Come riconoscere il phishing: i segnali di un'email truffa e cosa fare se hai cliccato

Per riconoscere il phishing bisogna guardare tre cose: chi scrive davvero, cosa ti chiede e quanta fretta ti mette. Un’email truffa quasi sempre imita un mittente noto, chiede un clic, una password o un pagamento, e spinge ad agire subito.

Il phishing è un messaggio falso, via email, SMS, WhatsApp o PEC, costruito per sembrare autentico e convincerti a fare qualcosa: aprire un allegato, inserire le credenziali su un sito clone o fare un bonifico. Il nome richiama la pesca: si lancia l’esca a migliaia di persone e si aspetta che qualcuno abbocchi.

1. Urgenza e pressione. “Entro 24 ore”, “account sospeso”, “ultimo avviso”: la fretta serve a non farti ragionare.
2. Il mittente non torna. Il nome visualizzato dice “Banca” o “Agenzia delle Entrate”, ma l’indirizzo vero è strano o leggermente storpiato.
3. Il link porta altrove. Passando il mouse sopra il link senza cliccare, in basso compare l’indirizzo reale: se non corrisponde al sito ufficiale, fermati.
4. Allegati inattesi. Una fattura che non aspettavi, un file compresso, un documento che chiede di “abilitare il contenuto”.
5. Richiesta di credenziali. Nessuna banca o ente serio ti chiede password o codici via email.
6. Cambio di coordinate bancarie. Un fornitore che comunica un nuovo IBAN via email va sempre verificato con una telefonata al numero che già conosci.
7. Un tono che non ti somiglia. Un collega che scrive in modo insolito o il titolare che chiede un favore riservato e urgente.

Attenzione a un vecchio consiglio: “le truffe sono piene di errori”. Non è più vero. Il CERT-AgID segnala un uso crescente dell’intelligenza artificiale per scrivere testi più curati e credibili. Oggi conta più il contesto che la grammatica.

Nel 2025 il CERT-AgID ha censito 3.620 campagne malevole in Italia, con temi molto ricorrenti: ordini e spedizioni, home banking, multe e pagamenti. Tra queste, 328 campagne usavano false multe da pagare tramite PagoPA. Lo stesso report segnala l’aumento di caselle PEC compromesse: messaggi che arrivano da indirizzi certificati reali, e per questo sembrano affidabili.

Anche l’Agenzia delle Entrate pubblica sul proprio sito le campagne che sfruttano il suo nome, dai falsi rimborsi ai tentativi di rubare le credenziali SPID. Consultarla ogni tanto è un’abitudine utile, soprattutto per chi in azienda si occupa di amministrazione

Succede, anche ai più attenti. La cosa più importante è non nasconderlo: ogni minuto conta.

1. Non inserire nient’altro. Se si è aperta una pagina che chiede dati, chiudila.
2. Scollega il computer dalla rete (cavo o wifi), soprattutto se hai aperto un allegato.
3. Avvisa subito il referente informatico, interno o esterno, e descrivi cosa hai fatto.
4. Cambia la password dell’account coinvolto, usando un altro dispositivo.
5. Se hai inserito dati bancari, chiama la banca al numero ufficiale per bloccare le operazioni.

Un’azienda in cui segnalare un errore è normale reagisce in minuti invece che in settimane. È anche questo che fa la differenza tra un incidente e un danno. Per una visione più ampia delle minacce informatiche per aziende, leggi la nostra guida.