# Come riconoscere un'email o un SMS truffa (phishing)

> I segnali che tradiscono un messaggio truffa, cosa controllare prima di cliccare, cosa fare se hai già inserito dati o codici e dove segnalarlo, secondo Polizia Postale, Garante privacy, CSIRT Italia e Banca d'Italia.

Fonte: https://simplebuild.it/it/tutorial/riconoscere-email-phishing
Autore: SimpleBuild, Build simple. Deliver value.
Categoria: Backup e sicurezza
Procedura verificata il: 2026-09-29

Un messaggio truffa di solito **mette fretta**, **fa paura o promette qualcosa** e ti chiede di **cliccare un link o dare dati e codici**. La regola più sicura: non usare mai i link o i numeri che trovi nel messaggio. Se hai un dubbio, apri tu il sito o l'app ufficiale, oppure chiama il numero che già conosci.

Si chiama *phishing* quando arriva per email, *smishing* quando arriva per SMS o chat, *vishing* quando è una telefonata. Il trucco è lo stesso.

## Prima di iniziare: la regola d'oro

Banche, enti pubblici, aziende e grandi negozi **non ti chiedono dati personali, password o codici** tramite email, SMS, social o chat. Lo ricordano sia il Garante privacy sia la Polizia Postale. Banca d'Italia lo dice in modo ancora più netto: la tua banca non ti chiederà mai, né per email né per telefono, i dati che usi per i pagamenti online o per l'home banking.

Se un messaggio ti chiede proprio questo, è quasi certamente una truffa, anche se il logo è perfetto.

## I segnali che devono insospettirti

1. **Fretta e minacce.** «Il tuo conto sarà bloccato», «hai una multa da pagare entro oggi», «accesso sospetto al tuo account». Il Garante segnala proprio i toni ultimativi e intimidatori, che servono a farti agire senza pensare.
2. **Il mittente non torna.** Guarda l'indirizzo email completo, non solo il nome che compare. Spesso è un'imitazione di quello vero, con lettere in più o un dominio diverso. Il CSIRT Italia consiglia di verificare che il dominio del mittente corrisponda davvero al servizio che dice di essere.
3. **Il link porta altrove.** Al computer, appoggia il puntatore del mouse sul link senza cliccare: in basso a sinistra nel browser compare l'indirizzo vero. Se non è il sito ufficiale che conosci, non cliccare. Diffida anche degli indirizzi accorciati.
4. **Allegati inattesi.** Fatture, avvisi di spedizione o «documenti da firmare» che non aspettavi possono contenere programmi dannosi. Non aprirli.
5. **Errori di italiano.** Frasi tradotte male, accenti sbagliati, impaginazione strana. Non c'è sempre, ma quando c'è è un buon indizio.
6. **Offerte troppo belle, bollette o pacchi da sbloccare.** Sconti straordinari, rimborsi fiscali, pacchi fermi in dogana, rate non pagate: sono i pretesti più usati.
7. **Una telefonata che chiede codici o bonifici.** Un finto operatore della banca può dirti che c'è un movimento sospetto e chiederti di spostare i soldi «su un conto sicuro» o di leggergli un codice. La Polizia Postale raccomanda di diffidare di queste richieste.

![Email truffa inventata, con i segnali cerchiati in rosso: oggetto che mette fretta, mittente con un dominio strano, un errore di italiano, il pulsante che porta a un indirizzo diverso e un allegato zip.](https://simplebuild.it/assets/img/tutorial/riconoscere-email-phishing-esempio.svg)

## Come controllare un messaggio sospetto

1. **Non rispondere e non cliccare.**
2. **Apri tu il sito o l'app ufficiale**, scrivendo l'indirizzo a mano o usando l'app che hai già sul telefono. Se c'è davvero un problema, lo vedi lì.
3. **Chiama il numero ufficiale** che trovi sul retro della carta, sul contratto o sul sito, non quello scritto nel messaggio. Puoi anche andare di persona in filiale.
4. **Guarda il nome del sito** prima di scrivere qualsiasi dato. Il lucchetto accanto all'indirizzo da solo non garantisce niente: anche i siti truffa possono averlo.

## Se hai già cliccato o dato i tuoi dati

Non perdere tempo e non vergognarti: succede a tante persone attente.

1. **Chiama subito la tua banca** o chi ha emesso la carta, al numero ufficiale, e chiedi di bloccare carte e accessi. Banca d'Italia indica di avvertire subito il proprio istituto.
2. **Cambia la password** dell'account coinvolto e di tutti quelli dove usavi la stessa. Poi attiva la [verifica in due passaggi](https://simplebuild.it/it/tutorial/verifica-in-due-passaggi), che ferma molti furti di account anche quando la password è stata rubata.
3. **Controlla i movimenti** del conto e attiva gli avvisi automatici per ogni operazione, come consiglia il Garante.
4. **Presenta denuncia alla Polizia Postale**, negli uffici o tramite i canali indicati sul sito [commissariatodips.it](https://www.commissariatodips.it). Tieni gli screenshot del messaggio.
5. **Chiedi il rimborso alla banca** per le operazioni che non hai fatto tu. Banca d'Italia spiega che la banca deve rispondere al reclamo sui servizi di pagamento entro 15 giorni lavorativi e indica anche le strade successive, come l'Arbitro Bancario Finanziario.
6. **Se hai aperto un allegato o installato qualcosa**, stacca il dispositivo da internet e fallo controllare.

## Come segnalare un messaggio truffa

- **Polizia Postale**: dal sito [commissariatodips.it](https://www.commissariatodips.it) puoi segnalare i casi di phishing.
- **La tua casella di posta**: segna il messaggio come spam o phishing, così il filtro impara. Il Garante consiglia di controllare che i filtri antispam del tuo programma di posta siano attivi.

## Se non funziona ancora

- **Ricevi tanti SMS truffa**: non rispondere, non richiamare i numeri indicati e cancellali. Se vuoi un contatto con l'azienda, chiama il centralino ufficiale, come consiglia il Garante.
- **I messaggi usano il tuo nome e cognome**: vuol dire che i tuoi dati sono già girati da qualche parte. Aumenta la prudenza e proteggi gli account principali con la verifica in due passaggi.
- **Il computer è diventato strano dopo un allegato** (finestre che si aprono da sole, programmi sconosciuti): non usarlo per la banca finché non è stato controllato.
- **Hai perso l'accesso all'email**: prima di tutto recuperala dalla procedura ufficiale del servizio, perché da lì si possono resettare tutti gli altri account.
- Se hai il dubbio che qualcuno sia entrato nel tuo computer o nei tuoi account, un tecnico può controllare il dispositivo, mettere in sicurezza le password e verificare che i tuoi [backup](https://simplebuild.it/it/tutorial/backup-pc-windows) siano integri.

## Domande frequenti

### Il lucchetto nella barra degli indirizzi vuol dire che il sito è sicuro?

No, da solo non basta. Il lucchetto dice che la connessione è protetta, non che dall'altra parte ci sia davvero la tua banca: guarda sempre il nome del sito.

### Il messaggio arriva nella stessa conversazione degli SMS veri della banca: è autentico?

Non per forza. La Polizia Postale avverte che i truffatori riescono a far comparire numeri identici a quelli ufficiali. Chiama tu la banca al numero che conosci.

### Ho solo aperto il messaggio, senza cliccare: cosa devo fare?

Cancellalo e, se vuoi, segnalalo. I pericoli che Garante e Polizia Postale indicano sono cliccare sui link, aprire gli allegati e comunicare dati o codici: se non hai fatto niente di questo, non devi fare altro.

### La banca può chiedermi il codice che mi arriva per SMS?

No. Banca d'Italia e Polizia Postale sono chiare: la banca non ti chiede mai per email, SMS o telefono i dati e i codici che usi per l'home banking e i pagamenti.

## Fonti

- [Frodi online: phishing, smishing, vishing (Polizia Postale)](https://www.commissariatodips.it/notizie/articolo/frodi-online-phishing-smishing-vishing/index.html)
- [Phishing, attenzione ai pescatori di dati personali, infografica (Garante privacy)](https://www.garanteprivacy.it/documents/10160/0/Phishing+attenzione+ai+pescatori+di+dati+personali.+Infografica.pdf)
- [Smishing, i suggerimenti del Garante (Garante privacy)](https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9873859)
- [Campagna phishing a tema verifica account (CSIRT Italia, ACN)](https://www.acn.gov.it/portale/w/campagna-phishing-a-tema-verifica-account-al03/240207/csirt-ita-)
- [Cosa fare se si è stati vittima di truffe o frodi (Banca d'Italia)](https://www.bancaditalia.it/focus/cybersicurezza/truffe-cyber/)