Come riconoscere un'email o un SMS truffa (phishing)

Un messaggio truffa di solito mette fretta, fa paura o promette qualcosa e ti chiede di cliccare un link o dare dati e codici. La regola più sicura: non usare mai i link o i numeri che trovi nel messaggio. Se hai un dubbio, apri tu il sito o l'app ufficiale, oppure chiama il numero che già conosci.

Si chiama phishing quando arriva per email, smishing quando arriva per SMS o chat, vishing quando è una telefonata. Il trucco è lo stesso.

Prima di iniziare: la regola d'oro

Banche, enti pubblici, aziende e grandi negozi non ti chiedono dati personali, password o codici tramite email, SMS, social o chat. Lo ricordano sia il Garante privacy sia la Polizia Postale. Banca d'Italia lo dice in modo ancora più netto: la tua banca non ti chiederà mai, né per email né per telefono, i dati che usi per i pagamenti online o per l'home banking.

Se un messaggio ti chiede proprio questo, è quasi certamente una truffa, anche se il logo è perfetto.

I segnali che devono insospettirti

1. Fretta e minacce. «Il tuo conto sarà bloccato», «hai una multa da pagare entro oggi», «accesso sospetto al tuo account». Il Garante segnala proprio i toni ultimativi e intimidatori, che servono a farti agire senza pensare.
2. Il mittente non torna. Guarda l'indirizzo email completo, non solo il nome che compare. Spesso è un'imitazione di quello vero, con lettere in più o un dominio diverso. Il CSIRT Italia consiglia di verificare che il dominio del mittente corrisponda davvero al servizio che dice di essere.
3. Il link porta altrove. Al computer, appoggia il puntatore del mouse sul link senza cliccare: in basso a sinistra nel browser compare l'indirizzo vero. Se non è il sito ufficiale che conosci, non cliccare. Diffida anche degli indirizzi accorciati.
4. Allegati inattesi. Fatture, avvisi di spedizione o «documenti da firmare» che non aspettavi possono contenere programmi dannosi. Non aprirli.
5. Errori di italiano. Frasi tradotte male, accenti sbagliati, impaginazione strana. Non c'è sempre, ma quando c'è è un buon indizio.
6. Offerte troppo belle, bollette o pacchi da sbloccare. Sconti straordinari, rimborsi fiscali, pacchi fermi in dogana, rate non pagate: sono i pretesti più usati.
7. Una telefonata che chiede codici o bonifici. Un finto operatore della banca può dirti che c'è un movimento sospetto e chiederti di spostare i soldi «su un conto sicuro» o di leggergli un codice. La Polizia Postale raccomanda di diffidare di queste richieste.

Come controllare un messaggio sospetto

1. Non rispondere e non cliccare.
2. Apri tu il sito o l'app ufficiale, scrivendo l'indirizzo a mano o usando l'app che hai già sul telefono. Se c'è davvero un problema, lo vedi lì.
3. Chiama il numero ufficiale che trovi sul retro della carta, sul contratto o sul sito, non quello scritto nel messaggio. Puoi anche andare di persona in filiale.
4. Guarda il nome del sito prima di scrivere qualsiasi dato. Il lucchetto accanto all'indirizzo da solo non garantisce niente: anche i siti truffa possono averlo.

Se hai già cliccato o dato i tuoi dati

Non perdere tempo e non vergognarti: succede a tante persone attente.

1. Chiama subito la tua banca o chi ha emesso la carta, al numero ufficiale, e chiedi di bloccare carte e accessi. Banca d'Italia indica di avvertire subito il proprio istituto.
2. Cambia la password dell'account coinvolto e di tutti quelli dove usavi la stessa. Poi attiva la verifica in due passaggi, che ferma molti furti di account anche quando la password è stata rubata.
3. Controlla i movimenti del conto e attiva gli avvisi automatici per ogni operazione, come consiglia il Garante.
4. Presenta denuncia alla Polizia Postale, negli uffici o tramite i canali indicati sul sito commissariatodips.it. Tieni gli screenshot del messaggio.
5. Chiedi il rimborso alla banca per le operazioni che non hai fatto tu. Banca d'Italia spiega che la banca deve rispondere al reclamo sui servizi di pagamento entro 15 giorni lavorativi e indica anche le strade successive, come l'Arbitro Bancario Finanziario.
6. Se hai aperto un allegato o installato qualcosa, stacca il dispositivo da internet e fallo controllare.

Come segnalare un messaggio truffa

• Polizia Postale: dal sito commissariatodips.it puoi segnalare i casi di phishing.
• La tua casella di posta: segna il messaggio come spam o phishing, così il filtro impara. Il Garante consiglia di controllare che i filtri antispam del tuo programma di posta siano attivi.

Se non funziona ancora

• Ricevi tanti SMS truffa: non rispondere, non richiamare i numeri indicati e cancellali. Se vuoi un contatto con l'azienda, chiama il centralino ufficiale, come consiglia il Garante.
• I messaggi usano il tuo nome e cognome: vuol dire che i tuoi dati sono già girati da qualche parte. Aumenta la prudenza e proteggi gli account principali con la verifica in due passaggi.
• Il computer è diventato strano dopo un allegato (finestre che si aprono da sole, programmi sconosciuti): non usarlo per la banca finché non è stato controllato.
• Hai perso l'accesso all'email: prima di tutto recuperala dalla procedura ufficiale del servizio, perché da lì si possono resettare tutti gli altri account.
• Se hai il dubbio che qualcuno sia entrato nel tuo computer o nei tuoi account, un tecnico può controllare il dispositivo, mettere in sicurezza le password e verificare che i tuoi backup siano integri.