Truffe online e phishing
Le truffe digitali sono oggi la principale forma di frode ai danni dei consumatori. Il meccanismo è sempre lo stesso: fingere di essere qualcuno di cui ti fidi — la tua banca, le Poste, l'INPS, un corriere, un operatore telefonico — per indurti a consegnare dati personali, credenziali di accesso o denaro. Cambia solo il canale: email, SMS, telefonate, WhatsApp.
Indice
LE FORME PIÙ DIFFUSE
COME RICONOSCERE UN TENTATIVO DI TRUFFA
COSA FARE SE HAI GIÀ CLICCATO O FORNITO DATI
COME SEGNALARE
PREVENZIONE
Il phishing è la truffa via email: un messaggio apparentemente ufficiale ti invita a cliccare un link e inserire le tue credenziali su un sito falso, identico all'originale. Il smishing è la stessa cosa via SMS: messaggi come "Il tuo pacco è in attesa, clicca qui" o "Operazione sospetta sul tuo conto, accedi subito". Il vishing avviene per telefono: qualcuno si presenta come operatore della tua banca o di un ente pubblico e ti chiede di confermare dati o effettuare operazioni.
Negli ultimi anni si sono diffuse varianti più sofisticate:
- Voice phishing con AI: voci sintetiche che imitano persone conosciute
- Quishing: QR code che rimandano a siti fraudolenti
- Spoofing del numero bancario: l'SMS del truffatore appare nella stessa conversazione dei messaggi autentici della tua banca, grazie a tecniche di falsificazione del mittente
- Truffa del "falso operatore": inizia con un SMS autentico e continua con una telefonata in cui si chiede di autorizzare operazioni "di sicurezza"
COME RICONOSCERE UN TENTATIVO DI TRUFFA
Nessuna banca, nessun ente pubblico, nessun corriere ti chiederà mai via SMS o email di inserire la tua password, il codice PIN o il codice OTP (il codice temporaneo che ricevi sul telefono). Questi codici servono a confermare operazioni che tu hai avviato: se qualcuno te li chiede, sta cercando di autorizzare un'operazione a tua insaputa.
Altri segnali da tenere a mente:
- Urgenza artificiale: "Hai 30 minuti o il tuo conto verrà bloccato"
- URL anomali: inps-rimborso.it invece di inps.it, caratteri sostituiti (inps.it con una "l" al posto della "i")
- Errori grammaticali o loghi sfocati nel messaggio
- Richieste di segretezza: "Non dirlo a nessuno, è per la tua sicurezza"
- Richiesta di installare un'app per "assistenza remota" o "verifica"
Per verificare l'autenticità di un messaggio, non usare i recapiti che ti fornisce il messaggio stesso: cerca il numero ufficiale sul sito dell'ente e richiama tu.
COSA FARE SE HAI GIÀ CLICCATO O FORNITO DATI
Se hai cliccato su un link sospetto ma non hai inserito dati, il rischio è limitato. Se hai inserito le credenziali di accesso a un servizio, cambia immediatamente la password da un dispositivo sicuro e attiva l'autenticazione a due fattori se non l'hai già fatto.
Se hai fornito dati del conto corrente o della carta, contatta subito la tua banca per bloccare le operazioni. Ai sensi della direttiva PSD2 (recepita con D.Lgs. 218/2017), la banca è responsabile delle operazioni non autorizzate salvo che tu abbia agito con "negligenza grave". Se sei stato vittima di spoofing (il truffatore ha usato il numero ufficiale della banca), le probabilità di ottenere il rimborso sono buone. Fai subito denuncia alla Polizia Postale, anche online su commissariatodips.it: il numero di denuncia è indispensabile per qualsiasi richiesta di rimborso.
Se hai trasferito denaro, segnala immediatamente la transazione alla tua banca: esiste una procedura di recall (richiamo del bonifico) che, se attivata subito, può bloccare il pagamento prima che venga incassato.
Oltre alla denuncia alla Polizia Postale, puoi segnalare:
- I siti di phishing a Google Safe Browsing (safebrowsing.google.com/safebrowsing/report_phish)
- Al CSIRT Italia (csirt.gov.it), il team nazionale di sicurezza informatica
- All'AGCM (Antitrust) per le pratiche commerciali scorrette
- All'Arbitro Bancario Finanziario per i servizi bancari, dopo aver presentato reclamo alla banca
Le misure più efficaci:
- Usare password diverse per ogni servizio (un gestore di password aiuta)
- Attivare sempre l'autenticazione a due fattori sui servizi che la supportano
- Non salvare i dati della carta su siti di cui non sei sicuro
- Verificare periodicamente se le tue credenziali sono state compromesse su haveibeenpwned.com
- Tenere aggiornato il sistema operativo e il browser