nella nota sulla verifica del beneficiario, dal 9 ottobre 2025 la banca controlla se IBAN e nome del destinatario corrispondono, sia per i bonifici ordinari sia per quelli istantanei. L'esito arriva prima della conferma: corrispondenza, corrispondenza parziale, mancata corrispondenza oppure verifica impossibile. Se il nome non torna, fermati e verifica con calma.

Vishing: quando la truffa arriva con una telefonata

Nel vishing il contatto è una chiamata. Un finto operatore della banca segnala un'operazione sospetta e ti guida passo passo in una presunta procedura di sicurezza. Come descrive il Garante nella sua scheda sul vishing, a un certo punto ti chiede di leggere ad alta voce un codice appena arrivato via SMS: in realtà quel codice autorizza un trasferimento di denaro verso i truffatori.

Anche un numero dall'aspetto normale non è una garanzia. Se ricevi una chiamata del genere, riattacca e richiama tu la banca usando il numero sul retro della carta o quello indicato nell'app.

Cosa fare se hai cliccato o hai dato i tuoi dati

Succede anche alle persone più attente. L'importante è muoversi in fretta:

contatta subito la banca o chi ha emesso la carta, usando canali che conosci e non quelli del messaggio, e chiedi il blocco della carta o dell'accesso;
se ti hanno già sottratto denaro, chiedi alla banca di bloccare le operazioni in corso;
cambia la password dell'account coinvolto e di tutti quelli in cui usavi la stessa, poi attiva la verifica in due passaggi;
disinstalla le app che ti hanno fatto scaricare e salva schermate di messaggi, numeri e indirizzi;
segnala la truffa alla Polizia Postale, anche online tramite il Commissariato di PS online.

Sul recupero delle somme ogni caso è diverso: la situazione concreta va verificata con la tua banca o con un'associazione di consumatori.

Domande frequenti

Il phishing arriva solo per email?

No. Oltre alle email usa SMS, app di messaggistica, social network, telefonate e codici QR. Cambia il canale, ma la richiesta finale è sempre la stessa: dati, codici o soldi.

La banca può chiedermi il PIN o un codice OTP al telefono?

No. La banca conosce già i dati del tuo conto e non ti chiede PIN, password o codici di conferma. Chi lo fa, anche con un tono gentile e professionale, sta tentando una truffa.

Se ho solo aperto il messaggio sono in pericolo?

Di solito il rischio vero nasce quando clicchi un link, apri un allegato o inserisci dati. Se hai solo letto il messaggio, eliminalo senza rispondere e tieni d'occhio i movimenti del conto nei giorni successivi.

Dove posso segnalare un tentativo di phishing?

Puoi segnalarlo alla Polizia Postale tramite il Commissariato di PS online e avvisare l'azienda o l'ente di cui il truffatore usava il nome, sempre attraverso i suoi canali ufficiali. Nella tua casella email puoi anche contrassegnare il messaggio come phishing o spam.