Come riconoscere un'email di phishing: segnali, esempi e cosa fare

Il phishing è una truffa che arriva quasi sempre per email (ma anche via SMS, chat o telefono): un messaggio si spaccia per una banca, un corriere, un servizio online o perfino un collega, con l'obiettivo di farti cliccare su un link, aprire un allegato o comunicare dati personali, password e codici di pagamento.

La buona notizia è che la maggior parte di questi messaggi segue schemi ricorrenti. Imparare a riconoscerli richiede pochi minuti e protegge sia te sia le persone con cui condividi dispositivi e account.

Che cos'è il phishing, in breve

Il termine richiama l'idea di "pescare" informazioni: chi attacca invia molti messaggi credibili e aspetta che qualcuno abbocchi. Esistono varianti con nomi specifici, come lo smishing (via SMS o app di messaggistica) e il vishing (via telefonata), ma il meccanismo è lo stesso: creare fiducia o urgenza per spingerti ad agire senza riflettere.

I segnali più comuni di un'email di phishing

Nessun segnale da solo è una prova certa, ma più ne noti nello stesso messaggio, più è probabile che si tratti di una truffa.

1. Urgenza, minacce o premi inaspettati

Frasi come "il tuo account verrà sospeso entro 24 ore", "pagamento non riuscito" o "hai vinto un buono" servono a metterti fretta. Le organizzazioni serie raramente chiedono azioni immediate sotto minaccia.

2. Mittente che non torna

Controlla l'indirizzo email completo, non solo il nome visualizzato. Diffida di domini simili ma diversi da quello ufficiale (lettere scambiate, parole aggiunte, estensioni insolite) e di indirizzi generici per comunicazioni che dovrebbero arrivare da un'azienda.

3. Link che portano altrove

Prima di cliccare, passa il mouse sopra il link (su smartphone tieni premuto) e leggi l'indirizzo reale. Se il dominio non corrisponde a quello del servizio citato, non aprirlo. In caso di dubbio, raggiungi il sito digitando tu l'indirizzo nel browser o usando l'app ufficiale.

4. Richieste di dati riservati

Banche, poste, enti pubblici e servizi online non chiedono di inviare password, PIN, codici OTP o dati completi della carta via email. Una richiesta di questo tipo è un forte campanello d'allarme.

5. Allegati inattesi

Fatture, ricevute o "documenti condivisi" che non aspettavi possono contenere software dannoso. Fai particolare attenzione ad archivi compressi e a file che chiedono di abilitare macro o contenuti.

6. Tono generico ed errori

Saluti impersonali ("Gentile cliente"), traduzioni approssimative e impaginazione curiosa sono indizi frequenti. Attenzione però: oggi molti messaggi di phishing sono scritti in modo corretto, anche grazie a strumenti automatici. Un testo ben scritto non è una garanzia.

Messaggio legittimo e phishing a confronto

Cosa fare se ricevi un'email sospetta

1. Non cliccare su link e non aprire allegati.
2. Non rispondere e non inoltrare il messaggio ad altri come "avviso".
3. Verifica in modo indipendente: contatta l'organizzazione usando recapiti ufficiali che trovi tu (sito, app, retro della carta), non quelli presenti nell'email.
4. Segnala il messaggio come phishing dal tuo programma di posta e, se riguarda un servizio specifico, al servizio stesso. In Italia puoi inviare segnalazioni alla Polizia Postale tramite il portale ufficiale.
5. Elimina il messaggio dopo averlo segnalato.

Se hai già cliccato o inserito dei dati

Niente panico: agire in fretta limita i danni.

• Cambia subito la password dell'account coinvolto e di tutti quelli in cui usavi la stessa password.
• Attiva l'autenticazione a due fattori dove disponibile.
• Se hai comunicato dati bancari o della carta, contatta immediatamente la tua banca o l'emittente della carta per bloccare eventuali operazioni.
• Se hai aperto un allegato, esegui una scansione con l'antivirus del sistema e aggiorna il dispositivo.
• Controlla nelle settimane successive gli accessi recenti e i movimenti dei tuoi account.
• Valuta di sporgere denuncia alla Polizia Postale, soprattutto in caso di perdita di denaro.

Abitudini che riducono il rischio

• Usa password diverse per ogni servizio, aiutandoti con un password manager.
• Mantieni aggiornati sistema operativo, browser e app.
• Attiva l'autenticazione a due fattori sugli account principali (email, banca, social).
• Prenditi qualche secondo prima di agire: la fretta è il miglior alleato di chi truffa.

In sintesi

Un'email di phishing si riconosce soprattutto da tre elementi: urgenza, mittente o link incoerenti e richiesta di dati riservati. Quando hai un dubbio, non usare i link del messaggio: verifica sempre passando dai canali ufficiali.