Truffa online: come riconoscerla e cosa fare

Messaggi urgenti, siti clonati e richieste di denaro: i segnali da controllare e le mosse da compiere quando dati o pagamenti sono a rischio.

Una truffa online raramente comincia con una richiesta assurda. Più spesso arriva con il tono credibile di una banca, di un corriere, dell’INPS o di una persona conosciuta e chiede una sola cosa: agire in fretta. Riconoscere quel meccanismo, prima ancora del singolo messaggio, è il modo più efficace per non cadere nella trappola.

Truffa online: i segnali da non ignorare

Il primo campanello d’allarme è la pressione. Il conto sta per essere bloccato, il pacco non può essere consegnato, il rimborso scade entro poche ore: chi truffa prova a togliere tempo alla verifica. Anche premi inattesi, offerte fuori mercato e richieste di pagamento con bonifico istantaneo, criptovalute o buoni regalo meritano prudenza. Gli errori grammaticali esistono ancora, ma non sono più un criterio sufficiente: testi ben scritti e loghi corretti si possono replicare in pochi minuti.

Il nome visualizzato come mittente non prova l’identità di chi scrive. Bisogna guardare l’indirizzo completo, il dominio del sito e ogni lettera fuori posto. Il lucchetto del browser indica che la connessione è cifrata, non che il sito sia onesto. Nessuna banca dovrebbe chiedere via messaggio password, PIN o codici temporanei per “annullare” un’operazione. Lo stesso vale per chi telefona e pretende che il cliente comunichi un codice ricevuto sul cellulare.

Phishing, smishing e telefonate: cambia il mezzo, non il metodo

Il phishing passa soprattutto dalle email; quando arriva tramite SMS viene spesso chiamato smishing. Esistono poi telefonate con numero apparentemente autentico, profili social copiati e messaggi su piattaforme di compravendita. La tecnica resta la stessa: costruire fiducia, creare urgenza e portare la vittima fuori dal canale ufficiale. Il CERT-AGID definisce il phishing una forma di ingegneria sociale basata su comunicazioni che imitano soggetti affidabili per sottrarre credenziali o informazioni riservate.

Le campagne osservate in Italia mostrano quanto siano adattabili questi copioni: falsi rimborsi INPS, comunicazioni PagoPA, avvisi su SPID o carte bloccate. Non serve ricordare ogni variante. Basta fermarsi davanti a una richiesta insolita e chiedersi perché un ente dovrebbe volere dati che possiede già, oppure perché un venditore insista per continuare la conversazione e il pagamento fuori dalla piattaforma.

Come verificare un messaggio senza correre rischi

La verifica va fatta da un’altra strada. Non bisogna cliccare il link ricevuto né richiamare il numero indicato nel messaggio: meglio aprire l’app ufficiale, digitare a mano l’indirizzo del sito o usare un recapito salvato in precedenza. Se il messaggio sembra arrivare da un amico o da un familiare che chiede denaro, una telefonata diretta può smontare in pochi secondi un account violato o una falsa emergenza.

Prima di acquistare, conviene controllare l’identità del venditore, i contatti, le condizioni di reso e la reputazione al di fuori del suo sito. Un prezzo troppo basso non dimostra da solo una frode, ma richiede verifiche in più. Sui marketplace è prudente restare nei sistemi di pagamento e messaggistica della piattaforma. Se l’interlocutore propone scorciatoie, chiede documenti non necessari o invia un link per “ricevere” un pagamento, è il momento di interrompere la conversazione.

Cosa fare se hai cliccato o inviato i dati

Aver aperto un link non significa automaticamente aver perso denaro, ma non bisogna minimizzare. Se non sono stati inseriti dati né installati file, è opportuno chiudere la pagina, aggiornare sistema e browser ed eseguire un controllo con gli strumenti di sicurezza del dispositivo. Se invece sono state comunicate credenziali, la password va cambiata subito da un dispositivo affidabile, chiudendo le sessioni aperte e attivando l’autenticazione a più fattori. Le stesse credenziali, se riutilizzate altrove, vanno sostituite anche sugli altri servizi.

Prima di cancellare messaggi o email è utile conservare le prove: schermate, indirizzo del sito, numero di telefono, profilo utilizzato, ricevute e codici dell’operazione. Il contenuto può essere segnalato alla piattaforma coinvolta e alla Polizia Postale. Il CERT-AGID invita inoltre a inoltrare le comunicazioni sospette rilevanti al proprio canale di segnalazione. Dopo una prima frode bisogna diffidare anche di chi promette di recuperare il denaro in cambio di un anticipo: è il copione della cosiddetta truffa di recupero.

Se sono spariti soldi: agire subito

Quando sono stati comunicati dati bancari, autorizzato un pagamento o notato un addebito, la priorità è contattare immediatamente la banca attraverso i canali ufficiali. Si può chiedere il blocco della carta o dell’accesso, contestare l’operazione e verificare se un bonifico sia ancora richiamabile. Il tempo conta, ma non garantisce il recupero: per questo è importante farsi rilasciare un riferimento della segnalazione e seguire le istruzioni dell’intermediario.

Banca d’Italia raccomanda anche di denunciare l’accaduto alle autorità e, se necessario, presentare un reclamo formale all’intermediario. Se la risposta non arriva o non convince, possono esistere strumenti di tutela come l’Arbitro Bancario Finanziario, da valutare in base al caso. Nessuno può stabilire in astratto se il rimborso spetti sempre: dipende dal tipo di operazione, dalle modalità di autorizzazione e dalle circostanze documentate.

Come ridurre il rischio in futuro

• Usare password lunghe e diverse per ogni servizio, preferibilmente con un gestore di password.
• Attivare l’autenticazione a più fattori, soprattutto su email, banca e social network.
• Aggiornare regolarmente telefono, computer, browser e applicazioni.
• Abilitare le notifiche della banca e controllare con frequenza i movimenti.
• Limitare i dati personali pubblici: nomi, viaggi e relazioni aiutano a costruire messaggi credibili.
• Parlare delle truffe in famiglia, senza colpevolizzare chi è stato ingannato: la vergogna ritarda la reazione.

Verificare prima di fidarsi

La sicurezza non richiede di sospettare di tutto, ma di separare il messaggio dalla verifica. Una comunicazione può avere il logo giusto, conoscere il nostro nome e arrivare nello stesso elenco delle conversazioni vere. Ciò che conta è il comportamento richiesto: urgenza, segretezza, codici e pagamenti fuori dai canali abituali. Fermarsi, aprire il servizio ufficiale e chiedere conferma resta una difesa semplice. Ed è proprio quella pausa, spesso, a far fallire la truffa.