Truffe online e phishing

Un pescatore con l'esca finta

Immagina un pescatore che lancia l'amo con un'esca finta per attirare i pesci. Il phishing (si pronuncia fìscing) funziona allo stesso modo: un truffatore ti manda un messaggio finto per "pescare" i tuoi dati personali. Vuole le tue password (le parole segrete che proteggono i tuoi account), i numeri della carta e i codici della banca.

È come un truffatore travestito da postino che ti consegna una lettera falsa dalla banca: sembra tutto vero, ma è solo un trucco per farti abboccare. La parola "phishing" suona come "fishing" (pescare in inglese), e non è un caso.

Questi trucchi seguono sempre gli stessi copioni: una volta che li conosci, li riconosci al volo. In questo articolo li vediamo uno per uno.

I tipi di truffa più comuni

I truffatori usano diversi canali per raggiungerti. Ognuno ha un nome diverso, ma il trucco è sempre lo stesso: farti credere che il messaggio sia vero per rubarti informazioni.

• Phishing via email: email che sembrano arrivare dalla banca, dalle Poste, da Amazon o da altri servizi conosciuti. Ti chiedono di cliccare un link "urgente".
• Smishing (si pronuncia smìscing): truffe via SMS, i messaggi di testo sul telefono. Il nome viene da "SMS + phishing". Dicono cose come "Il tuo pacco è bloccato", "Hai una multa da pagare" o "Ti spetta un rimborso". Contengono un link pericoloso. Il nome del mittente si può falsificare: un SMS finto può comparire nella stessa conversazione dei messaggi veri della banca o di PosteInfo. Conta cosa ti chiede, non chi sembra mandarlo.
• Quishing (si pronuncia cuìscing): truffe con i codici QR, per esempio un adesivo sul parchimetro o un codice dentro un'email che porta a una pagina falsa. Come riconoscerli è spiegato in Come usare i codici QR.
• Vishing (si pronuncia vìscing): truffe via telefonate vocali. Il nome viene da "voice + phishing". Qualcuno ti chiama fingendo di essere la banca o un tecnico e ti chiede password o codici. Le trovi spiegate in Truffe telefoniche: come difendersi.
• Truffe su WhatsApp: un contatto (a volte anche un amico il cui account è stato rubato) ti manda link strani o ti chiede soldi con urgenza. Oppure ti chiede di rimandargli un codice che ti è arrivato "per sbaglio" via SMS: serve a rubarti WhatsApp, quindi non mandarlo mai. Se è già successo, leggi Cosa fare se ti rubano WhatsApp.

Come riconoscere una truffa

Ecco i segnali d'allarme che devono farti insospettire. Se ne trovi anche solo uno, fermati e non fare nulla:

• Urgenza: "Fai subito!", "Hai 24 ore!", "Il tuo account sarà chiuso!". I truffatori vogliono che tu agisca senza pensare.
• Errori di grammatica: frasi strane, parole scritte male, traduzioni goffe. Attenzione però: oggi molti messaggi truffa sono scritti in un italiano perfetto, quindi un testo senza errori non prova niente.
• Mittente sospetto: l'email arriva da un indirizzo strano (per esempio "banca-sicurezza@gmail.com" invece di un indirizzo ufficiale della banca). Più avanti ti spieghiamo come controllare.
• Link strani: prima di cliccare, controlla dove porta il link. Trovi i passaggi più avanti.
• Richiesta di dati personali: nessuna banca, né Poste Italiane né un altro servizio serio, ti chiederà mai password o codici via email, SMS o telefono. Mai.

Ricorda: la regola numero uno è che la banca non ti chiede mai la password. Né via email, né via SMS, né per telefono.

Come controllare il vero mittente di un'email

I truffatori possono far sembrare che un'email arrivi dalla tua banca o dalle Poste, ma spesso l'indirizzo del mittente li tradisce. Ecco come smascherarli:

Sul telefono

1. Apri l'email sospetta nell'app di posta (senza toccare nessun link al suo interno).
2. Guarda il nome del mittente in alto: per esempio, potrebbe dire "Poste Italiane".
3. Tocca il nome del mittente (o la piccola freccia accanto a "a me"): apparirà l'indirizzo email completo.
4. Controlla l'indirizzo: se dice qualcosa come "poste-italiane@gmail.com" o "sicurezza@poste-update.xyz", non è davvero Poste Italiane. Un'azienda vera usa il proprio dominio ufficiale, cioè la parte dell'indirizzo dopo la chiocciola @ (per Poste Italiane, per esempio, "@posteitaliane.it").

Sul computer

1. Apri l'email sospetta (senza cliccare su nessun link al suo interno).
2. Guarda il nome del mittente in alto: per esempio, potrebbe dire "Poste Italiane".
3. Clicca sul nome del mittente: si aprirà una piccola finestra che mostra l'indirizzo email completo. In Gmail spesso l'indirizzo si vede già accanto al nome, tra i segni < e >.
4. Controlla l'indirizzo come sul telefono: se non è un indirizzo ufficiale dell'azienda, è una truffa.

Ricorda: un indirizzo email vero di un'azienda finisce quasi sempre con il nome dell'azienda, per esempio "@posteitaliane.it", "@intesasanpaolo.com", "@amazon.it". Se finisce con "@gmail.com", "@yahoo.com" o con un nome strano, non fidarti. Attenzione però: un indirizzo giusto non è una garanzia al 100% (a volte i truffatori riescono a falsificarlo), quindi controlla sempre anche i link e il contenuto del messaggio.

Come controllare dove porta un link

I link nelle email e nei messaggi truffa ti portano a siti finti, che sembrano veri ma servono solo a rubare i tuoi dati. Ecco come controllare prima di cliccare:

Sul telefono

1. Tieni premuto il dito sul link (tocca e tieni fermo, non toccare e rilascia) per circa 2 secondi.
2. Apparirà una finestra con l'indirizzo completo del link.
3. Se l'indirizzo è strano o non corrisponde al sito dell'azienda, non aprirlo: tocca un punto vuoto fuori dalla finestra per chiuderla.

Cosa dovresti vedere: una finestra con l'indirizzo completo del link in alto e, sotto, alcune scelte (per esempio aprirlo o copiarlo).

Sul computer

1. Passa il mouse sopra il link (senza cliccare): muovi la freccetta del mouse sopra le parole colorate o sottolineate.
2. Guarda l'indirizzo reale dove porterebbe quel link. Se leggi la posta nel browser (per esempio su gmail.com), compare in basso a sinistra della finestra. Nei programmi di posta come Outlook o Mail, compare in una piccola etichetta accanto al mouse.
3. Se l'indirizzo è strano, lunghissimo, o non corrisponde al sito dell'azienda, non cliccare.

Cosa dovresti vedere: una piccola etichetta grigia con l'indirizzo completo del link, in basso a sinistra nel browser, oppure vicino alla freccetta del mouse.

Consiglio: un'email dice "Clicca qui per accedere al tuo conto BancaXY". Tu passi il mouse sopra (o tieni premuto sul telefono) e vedi che l'indirizzo è "www.banca-xy-sicurezza-login.stranositoweb.com". Il nome vero del sito è la parola subito prima di ".com" o ".it", qui "stranositoweb": questo non è il sito della banca, è una truffa.

Truffe che capitano ogni giorno

Ecco alcuni esempi concreti che potresti incontrare:

"Ciao mamma/papà, ho cambiato numero"

Ricevi un messaggio su WhatsApp da un numero sconosciuto che dice di essere tuo figlio o tua figlia: "Ciao mamma, questo è il mio nuovo numero. Il telefono vecchio si è rotto. Mi puoi mandare dei soldi? È urgente."

Questo è quasi sempre una truffa. I truffatori mandano questo messaggio a migliaia di persone sperando che qualcuno ci caschi.

Cosa fare: prima di fare qualsiasi cosa, chiama tuo figlio o tua figlia al numero che hai già in rubrica e chiedi conferma. Se non risponde, aspetta. Non mandare mai soldi a un numero che non conosci.

L'SMS del pacco in giacenza

Ricevi un SMS: "Il tuo pacco è in giacenza, paga 1,99 euro per la nuova consegna", seguito da un link. Arriva a caso a tantissime persone: chi aspetta davvero un pacco ci crede più facilmente.

La pagina del link sembra quella del corriere o delle Poste, ma serve solo a rubarti i dati della carta.

Cosa fare: non toccare il link. Controlla la spedizione nella sezione degli ordini, nell'app o sul sito del negozio dove hai comprato. Se non aspetti nessun pacco, cancella il messaggio.

L'email del finto ricatto

Ricevi un'email minacciosa: qualcuno dice di essere entrato nel tuo computer e di averti filmato con la webcam. Chiede soldi in Bitcoin (una moneta digitale) entro pochi giorni, altrimenti manderà i video ai tuoi contatti. Per spaventarti, a volte scrive anche una tua vecchia password.

È un ricatto finto, mandato a migliaia di persone: non c'è nessun video. La password viene da un vecchio furto di dati su qualche sito, non dal tuo computer.

Cosa fare: non pagare, non rispondere e non aprire link o allegati. Cambia quella password su tutti i siti dove la usavi. Poi segnala l'email alla Polizia Postale su commissariatodips.it e cancellala.

La telefonata del "tecnico Microsoft"

Qualcuno ti chiama dicendo di essere un tecnico Microsoft e che il tuo computer ha un problema. Ti chiede di installare un programma o di dargli accesso al computer.

Non esiste nessun tecnico Microsoft che chiama a casa. Riaggancia subito. Microsoft non chiama mai i clienti in questo modo.

Lo stesso trucco arriva anche come avviso sul computer, a volte con un allarme che suona: "Il tuo computer è bloccato, chiama subito questo numero". È sempre falso: chiudi il browser (se non si chiude, spegni il computer) e non chiamare. Come funziona questa truffa è spiegato in Farsi aiutare a distanza.

Un amico ti manda un link strano

Un amico ti manda un link che non c'entra nulla con le vostre conversazioni, per esempio "Guarda questa foto incredibile!". Prima di aprirlo, chiedigli a voce (di persona o per telefono) se te l'ha mandato davvero. Il suo account potrebbe essere stato rubato da un truffatore.

Cosa fare se ricevi un messaggio sospetto

1. Non cliccare su nessun link nel messaggio.
2. Non rispondere e non fornire dati personali.
3. Non farti prendere dal panico: è esattamente quello che vogliono i truffatori.
4. Se il messaggio sembra arrivare dalla banca, chiamala al numero sul retro della tua carta (la carta bancomat o la carta di credito). Non usare il numero scritto nel messaggio: potrebbe essere quello del truffatore.
5. Segnalalo e poi cancellalo. In Gmail tocca i tre puntini ⋮ accanto a Rispondi e scegli Segnala phishing. Negli altri programmi di posta, spostalo nella cartella Spam o Posta indesiderata. Se sembra di Poste Italiane, prima inoltralo all'indirizzo "antiphishing@posteitaliane.it".

Se qualcosa va storto

Se hai cliccato su un link o hai dato i tuoi dati

Niente panico: si può rimediare. L'importante è agire subito:

1. Se dal link hai installato un'app, spegni subito il telefono: così l'app non può più mandare i tuoi dati. Poi chiama la banca da un altro telefono e fatti aiutare da una persona esperta a disinstallarla.
2. Cambia subito la password del servizio coinvolto (email, banca, ecc.) dall'app ufficiale o scrivendo tu l'indirizzo del sito, mai dal link del messaggio. Se vuoi saperne di più sulle password, leggi Cosa sono le password.
3. Se hai inserito i dati della carta o i codici della banca, chiama subito la tua banca e fai bloccare la carta o il conto. Usa il numero sul retro della tua carta, non un numero trovato nel messaggio o cercando su Internet.
4. Controlla i movimenti del conto nei giorni successivi: cerca addebiti che non riconosci.
5. Racconta l'accaduto a un familiare o amico di fiducia che possa aiutarti.
6. Se necessario, fai una segnalazione online alla Polizia Postale (commissariatodips.it) e, se hai perso soldi, una denuncia di persona in un ufficio di Polizia o dai Carabinieri. Porta una copia della denuncia alla banca: ti servirà per chiedere il rimborso.

Proteggi i tuoi account con password forti e uniche, e non dare mai i dati del tuo account a chi te li chiede online. Leggi anche Cosa sono gli account.

Non ti preoccupare se hai cliccato su un link sospetto. Se non hai inserito dati personali e non hai scaricato nulla, nella maggior parte dei casi non succede niente di grave. Chiudi la pagina, cancella il messaggio e stai tranquillo.

Non ti preoccupare se hai dato la tua password a un truffatore. Cambiala subito, anche sugli altri siti dove usavi la stessa, e controlla che il numero e l'email di recupero siano ancora i tuoi. Succede a milioni di persone ogni anno, di tutte le età: i truffatori sono professionisti e i loro trucchi sono studiati per ingannare chiunque.

Non ti preoccupare se ti senti in imbarazzo. Non c'è nulla di cui vergognarsi: le truffe online colpiscono tutti, anche persone esperte. L'importante è agire subito e chiedere aiuto.

Consigli utili

• La banca non ti chiede mai la password via email, SMS o telefono. Se qualcuno lo fa, è una truffa.
• Se un'offerta è troppo bella per essere vera, probabilmente è una truffa.
• Nel dubbio, non cliccare. Chiudi il messaggio e controlla dall'app della banca o del servizio, oppure chiamando tu il numero ufficiale.
• Per chiamare la banca, usa sempre il numero sul retro della carta, mai un numero trovato in un messaggio o cercando su Internet.
• Parla con qualcuno di fiducia se qualcosa ti sembra strano.
• Compra solo su siti sicuri. Per i dettagli, leggi Acquisti online in sicurezza.

Ora sai come difenderti!

Hai imparato a riconoscere le truffe online e sai cosa fare se ne incontri una. Non serve avere paura di Internet: basta un po' di attenzione. Nel dubbio, non cliccare, e se qualcosa ti sembra strano chiedi a una persona di fiducia.