Un’email fraudolenta può imitare una banca, un corriere, un servizio online, un’azienda o persino un collega di lavoro. Spesso il messaggio invita a cliccare su un link, aprire un allegato, fornire una password o effettuare un pagamento. Il phishing sfrutta soprattutto l’urgenza, la paura e la fiducia nel mittente, ma alcuni controlli permettono di individuare molte anomalie prima di correre rischi.

Riconoscere una truffa non significa affidarsi a un singolo dettaglio, come il logo o l’indirizzo visualizzato nell’app. È necessario valutare insieme mittente, contenuto, link, allegati, richiesta e contesto. In questa guida vediamo come analizzare un messaggio sospetto, quali comportamenti evitare e come segnalarlo correttamente.

Che cosa sono phishing, truffe via email e spoofing

Il phishing è una tecnica di ingegneria sociale con cui un criminale cerca di convincere la vittima a consegnare informazioni riservate, installare software dannoso o compiere un’operazione. Le informazioni più ricercate sono credenziali di accesso, codici temporanei, dati della carta, documenti e dati personali. Il messaggio può anche indirizzare a una pagina falsa che riproduce l’aspetto di un sito legittimo.

Il termine spoofing indica la falsificazione o la manipolazione dell’identità apparente del mittente o di altri elementi della comunicazione. In una email, il nome visualizzato può sembrare quello di un contatto conosciuto, mentre l’indirizzo reale appartiene a un dominio diverso. In alcuni casi anche il campo del mittente può essere falsificato: per questo il semplice indirizzo visualizzato non è sempre sufficiente a stabilire l’autenticità del messaggio.

Le truffe via email non hanno necessariamente l’obiettivo di rubare una password. Possono chiedere un bonifico urgente, il pagamento di una fattura, l’acquisto di buoni regalo, la modifica delle coordinate bancarie o l’invio di documenti. Negli ambienti di lavoro questi attacchi possono impersonare un dirigente, un fornitore o un partner commerciale.

I segnali che devono insospettire

Il primo elemento da controllare è il mittente reale. Aprendo i dettagli del messaggio, verifica l’indirizzo completo e il dominio dopo la chiocciola. Un nome noto associato a un indirizzo insolito, a un dominio gratuito o a una variante con lettere aggiunte può indicare un tentativo di impersonificazione. Anche domini simili a quello legittimo, con caratteri sostituiti o parole aggiuntive, meritano attenzione.

Non sono però sempre presenti errori grammaticali. I criminali possono preparare messaggi scritti correttamente o usare strumenti automatici per renderli più credibili. Errori di ortografia, traduzioni innaturali, saluti generici e grafica incoerente sono indizi utili, ma la loro assenza non dimostra che l’email sia autentica.

Un segnale particolarmente importante è la pressione psicologica. Frasi come “l’account verrà bloccato oggi”, “il pagamento è urgente” o “devi verificare subito la tua identità” puntano a impedire una verifica ragionata. Anche richieste riservate o insolite, come non contattare nessuno, rispondere solo via email o usare un canale personale, devono essere considerate sospette.

Controlla poi la coerenza con il contesto: hai davvero un conto presso quella banca? Stai aspettando quel pacco? Conosci il mittente e ti aspettavi quell’allegato? Un messaggio inatteso non è automaticamente una truffa, ma richiede una verifica indipendente prima di eseguire qualsiasi operazione.

Come controllare link e allegati senza correre rischi

Prima di cliccare, porta il cursore sul link da computer oppure usa la funzione di anteprima disponibile nell’app, senza aprirlo. L’indirizzo mostrato dovrebbe appartenere al dominio ufficiale del servizio. Fai attenzione a URL molto lunghi, domini sconosciuti, sottodomini usati per confondere, abbreviazioni di link e indirizzi che contengono il nome del marchio in una parte secondaria. Il nome del sito presente nel testo non conta: è l’indirizzo effettivo del collegamento a dover essere verificato.

Da smartphone il controllo può essere meno agevole. In caso di dubbio, non usare il link dell’email: apri manualmente il sito digitando l’indirizzo conosciuto oppure utilizza l’app ufficiale. Per contattare un’azienda, cerca il numero o il canale di assistenza sul suo sito, non utilizzare i recapiti inclusi nel messaggio sospetto.

Gli allegati possono contenere malware, cioè software dannoso. Prestare particolare attenzione a file eseguibili, archivi compressi, documenti che chiedono di abilitare macro o contenuti attivi e file con estensioni poco familiari. Anche un PDF o un documento apparentemente normale non deve essere aperto automaticamente se la provenienza è incerta. Non disattivare le protezioni del sistema o dell’applicazione per visualizzare un allegato ricevuto senza preavviso.

Un servizio di posta può mostrare avvisi di sicurezza o classificare il messaggio come spam, ma nessun filtro è infallibile. Allo stesso modo, la presenza del lucchetto nel browser indica una connessione cifrata, non che il sito sia legittimo: anche una pagina truffaldina può usare una connessione HTTPS.

Che cosa fare quando un’email sembra fraudolenta

Non rispondere, non cliccare sui link e non aprire gli allegati. Evita anche di scaricare immagini o di seguire istruzioni contenute nel messaggio. Se devi verificare una richiesta, fallo attraverso un canale già noto e indipendente: un’applicazione ufficiale, un numero presente sul contratto, il sito digitato manualmente o un contatto aziendale già utilizzato in precedenza.

Puoi segnalare il messaggio usando il comando “Segnala phishing” o “Segnala come spam” disponibile nel servizio di posta. La segnalazione aiuta il provider a migliorare i filtri. Dopo aver conservato le informazioni utili, elimina il messaggio e svuota la cartella della posta indesiderata quando opportuno.

Se l’email riguarda una banca, un pagamento o un servizio specifico, segnala l’accaduto anche all’organizzazione coinvolta usando esclusivamente i suoi canali ufficiali. In caso di frode, perdita di denaro, furto di identità o minacce, conserva il messaggio originale e le informazioni tecniche disponibili, quindi valuta una segnalazione alle autorità competenti. Non inoltrare inutilmente l’email a colleghi o amici: potresti propagare link o allegati pericolosi.

Se hai già cliccato o inserito i tuoi dati

Agisci rapidamente, senza continuare a interagire con la pagina. Se hai inserito una password, cambiala immediatamente dal sito ufficiale, non dal link ricevuto. Se la stessa password è utilizzata su altri servizi, sostituiscila anche lì con credenziali uniche. Attiva l’autenticazione a più fattori quando disponibile e controlla gli accessi recenti, le sessioni attive e le regole di inoltro della posta che non riconosci.

Se hai fornito dati bancari o della carta, contatta subito la banca tramite un numero ufficiale e chiedi indicazioni per bloccare o monitorare le operazioni. Controlla i movimenti e segnala tempestivamente eventuali transazioni non autorizzate. Se hai aperto un allegato sospetto o installato un programma, scollega il dispositivo dalla rete quando necessario, esegui una scansione con strumenti di sicurezza aggiornati e chiedi assistenza qualificata, soprattutto se si tratta di un computer aziendale.

La difesa più efficace nasce dalla combinazione di prudenza e verifica: nessun logo, tono professionale o nome conosciuto dovrebbe sostituire il controllo dell’indirizzo e del contesto. Quando una richiesta è urgente, insolita o richiede credenziali, denaro o documenti, interrompere il flusso e verificare tramite un canale indipendente è spesso il modo più semplice per evitare la truffa.