"Questa email è una truffa?" Come capirlo in 5 secondi

Ricevi un'email dalla tua banca. Il tuo account è stato sospeso. C'è un link per verificare le tue informazioni immediatamente o affrontare la chiusura permanente. Il tuo cuore accelera. Passi il cursore sul link, sembra giusto. Stai quasi per cliccare. Ma qualcosa non quadra. Questa email è una truffa? Hai circa cinque secondi prima che la paura e l'abitudine prendano la decisione al posto tuo.

Il phishing è il vettore di attacco informatico più comune al mondo, e il più redditizio. Ciò che lo rende così efficace non è la sofisticazione tecnica ma la precisione psicologica. I truffatori hanno affinato l'arte dell'impersonificazione, dell'urgenza e dell'inganno trasformandola in una scienza. La buona notizia è che una volta che conosci la checklist dei cinque secondi, intercetterai la stragrande maggioranza delle email truffa prima che si avvicinino alle tue informazioni personali.

Il controllo email truffa in 5 secondi

Ogni email sospetta merita la stessa valutazione di cinque secondi prima di cliccare su qualsiasi cosa. Questi controlli, eseguiti nell'ordine indicato, identificheranno la maggior parte dei tentativi di phishing:

1. Chi l'ha inviata davvero? Clicca o passa il cursore sul nome del mittente per rivelare l'indirizzo email effettivo. Ignora completamente il nome visualizzato, può dire qualsiasi cosa. Concentrati sul dominio dopo il simbolo @. chase-alert@secure-banking-verify.com non è Chase Bank, indipendentemente da cosa dice il nome visualizzato.

2. Sta creando urgenza? Parole come 'immediatamente', 'entro 24 ore', 'sospeso', 'azione urgente richiesta' o 'avviso finale' sono pressioni artificiali progettate per impedirti di pensare. Le aziende reali raramente minacciano conseguenze catastrofiche immediate nelle email di routine.

3. Conosce il tuo nome? 'Gentile Cliente', 'Gentile Utente' o 'Gentile Titolare di Account' significa che il mittente non sa chi sei. La tua banca conosce il tuo nome. I truffatori che inviano email in massa non lo sanno.

4. Dove portano davvero i link? Passa il cursore su qualsiasi link senza cliccare. L'URL che appare in basso nel browser è dove approderesti davvero. Se il testo visibile del link dice 'paypal.com' ma l'URL al passaggio del cursore mostra qualcos'altro, si tratta di un link di phishing.

5. Richiede informazioni sensibili? Nessuna società legittima invia email chiedendoti di rispondere con la tua password, il codice fiscale o i dati completi della carta di credito. Né le banche, né l'Agenzia delle Entrate, né il supporto tecnico.

Spoofing del mittente: il trucco del nome visualizzato

La vulnerabilità più sfruttata nel phishing via email è il divario tra il nome visualizzato e l'indirizzo di invio effettivo. I client di posta come Gmail, Outlook e Apple Mail sono progettati per mostrare un nome visualizzato amichevole, 'Chase Bank', 'Netflix', 'Il nostro team IT', piuttosto che l'indirizzo email grezzo. I truffatori sfruttano questo impostando il proprio nome visualizzato sulla società che stanno impersonificando, inviando però da un dominio completamente non correlato.

Un'email di phishing potrebbe mostrare 'PayPal Security' nel campo da mentre l'indirizzo effettivo è paypal-alert@mail-verify.xyz. La maggior parte delle persone legge il nome visualizzato e si ferma lì. L'indirizzo effettivo è dove vive la verità.

Le organizzazioni reali inviano dai loro domini effettivi. Le email di Chase provengono da @chase.com. Le email di PayPal provengono da @paypal.com. Le email di Amazon provengono da @amazon.com. Non ci sono ragioni legittime per cui la tua banca ti invii email da un dominio di terze parti con 'bank', 'secure' o 'verify' nel nome.

La guida completa al rilevamento delle email di phishing tratta in dettaglio l'intera gamma di tecniche di spoofing, inclusi gli attacchi omografo che utilizzano caratteri visivamente identici di alfabeti diversi.

Urgenza e paura: come i truffatori cortocircuitano il tuo giudizio

L'intera architettura di un'email di phishing è progettata per aggirare la mente razionale e attivare il tuo sistema di risposta alle minacce. Quando hai paura, agisci in fretta. Quando agisci in fretta, non verifichi. I truffatori lo sanno meglio di molti psicologi.

I fattori di paura più comuni nelle email truffa: sospensione o chiusura dell'account, accesso non autorizzato rilevato, azione legale o indagine fiscale in corso, pacco impossibile da consegnare, premio o rimborso in scadenza. Ognuno crea uno stato emotivo specifico, paura, ansia, avidità o irritazione, che sovrasta la prudenza.

La pressione temporale è artificiale. Il tuo account non sarà davvero cancellato in 24 ore perché non hai cliccato su un link di phishing. L'Agenzia delle Entrate non invia email di 'avviso finale' con timer per il conto alla rovescia. Quando senti fretta, fermati. Apri una nuova scheda del browser. Contatta l'azienda direttamente. L'urgenza svanisce non appena verifichi attraverso un canale indipendente.

Email sospetta con un link che vuoi verificare? Scansiona gli URL prima di cliccare per verificarne la sicurezza.

Link e allegati: dove avvengono i danni reali

Cliccare su un link di phishing non ruba automaticamente le tue informazioni, ti porta in un posto progettato per raccoglierle. La destinazione è tipicamente una replica quasi perfetta di una pagina di login legittima. Digiti le credenziali, la pagina dice 'verifica riuscita' e ti reindirizza al sito web reale come se non fosse successo nulla. Nel frattempo, il tuo nome utente e la tua password sono stati catturati.

Attacchi più sofisticati usano quello che i ricercatori di sicurezza chiamano approccio 'man-in-the-middle': la pagina falsa trasmette le tue credenziali al sito reale in tempo reale, catturando il tuo token di sessione e aggirando l'autenticazione a due fattori. Accedi con successo, vedi il tuo account reale e non sospetti mai che qualcosa sia andato storto.

La tecnica di anteprima al passaggio del cursore funziona per la maggior parte dei client email desktop. Su mobile, tieni premuto un link per vedere l'URL di destinazione prima che si carichi. Se il testo del link visibile e l'URL di destinazione effettivo non corrispondono, specialmente se l'URL effettivo contiene stringhe casuali, trattini o domini sconosciuti, non cliccare.

I codici QR nelle email sono un vettore di attacco in crescita che aggira completamente l'anteprima dei link. La guida alle truffe con codici QR spiega come funzionano questi attacchi e perché vengono usati sempre più nelle campagne di phishing che prendono di mira i dipendenti aziendali.

Phishing AI nel 2026: perché le vecchie regole non funzionano più

Per anni, il consiglio standard per individuare le email di phishing includeva il controllo di grammatica scadente, errori di ortografia e frasi imbarazzanti. Quel consiglio è ora pericolosamente obsoleto. Gli strumenti di scrittura AI hanno eliminato questi segnali dalle campagne di phishing moderne. Le email truffa di oggi sono grammaticalmente impeccabili, contestualmente coerenti e spesso indistinguibili dalle comunicazioni aziendali legittime in termini di qualità della scrittura.

L'AI ha anche reso possibile lo spear phishing su larga scala, attacchi altamente personalizzati che fanno riferimento al tuo vero nome, azienda, acquisti recenti o attività pubblica sui social media. Un'email truffa che dice 'Salve Sara, riguardo al tuo recente ordine Amazon #113-7283942' è molto più convincente di un generico messaggio 'Gentile cliente'. I truffatori ricavano questi dati da violazioni di dati, social media e registri pubblici.

La clonazione vocale ha esteso il phishing oltre l'email. Le stesse tecniche che rendono convincente il phishing via email vengono ora applicate alle chiamate telefoniche, voci generate dall'AI che suonano esattamente come un dipendente bancario, un rappresentante del supporto IT o persino un familiare. La nostra analisi delle truffe di clonazione vocale AI spiega come funzionano questi attacchi e le difese che ancora reggono.

Le frodi AI avanzate diventano sempre più difficili da rilevare manualmente. Gli strumenti di rilevamento automatizzati forniscono un secondo strato critico di protezione.

Cosa fare se hai già cliccato

Cliccare su un link di phishing non significa che il danno sia fatto. Ciò che conta è cosa succede dopo. Se hai cliccato ma non hai inserito nessuna informazione nella pagina su cui sei atterrato, chiudi la scheda ed esegui una scansione di sicurezza sul tuo dispositivo. Il rischio è basso ma non zero, alcuni exploit kit possono tentare di installare malware attraverso vulnerabilità del browser semplicemente visitando la pagina.

Se hai inserito un nome utente o una password: cambia immediatamente quella password, usando un dispositivo diverso se possibile. Abilita l'autenticazione a due fattori se non l'hai già fatto. Controlla il tuo account per qualsiasi attività non autorizzata. Se l'email di phishing impersonava la tua banca e hai inserito credenziali finanziarie, chiama la banca direttamente usando il numero sul retro della tua carta, non il numero fornito nell'email.

Se hai inserito il tuo codice fiscale, numero di carta di credito o altre informazioni di identità altamente sensibili: contatta tutti e tre gli uffici di credito (Equifax, Experian, TransUnion) per inserire un avviso di frode o un blocco del credito. Presenta una segnalazione all'FTC su reportfraud.ftc.gov. Contatta la tua banca in modo proattivo anche se non hai visto attività non autorizzate.

Segnala l'email di phishing prima di eliminarla. Gli utenti Gmail possono fare clic sul menu a tre punti e selezionare 'Segnala phishing'. In Outlook, usa il pulsante 'Segnala messaggio'. Inoltra il phishing sospetto a phishing@reportphishing.antiphishing.org e alla società che viene impersonata (la maggior parte delle grandi banche e aziende tecnologiche ha un indirizzo di segnalazione phishing dedicato come phishing@chase.com o spoof@paypal.com).

Guida Completa al Rilevamento delle Email di Phishing — Copertura approfondita di tutte le tecniche di phishing inclusi spear phishing, whaling e compromissione delle email aziendali

Smishing: Rilevamento delle Truffe via SMS — Le stesse tattiche usate nel phishing email ora prendono di mira gli SMS, ecco come riconoscerle

Truffe al Supporto Tecnico — Come le false email e chiamate di supporto Microsoft e Apple rubano denaro a milioni di persone ogni anno