L’estate non ferma i criminali informatici — li favorisce. Agosto è statisticamente il mese con il picco di truffe online in Italia: le vittime sono distratte, in luoghi non familiari, con dispositivi condivisi o connessioni pubbliche. I dati della Polizia Postale per il 2025 parlano chiaro: +23% di denunce rispetto al 2024, con un danno economico complessivo stimato in 612 milioni di euro. Non sono cifre astratte. Sono soldi sottratti da conti correnti, bonifici intercettati, carte svuotate.
Phishing via email: riconoscere i segnali prima di cliccare
Il phishing è la truffa più antica del web e rimane la più efficace. Nel 2025, l’82% degli attacchi informatici alle persone fisiche in Italia è iniziato con una email fraudolenta (fonte: Rapporto Clusit 2026). L’obiettivo è indurti a cliccare un link o aprire un allegato.
Typosquatting e domini omografi: i truffatori registrano domini visivamente simili a quelli legittimi. Esempi reali rilevati nel 2025: paypa1.com (la L è il numero 1), bancaintesа.it (la «а» finale è un carattere cirillico Unicode U+0430, identico visivamente alla «a» latina), posteitaliane-accesso.com invece di poste.it. Prima di cliccare qualsiasi link in una email bancaria o istituzionale, controlla l’URL completo passandoci sopra il mouse (hover) o copiandolo in un editor di testo.
Allegati pericolosi: i formati più usati nel 2025 per distribuire malware via email sono: PDF con link interno nascosto, file Office con macro abilitate (.docm, .xlsm), archivi ZIP con eseguibile .exe interno, file .iso (immagini disco) che eludono alcuni antivirus. Regola semplice: un ente pubblico, una banca o un corriere non ti manda mai un allegato non richiesto chiedendoti di «verificare» qualcosa. Se arriva, non aprire — contatta direttamente l’ente tramite il numero sul sito ufficiale.
Il consiglio è corretto, ma ha un limite pratico: le truffe sono costruite per creare urgenza e panico. La pressione emotiva disattiva il ragionamento critico — ed è esattamente l’obiettivo. Mettere giù il telefono senza spiegazioni è la risposta più efficace a una chiamata sospetta. Non serve essere scortesi: basta chiudere la chiamata e richiamare il numero ufficiale con calma, dopo qualche minuto.
Segnali stilistici: urgenza esagerata («il tuo account verrà sospeso entro 24 ore»), saluto generico («Gentile Cliente» anziché il tuo nome), errori di grammatica o punteggiatura, indirizzi email del mittente con dominio diverso da quello dell’organizzazione (es. [email protected] anziché @intesasanpaolo.com).
Usare SPID e sicurezza degli accessi PA su servizi governativi riduce il rischio phishing perché l’accesso avviene tramite provider SPID con autenticazione forte — non tramite credenziali digitate in moduli su siti falsificati.
Smishing: i falsi SMS di corrieri, banche e INPS
Lo smishing (SMS + phishing) è esploso in Italia tra il 2023 e il 2025. Gli SMS sembrano provenire da numeri legittimi grazie al SMS spoofing — una tecnica che consente di impostare arbitrariamente il nome mittente visualizzato sul telefono. Questo significa che un SMS fraudolento può comparire nello stesso thread dei messaggi autentici della tua banca.
Esempi di testi reali usati nelle campagne smishing 2025:
- «BRT: il tuo pacco è in giacenza. Paga 1,99€ di spese di gestione per riceverlo: [link]» — segue un link che porta a una pagina clonata di BRT con form per i dati della carta.
- «Intesa Sanpaolo: rilevato accesso anomalo al tuo conto. Verifica subito: [link]» — il link porta a una pagina identica al sito originale, con certificato SSL (il lucchetto c’è — ma certifica solo la connessione cifrata, non l’autenticità del sito).
- «INPS: hai diritto a un rimborso di 347€. Conferma i tuoi dati: [link]» — sfrutta l’aspettativa di bonus fiscali. L’INPS non comunica mai rimborsi via SMS con link.
- «Poste Italiane: la tua PostePay è stata bloccata per sospetta attività. Sblocca qui: [link]»
Regola: le banche italiane e l’INPS non chiedono MAI credenziali, codici OTP o dati di carta tramite link in un SMS. Se ricevi un SMS del genere, ignoralo e contatta direttamente la banca dal numero sul retro della carta o sul sito ufficiale.
Vishing: telefonate da «bancari» e «poliziotti»
Il vishing (voice phishing) è la variante telefonica. Un truffatore chiama fingendosi un operatore bancario, un funzionario della Polizia Postale o un addetto all’antifrode. Il copione è consolidato:
- «Abbiamo rilevato movimenti sospetti sul suo conto. Per bloccarli, ho bisogno di confermare la sua identità.»
- Chiedono nome, cognome, numero di carta, data di nascita, codice fiscale — dati spesso già in possesso del truffatore da precedenti data breach.
- Poi: «Ora le mandiamo un codice OTP via SMS per verificare l’operazione di sicurezza — mi legge il codice?» — e quel codice autorizza in realtà un bonifico o un pagamento.
Una banca legittima non chiede mai un codice OTP per telefono — quel codice autorizza operazioni, non le blocca. Se stai parlando con qualcuno che chiede un OTP mentre tu non hai avviato nessuna operazione, riaggancia. Subito.
Nota: il Caller ID (il numero che vedi sullo schermo) può essere falsificato. Un truffatore può farti vedere il numero della tua banca. Non è una garanzia di autenticità.
Truffe deepfake: il confine sfumato tra reale e fabbricato
Nel 2025 sono emerse le prime segnalazioni italiane di truffe con voce clonata tramite AI. Il meccanismo: un truffatore clona la voce di un familiare (con 15-30 secondi di audio pubblico da social media) e chiama la vittima fingendo di essere in pericolo — incidente, fermo della polizia, urgenza medica — chiedendo un bonifico immediato.
Casi documentati negli USA e nel Nord Europa, casi emergenti in Italia nei primi mesi del 2026. La difesa: stabilire con familiari una «parola d’ordine» segreta da usare in situazioni di emergenza, e verificare sempre chiamando direttamente il numero del familiare su cui si chiede conferma.
Per chi vuole proteggere anche i dispositivi aziendali: la guida alla protezione avanzata per le aziende analizza i vettori di attacco sui sistemi business. Per la protezione personale degli account digitali usati anche lavorativamente, il punto di partenza è la guida su come ottenere una identità digitale sicura con firma qualificata.
Come segnalare e quando chiedere il rimborso alla banca
Se sei stato vittima di una truffa online, agisci in quest’ordine:
- Blocca subito la carta o il conto: chiama il numero antifrode della banca (reperibile sul sito ufficiale e sul retro della carta). Non usare numeri trovati in email o SMS sospetti. Alcune banche permettono il blocco direttamente dall’app.
- Denuncia alla Polizia Postale: tramite il portale commissariatodips.it (sezione «Sportello Telematico»), disponibile 24 ore su 24, oppure di persona presso la sezione della Polizia Postale più vicina. Conserva tutti gli screenshot, gli SMS, i numeri di telefono coinvolti.
- Segnala all’AGCM (Autorità Garante della Concorrenza e del Mercato) in caso di truffe su acquisti online (siti e-commerce fraudolenti): agcm.it, sezione «Segnalazioni».
- Segnala alla banca per tentativo di rimborso: presenta reclamo formale scritto alla banca. Per i bonifici autorizzati «sotto minaccia» o per errore indotto, la giurisprudenza dell’Arbitro Bancario Finanziario (ABF) 2024-2025 ha riconosciuto in più casi la responsabilità parziale della banca quando questa non ha adottato sistemi di autenticazione forte adeguati (PSD2, Direttiva EU 2015/2366) o non ha rilevato operazioni anomale.
Sul rimborso bancario: la PSD2 stabilisce che per i pagamenti non autorizzati dal cliente (es. accesso al conto da parte di terzi tramite credenziali rubate), la banca deve rimborsare entro la giornata operativa successiva alla segnalazione, salvo prova di negligenza grave del cliente. Per i pagamenti autorizzati ma indotti con inganno (es. l’utente ha effettuato il bonifico credendolo legittimo — «authorized push payment fraud»), il rimborso è più complesso: l’ABF valuta caso per caso, con orientamento crescente verso la responsabilità condivisa banca-cliente. La documentazione della truffa conta: più è dettagliata, più è difendibile la richiesta.
Chi usa protezione dispositivi personali con 2FA e password manager riduce significativamente la superficie d’attacco: la maggior parte delle truffe sfrutta credenziali deboli o riutilizzate, non vulnerabilità tecniche sofisticate.
