Per riconoscere un’email di phishing controllate, in quest’ordine, l’indirizzo reale del mittente (non il nome che compare in grassetto), la destinazione dei link, gli allegati e il tipo di richiesta. Credenziali, codici, pagamenti o un IBAN nuovo sono il segnale più affidabile, anche quando il testo è scritto in un italiano impeccabile. Se il dubbio resta, l’intestazione del messaggio rivela se il dominio supera i controlli SPF, DKIM e DMARC. Qui trovate come fare ogni verifica su computer e smartphone, i copioni più usati in Italia (Agenzia delle Entrate, Poste, PEC, corrieri) e la procedura da seguire se avete già cliccato.
In breve
- Il nome visualizzato si falsifica in un attimo: conta il dominio dopo la @.
- Su smartphone tenete premuto il link per leggerne la destinazione senza aprirlo.
- Una mail senza errori può essere fraudolenta: IA generativa e caselle compromesse rendono il testo credibile.
- Nell’intestazione cercate spf=pass, dkim=pass e dmarc=pass riferiti al dominio del mittente.
- Password inserita su una pagina falsa? Cambiatela dal sito ufficiale e attivate il secondo fattore.
Nella stessa guida: Sicurezza della casella di posta · Come attivare la verifica in due passaggi sull’email
Sommario
Cos’è un’email di phishing e perché funziona ancora
Un’email di phishing si finge una banca, un ente pubblico, un corriere o un collega per spingervi a cliccare, aprire un allegato o consegnare dati: password, numeri di carta, codici, un bonifico. Non sfrutta una falla tecnica ma l’ingegneria sociale, cioè fiducia, paura e fretta.
Funziona ancora perché il filtro antispam blocca molto ma non tutto, soprattutto quando il messaggio parte da un indirizzo pulito o da una casella legittima rubata. Secondo dati Verizon riportati da Proofpoint, circa il 30% dei destinatari apre il messaggio malevolo e il 12% ne apre gli allegati. L’obiettivo più comune resta il furto delle credenziali: Cofense Intelligence ha rilevato che il 70% degli incidenti di phishing coinvolge programmi che rubano informazioni o registrano ciò che digitate.
Un attacco riesce quando si allineano tre elementi: un pretesto credibile, un’azione richiesta in fretta e un destinatario che non verifica. Basta togliere l’ultimo per farlo fallire.
I segnali per riconoscere un’email di phishing
Mittente e dominio: perché il nome visualizzato non basta
Il primo controllo riguarda l’indirizzo email del mittente, non il nome. Il nome visualizzato del mittente («Poste Italiane», «Ufficio Amministrazione») lo sceglie chi scrive, e molte app per smartphone mostrano solo quello. Su computer cliccate sul nome; su mobile toccatelo per espandere l’indirizzo completo.
Leggete poi il dominio, la parte dopo la @, lettera per lettera. Un dominio simile a quello originale cambia una lettera (amazzon.com), ne inverte due o sostituisce una «m» con «rn». Attenzione ai sottodomini ingannevoli: in poste.it.verifica-account.com il dominio vero è verifica-account.com, perché conta ciò che precede immediatamente l’estensione finale.
Link, allegati e QR code: cosa controllare prima di aprire
Su computer, passare il mouse sopra il link senza cliccare mostra l’indirizzo reale in basso nel browser o in un riquadro in Outlook. Su smartphone tenete premuto il link finché compare l’anteprima. Dominio estraneo all’ente o link accorciato: fermatevi.
Gli allegati inaspettati si aprono solo dopo conferma per altra via, in particolare i documenti Office che chiedono di abilitare le macro, gli archivi ZIP e RAR (alcuni antivirus non ne analizzano il contenuto) e gli eseguibili come .exe o .scr.
I QR code nelle email aggirano tutti questi controlli: il filtro non legge l’immagine e voi la inquadrate con il telefono, dove l’indirizzo si vede male. Nessuna banca né ente vi chiede di accedere o pagare scansionando un codice arrivato per posta: aprite l’app ufficiale o digitate l’indirizzo.
Urgenza, richieste di dati e pagamenti verso un nuovo IBAN
Un linguaggio urgente o minaccioso («entro 24 ore», «account sospeso», «ultimo avviso») serve a farvi agire prima di riflettere. Anche un «Gentile cliente» da chi conosce il vostro nome è un indizio. Il segnale più solido resta però la richiesta di dati sensibili: password, codici OTP, PIN, numero completo della carta. Banche, Poste e pubblica amministrazione non li chiedono via email. In ufficio, una richiesta di pagare a un IBAN diverso dal solito si verifica sempre con una telefonata al numero che avete già, anche se arriva dal titolare o da un fornitore noto.
Gli esempi di phishing più diffusi in Italia
I truffatori riciclano pochi copioni: riconoscerli permette di scartare in pochi secondi la maggior parte dei tentativi.
| Falso mittente | Esca tipica | Il segnale |
|---|---|---|
| Agenzia delle Entrate | Rimborso da riscuotere o debito da saldare | Le comunicazioni si consultano nell’area riservata con SPID o CIE |
| Equitalia | Cartella da pagare | Equitalia è stata soppressa nel 2017 |
| Banca o Poste | Accesso anomalo, conto bloccato | Richiesta di codici, PIN o dati della carta |
| Corriere | Pacco in giacenza, pochi euro da pagare | Link di pagamento su un dominio estraneo |
| Webmail o servizi online | «Sessione scaduta», casella piena | Pagina di login fuori dal dominio ufficiale |
| Offerta di lavoro | Colloquio, test da compilare | Archivio ZIP o richiesta di documenti d’identità |
Le false offerte di lavoro non sono solo truffe artigianali: il gruppo Lazarus le ha usate in campagne strutturate come DreamJob.
La PEC non è un antidoto. Certifica invio e consegna, ma a livello di protocollo di sicurezza non distingue un mittente onesto da uno malevolo, e le caselle PEC compromesse servono a inviare false fatture o finti avvisi. Diffidate di notifiche di «mancata consegna» o «documento in attesa» che rimandano a un link esterno o allegano un archivio compresso: consultate il documento solo dalla vostra casella o dal portale dell’ente.
Quando i segnali classici non bastano: email scritte con l’IA e spear phishing
Gli errori grammaticali e ortografici restano un indizio, mai una prova: una mail sgrammaticata può essere legittima e una mail impeccabile può essere una truffa. Gli strumenti di intelligenza artificiale generativa producono in pochi secondi testi in italiano corretto, con il tono giusto e il logo al suo posto. Uno studio di Bruce Schneier, Fredrik Heiding e Arun Vishwanath pubblicato su IEEE Access ha osservato che il 60% dei partecipanti è caduto in email di phishing generate in modo completamente automatico, con risultati paragonabili a quelli di truffatori esperti. In Italia l’Osservatorio Cybersecurity di Exprivia ha attribuito all’IA il 40% degli incidenti di cybercrime del primo trimestre 2025.
Lo spear phishing aggiunge la personalizzazione: il truffatore studia nome, ruolo, fornitori e progetti in corso, poi scrive come scriverebbe il vostro interlocutore. Il caso più insidioso è la casella compromessa: il messaggio parte davvero dall’indirizzo del fornitore, magari in risposta a uno scambio reale, e supera ogni controllo tecnico. Qui contano solo la richiesta e il canale. Un nuovo IBAN, un’urgenza insolita o un file da scaricare si verificano al telefono, con un numero già in vostro possesso.
Come verificare un’email sospetta: intestazioni, SPF, DKIM e DMARC
Se il dubbio resta, aprite l’intestazione completa dell’email: è la «busta» del messaggio, con i server attraversati e l’esito dei controlli di autenticazione.
- Gmail (web): tre puntini accanto a Rispondi, poi «Mostra originale»; i risultati SPF, DKIM e DMARC compaiono in alto.
- Outlook desktop: File, Proprietà, riquadro «Intestazioni Internet». Outlook web: tre puntini, Visualizza, «Visualizza dettagli messaggio».
- Apple Mail: Vista, Messaggio, Tutte le intestazioni.
- Thunderbird: Visualizza, Sorgente messaggio (Ctrl+U).
Su smartphone le app mostrano raramente l’intestazione: aprite la casella dal browser in versione desktop.
Cercate la riga Authentication-Results. SPF verifica che il server di invio sia autorizzato dal dominio; DKIM controlla una firma digitale che attesta che il messaggio non è stato alterato; DMARC verifica che almeno uno dei due controlli sia superato e allineato al dominio visibile nel campo «Da». Una riga come dmarc=pass header.from=poste.it è un buon segno; fail su una mail che si presenta come la vostra banca va preso sul serio. Un pass, però, conferma solo l’autenticità del dominio, non l’onestà del contenuto: un dominio registrato dai truffatori o una casella rubata superano tutti e tre i controlli.
Hai aperto la mail o cliccato il link? Cosa fare subito
Aprire una mail di solito non basta a compromettere il dispositivo: il rischio nasce da ciò che fate dopo, cioè inserire credenziali, scaricare un file o concedere permessi. Agite in base a cosa è successo:
- Solo un clic, nessun dato inserito: chiudete la pagina, eliminate la mail, aggiornate sistema e browser. Su smartphone verificate di non aver autorizzato notifiche dal sito né installato app.
- Password inserita: cambiatela subito dal sito o dall’app ufficiale, mai dal link, e ovunque l’abbiate riutilizzata. Poi attivate la verifica in due passaggi sulla casella e controllate accessi recenti, regole di inoltro e dispositivi collegati.
- Dati della carta o codici comunicati: chiamate il numero di blocco indicato dalla banca e controllate i movimenti.
- Allegato aperto o app installata: scollegate il dispositivo dalla rete, eseguite una scansione e, in ufficio, avvisate subito l’assistenza informatica.
Infine segnalate: contrassegnate il messaggio come phishing nel client, avvisate l’ente imitato attraverso i suoi canali ufficiali e, se avete subito un danno, sporgete denuncia alla Polizia Postale.
Come ridurre il rischio di phishing a casa e in ufficio
La regola più efficace è un’abitudine: a banca, Poste e servizi pubblici si accede digitando l’indirizzo o dall’app ufficiale, mai da un link ricevuto. Aggiungete l’autenticazione a due fattori su posta, banca e social, password diverse per ogni servizio e aggiornamenti automatici. Ogni volta che scegliete di segnalare l’email come phishing, invece di cancellarla soltanto, il filtro impara. In azienda servono una procedura scritta per i cambi di IBAN (doppia conferma telefonica), un breve corso periodico e un dominio protetto da DMARC. Per le altre impostazioni utili, consultate la guida sulla sicurezza della casella di posta.
Checklist da tenere a portata di mano:
- Indirizzo completo e dominio controllati lettera per lettera
- Destinazione del link letta con il mouse o con una pressione prolungata
- Nessun QR code inquadrato per accedere o pagare
- Allegati Office con macro, ZIP, RAR ed eseguibili aperti solo dopo conferma
- Urgenza, saluto generico, richiesta di credenziali o nuovo IBAN: stop e verifica
- Intestazione aperta e SPF, DKIM, DMARC controllati in caso di dubbio
- Verifica finale per telefono o dall’app ufficiale
Il prossimo passo concreto: attivate oggi il secondo fattore sulla vostra casella principale, è la protezione che regge anche quando una password finisce nelle mani sbagliate.
FAQ
Che succede se apro una mail sospetta?
Nella maggior parte dei casi non succede nulla: aprire e leggere il testo non installa niente su un client aggiornato. Il pericolo nasce cliccando un link, aprendo un allegato o rispondendo. Se le immagini si caricano, il mittente può solo capire che l’indirizzo è attivo. Non interagite, segnalate il messaggio come phishing ed eliminatelo; se avete cliccato, seguite la procedura descritta sopra.
Come capire se un indirizzo email è fake?
Espandete il nome visualizzato e leggete l’indirizzo completo, soprattutto il dominio dopo la @. Confrontatelo con quello delle email legittime ricevute in passato o con il sito ufficiale: lettere scambiate, sottodomini ingannevoli, estensioni insolite o un indirizzo gratuito usato da un’azienda sono segnali forti. Nel dubbio, controllate nell’intestazione l’esito di SPF, DKIM e DMARC.
Quali sono alcuni esempi di email di phishing?
In Italia i più frequenti sono il falso rimborso o debito dell’Agenzia delle Entrate, l’avviso di accesso anomalo della banca o di Poste, il pacco in giacenza con un piccolo pagamento, la sessione scaduta della webmail, la finta notifica PEC e l’offerta di lavoro con allegato compresso. In ufficio si aggiunge la richiesta di bonifico verso un IBAN diverso dal solito.
Cosa è necessario affinché un attacco phishing abbia successo?
Servono tre ingredienti: un pretesto credibile, cioè un ente o una persona di cui vi fidate; una leva emotiva come urgenza, paura o guadagno; un’azione della vittima, che deve cliccare, aprire, inserire dati o pagare. Senza quest’ultima l’attacco fallisce: fermarsi e verificare attraverso un canale indipendente resta la difesa più efficace.
