Copione 2 · SMS, email, QR
Phishing: come si legge un link prima di toccarlo.
Il phishing non è una truffa su misura: è pesca a strascico. Vengono spediti milioni di messaggi identici, a costo quasi zero, e il conto torna anche se risponde una persona su diecimila.
Non ti hanno scelto. È l’unica buona notizia, e serve a qualcosa: significa che il messaggio non sa niente di te, e che tutto ciò che sembra personale è una tua ricostruzione.
Le quattro forme
- Email — la forma classica, oggi la meno efficace perché i filtri ne fermano molte.
- SMS — la più redditizia: nessun filtro, schermo piccolo, indirizzo troncato, e il messaggio falso che si accoda a quelli veri.
- Telefonata — quando i dati raccolti servono a rendere credibile una voce. È il seguito, non l’inizio: il finto operatore della banca.
- QR — un codice non si legge con gli occhi. Incollato sopra quello vero di un parchimetro o di una colonnina, o stampato dentro un avviso di pagamento, sposta l’indirizzo senza che nessuno possa accorgersene.
I pretesti che rendono di più
Sono pochi e ricorrono da anni, perché funzionano. Riconoscere il pretesto è più veloce che analizzare il messaggio.
- Il pacco. «Spedizione sospesa, sono dovuti 1,99 € per lo sblocco doganale.» La cifra è ridicola apposta: non stanno rubando due euro, stanno raccogliendo il numero della carta. Funziona perché quasi tutti, in un dato momento, aspettano davvero un pacco.
- Il blocco del conto o della carta. Paura pura, e una sola azione possibile.
- Il rimborso. «Le spetta un rimborso di 289,47 €: inserisca i dati della carta per l’accredito.» Nessun rimborso pubblico si incassa dando il numero di una carta.
- La scadenza dello SPID o della PEC. Un’identità digitale non si rinnova da un link ricevuto per SMS.
- La multa o l’avviso di pagamento. Con tanto di logo e di numero di verbale inventato.
- L’abbonamento sospeso. Streaming, telefonia, cloud: «aggiorna il metodo di pagamento».
- L’accesso da un altro dispositivo. «Se non sei stato tu, clicca qui.» Il messaggio più efficace mai scritto, perché ti fa premere il pulsante proprio quando vuoi metterti al sicuro.
Come si legge davvero un indirizzo
È l’unica competenza tecnica che serve, e si impara in un minuto. La regola: il vero indirizzo del sito è quello che sta immediatamente prima della prima barra singola, e sono le ultime due parole prima di quella barra.
https://poste.it.sicurezza-accessi.co/login
Il sito è sicurezza-accessi.co. «poste.it» è soltanto una parola scritta davanti, e chiunque può scriverla.
https://www.intesasanpaolo.com.verifica-utenti.ru/
Il sito è verifica-utenti.ru.
https://agenziaentrate-rimborsi.info/pratica
Il sito è agenziaentrate-rimborsi.info, che non ha niente a che vedere con agenziaentrate.gov.it: il trattino non è un punto, e il dominio delle amministrazioni italiane finisce per gov.it.
Il nome vero di un ente non compare mai dentro l’indirizzo di un altro sito, e non compare mai attaccato con un trattino a una parola come «sicurezza», «verifica», «accessi», «clienti», «rimborsi».
Il lucchetto accanto all’indirizzo dice una cosa sola: che la connessione è cifrata. Non dice chi c’è dall’altra parte. I certificati sono gratuiti, automatici e si ottengono in trenta secondi per qualunque dominio, compresi quelli appena registrati dai truffatori.
Praticamente tutti i siti di phishing oggi hanno il lucchetto. Insegnare a cercarlo è stato un errore collettivo: significa soltanto che stai parlando in modo riservato con qualcuno di cui non sai niente.
I trucchi accessori
- Lettere che si somigliano. Una «rn» al posto di una «m», una «l» maiuscola al posto di una «I», uno zero al posto di una «o». Su uno schermo piccolo non si vedono. Alcuni alfabeti permettono di registrare domini praticamente identici usando caratteri di lingue diverse.
- Gli accorciatori di link. Nascondono la destinazione per costruzione. Un ente pubblico o una banca non ha nessun motivo di accorciare un indirizzo in un avviso ufficiale.
- Il mittente dell’email. Il nome visualizzato è testo libero: «Assistenza Clienti» non vuol dire niente. Conta solo il dominio dopo la chiocciola, e va letto con la stessa regola di sopra.
- Gli allegati. Una pagina web allegata a un’email è quasi sempre phishing: serve a mostrarti un finto modulo di accesso senza far comparire un indirizzo sospetto. Un archivio protetto da password, con la password scritta nel testo, serve a far passare l’allegato attraverso l’antivirus.
- I QR. Il telefono, prima di aprire, mostra l’indirizzo: quella riga di anteprima è l’unico momento in cui puoi difenderti. Leggila sempre. Su parchimetri, colonnine di ricarica e avvisi affissi, controlla anche fisicamente che l’adesivo non sia incollato sopra un altro.
La regola operativa
È una sola, e sostituisce tutte le analisi: non partire mai dal messaggio.
Come si verifica
- Chiudi il messaggio e apri l’app ufficiale che hai già installato.
- Oppure digita tu l’indirizzo, o usa un segnalibro che hai salvato in tempi non sospetti.
- Se la comunicazione è vera, la ritrovi lì dentro. Sempre.
- Per i corrieri: cerca il codice di spedizione sul sito del corriere, partendo dall’ordine e non dall’SMS.
Cosa non fare
- Aprire il link «solo per vedere che cosa dice».
- Rispondere all’SMS, anche per insultare: conferma che il numero è attivo.
- Chiamare il numero indicato nel messaggio.
- Inserire dati in un modulo raggiunto da un link, anche se il sito è identico all’originale. Lo è: è una copia scaricata dall’originale.
Se hai già cliccato
Aprire la pagina, da solo, quasi mai basta a fare danni. Conta cosa hai fatto dopo.
-
Hai solo aperto il link
Chiudi e non tornarci. Sui telefoni aggiornati il rischio è basso. Se hai scaricato un file, cancellalo senza aprirlo.
-
Hai inserito la password
Cambiala subito sul sito vero, digitando tu l’indirizzo, e cambiala ovunque tu abbia usato la stessa. Attiva la verifica in due passaggi. Da quel momento la vecchia password è pubblica.
-
Hai inserito i dati della carta
Blocca la carta dall’app o dal numero verde e chiedine una nuova. Non aspettare di vedere l’addebito: spesso arriva settimane dopo, di piccolo importo, per provare se la carta è viva.
-
Hai inserito anche un codice usa e getta
Allora l’operazione è stata autorizzata mentre la inserivi. Vai direttamente a cosa fare quando i soldi sono già partiti.
I dati raccolti raramente vengono usati subito. Servono a rendere credibile una telefonata: qualche giorno dopo chiama qualcuno che sa il tuo nome, la tua banca e le ultime cifre della carta — e a quel punto sembra impossibile che non sia davvero l’istituto.
Se hai inserito dati in un modulo sospetto, aspettati la telefonata. Sapere che arriverà la rende innocua.
Continua
Dove si segnala
Questo sito non raccoglie segnalazioni, non risponde a messaggi e non ha moduli di contatto. Le truffe si denunciano alla Polizia di Stato; le operazioni non autorizzate si contestano per iscritto alla propria banca.
Fonti
- Polizia di Stato — Polizia Postale e per la Sicurezza Cibernetica, avvisi al pubblico su phishing e smishing.
- Agenzia per la Cybersicurezza Nazionale — comunicazioni sulle campagne di phishing rivolte al pubblico italiano.
- AgID — regole sui domini della pubblica amministrazione italiana (gov.it).
- D.lgs. 27 gennaio 2010, n. 11 — operazioni di pagamento non autorizzate.
Verificato il 19 agosto 2026