Truffe informatiche, dal phishing allo smishing: le più diffuse di recente in Italia

Sono diverse le frodi tecnologiche che possono sottrarre dati e informazioni riservate attraverso mail, sms oppure tramite una telefonata. Dal phishing al vishing, ecco quali sono le più comuni rilevate negli ultimi tempi, come vengono organizzate e cosa fare per difendersi o proteggersi se si è stati truffati.

Sceglici su:

Quello che devi sapere

Cos’è il phishing

Il phishing è una truffa online che utilizza e-mail contraffatte per sottrarre dati personali, credenziali e informazioni finanziarie. I messaggi, apparentemente inviati da banche, aziende o servizi conosciuti, invitano ad agire con urgenza, ad esempio per verificare un'operazione o risolvere un problema. Un link conduce a una pagina falsa, simile a quella ufficiale, dove la vittima può inserire inconsapevolmente username, password e codici di sicurezza. Il raggiro può avvenire anche tramite allegati infetti.

Per approfondire: Dark web, nel 2026 esposti 2,5 mld di dati. Italia quarta in Europa per email compromesse

pubblicità

Cos’è il vishing

Il vishing, dall'unione di “voice” e “phishing”, è una truffa telefonica con cui i criminali cercano di ottenere dati personali, credenziali, codici di sicurezza o denaro. Il truffatore si presenta come un operatore della banca o di un'azienda e segnala presunti problemi, operazioni sospette o accessi anomali, inducendo la vittima ad agire rapidamente. La telefonata può seguire un SMS o un'e-mail fraudolenta: dopo il clic su un link, un falso operatore contatta la vittima per ottenere i codici necessari ad autorizzare operazioni.

La falsa mail dell'Agenzia delle Entrate

Tra le tante truffe emerse negli ultimi mesi c'è stata quella che sfrutta il nome dell’Agenzia delle Entrate per ingannare i contribuenti con la promessa di un presunto rimborso Irpef. Le vittime ricevono e-mail o sms apparentemente ufficiali, contenenti un link che conduce a un sito falso, dove vengono richiesti dati personali, informazioni bancarie e numeri delle carte. In alcuni casi viene simulata anche una verifica tramite codice ricevuto sul telefono, con l’obiettivo di ottenere le credenziali necessarie ad accedere al conto.

A questo proposito va ricordato che l'Agenzia non chiede mai dati finanziari tramite e-mail o sms. Per questo per difendersi è fondamentale non cliccare sui link e verificare sempre mittente e indirizzo web. 

Per approfondire: Agenzia delle Entrate, nuova truffa con falsa mail su rimborso fiscale disponibile

pubblicità

La versione non aggiornata di WhatsApp

Altra truffa recente è quella che riguarda WhatsApp: nelle scorse settimane la popolare app di messaggistica è stata al centro di attacchi “zero-click”, che potevano compromettere l’account senza che l’utente cliccasse su link o compisse alcuna azione. I criminali sfruttano vulnerabilità di versioni non aggiornate di iOS e WhatsApp per prendere il controllo del profilo e contattare amici e familiari della vittima, fingendo un’emergenza e chiedendo denaro.

Apple è già intervenuta per porre rimedio a queste falle di sicurezza: per proteggersi è sempre fondamentale aggiornare sempre sistema operativo e applicazione; attivare la verifica in due passaggi e controllare periodicamente i dispositivi collegati a WhatsApp.

Per approfondire: WhatsApp, nuova ondata di attacchi 'zero-click': i consigli della Polizia per difendersi

Il rinnovo della tessera sanitaria

Altra truffa recente è stata quella che sfruttava il nome del Ministero della Salute per truffare gli utenti con la falsa richiesta di rinnovo della tessera sanitaria. Le vittime di phishing ricevevano e-mail o sms contenenti un link che conduceva a un sito fraudolento, simile a quello istituzionale, dove veniva chiesto di compilare un modulo con dati personali, dati sensibili e informazioni di pagamento. Questi dati possono infatti essere utilizzati dai truffatori per attività illecite, dalla rivendita delle informazioni alla clonazione di documenti.

Per difendersi, è fondamentale non cliccare sui link ricevuti né inserire dati in pagine sospette. Così come per il Fisco, anche il Ministero non invia comunicazioni con link per rinnovare la tessera sanitaria.

Per approfondire: Truffa su rinnovo tessera sanitaria, l'avviso del Ministero della Salute: come difendersi

pubblicità

Il caso Revolut

Caso recente è anche quello che ha riguardato Revolut: gli hacker hanno ottenuto i dati di circa 680 clienti sfruttando un indirizzo e-mail istituzionale italiano precedentemente compromesso. Fingendosi una forza di polizia, i criminali hanno inviato alla fintech britannica richieste apparentemente legittime di informazioni nell’ambito di una presunta indagine. Poiché i messaggi sembravano provenire da un dominio governativo autentico e superavano i controlli tecnici di autenticazione, Revolut li ha trattati come richieste obbligatorie delle autorità e ha fornito i dati richiesti. Le informazioni sottratte comprendevano dati dei passaporti, indirizzi di residenza, numeri dei conti e dettagli sulle transazioni effettuate dai clienti. 

Per approfondire: Revolut, hacker hanno agito con una pec italiana compromessa: esposti dati di 680 clienti

Il caso Nexi

Molto più recente è la truffa smishing che sfrutta il nome di Nexi per segnalare alle vittime un falso pagamento di importo elevato, invitandole a intervenire immediatamente per bloccarlo. Il messaggio, apparentemente ufficiale, contiene un numero telefonico o un link da utilizzare per contattare l’assistenza. Chi segue le indicazioni viene invece messo in contatto con falsi operatori, che possono chiedere credenziali, codici di sicurezza o conferme tramite home banking, riuscendo così a far autorizzare direttamente le operazioni.

La prima precauzione da adottare in questi casi è quella di non chiamare numeri e non cliccare link presenti negli sms sospetti. È sempre preferibile infatti verificare i movimenti tramite l’app ufficiale o i canali di assistenza della società.

pubblicità

Come difendersi dalle truffe

La prima regola per difendersi dalle truffe è non agire sotto pressione. Banche e società emittenti di carte non chiedono password, codici OTP o altre credenziali tramite e-mail, SMS o telefonate. In caso di richieste sospette, è quindi meglio interrompere la comunicazione e contattare l'istituto attraverso i recapiti ufficiali.

È inoltre importante non utilizzare i link ricevuti all'interno di messaggi dubbi: per accedere all'home banking è preferibile digitare direttamente l'indirizzo nel browser o utilizzare l'app ufficiale. Occorre sempre controllare il mittente, l'indirizzo web, eventuali errori nel testo e la presenza di https e del lucchetto. Sistema operativo, applicazioni e antivirus vanno mantenuti aggiornati; è consigliabile usare password diverse e attivare l'autenticazione a due fattori.

Cosa fare se si è caduti nella trappola

Se sono state comunicate le proprie credenziali, bisogna cambiare immediatamente le password, soprattutto se utilizzate anche su altri servizi. In caso di condivisione di dati bancari o della carta, occorre contattare subito la banca attraverso un numero ufficiale e chiedere, se necessario, il blocco degli strumenti di pagamento. Non bisogna utilizzare i recapiti forniti dai presunti operatori. Se è stata effettuata un'operazione non autorizzata, è importante informare tempestivamente la banca e valutare la segnalazione alle autorità competenti.

Per approfondire: Truffe, arriva la guida che aiuta gli anziani a difendersi