Come riconoscere un’email di phishing (e cosa fare se hai cliccato)

L’essenziale in breve. Il phishing è una truffa via email o SMS che imita banche, corrieri o servizi noti per rubarti password e dati. I segnali tipici: senso di urgenza, mittente sospetto, link che non corrispondono al sito ufficiale, errori di lingua e richieste di dati riservati. La regola d’oro è non cliccare e non inserire mai credenziali partendo da un’email: vai sempre al sito ufficiale digitando tu l’indirizzo.

Le truffe via email sono tra le minacce più diffuse e colpiscono chiunque. Il phishing fa leva sulla fretta e sulla fiducia: un messaggio che sembra della tua banca o di un servizio che usi, e che ti spinge ad agire d’impulso. Riconoscerlo richiede pochi minuti e può evitarti grossi guai.

Che cos’è il phishing

Il termine richiama la “pesca”: il truffatore lancia un’esca (un’email credibile) sperando che la vittima abbocchi, cliccando un link o fornendo dati. L’obiettivo è ottenere password, numeri di carta o accessi ai tuoi account. I messaggi imitano loghi e grafica di aziende reali e oggi sono spesso ben confezionati.

I segnali che smascherano un’email di phishing

• Urgenza e minaccia: “il tuo account sarà bloccato entro 24 ore”. Creare panico serve a farti agire senza pensare.
• Mittente sospetto: controlla l’indirizzo email completo, non solo il nome visualizzato.
• Link ingannevoli: passa il mouse sopra il link senza cliccare e guarda l’indirizzo reale. Se non corrisponde al sito ufficiale, è una trappola.
• Richiesta di dati riservati: nessuna banca seria chiede password o codici via email.
• Errori di lingua e saluti generici: “Gentile cliente”, frasi tradotte male, refusi.
• Allegati inattesi: file che non aspettavi possono contenere software dannosi.

La regola d’oro

Non accedere mai ai tuoi servizi partendo dal link di un’email. Se ricevi un avviso, apri il browser e digita tu stesso l’indirizzo ufficiale, oppure usa l’app ufficiale. Così, anche se l’email fosse falsa, non finiresti su un sito-clone costruito per rubarti i dati.

Cosa fare se hai cliccato o inserito i dati

1. Cambia subito la password del servizio coinvolto, accedendo dal sito ufficiale.
2. Attiva l’autenticazione a due fattori (2FA), che blocca l’accesso anche a chi conosce la tua password.
3. Se hai dato i dati della carta, contatta la banca per bloccarla.
4. Segnala il messaggio come phishing e poi eliminalo.

Domande frequenti

Il phishing arriva solo via email?

No. Esistono varianti via SMS (smishing) e telefono (vishing), ma i principi di difesa sono gli stessi.

Aprire l’email è già pericoloso?

Di norma il rischio nasce dal cliccare link o aprire allegati. In caso di dubbio non interagire e cancella il messaggio.

Come faccio a essere più sicuro in generale?

Usa password diverse per ogni servizio e attiva ovunque possibile l’autenticazione a due fattori.