Come riconoscere il phishing e cosa fare se ci sei cascato

A cura della redazione Valo Italia · Pubblicato il 2 ottobre 2026

Email, SMS e telefonate false che imitano banche e app per rubare i tuoi dati: i segnali per riconoscerli e i passi da fare subito se hai già risposto.

Il phishing è un tentativo di truffa in cui qualcuno si finge una banca, un corriere, un'app o un ente pubblico per farti consegnare password, codici o dati della carta. Arriva per email, per SMS (in questo caso si chiama smishing), su WhatsApp o per telefono (vishing).

I segnali che dovrebbero insospettirti

• Urgenza o minaccia. "Il conto sarà bloccato entro 24 ore", "pacco in giacenza, paga ora": chi vuole truffarti ti toglie il tempo per pensare.
• Richiesta di dati sensibili. Nessuna banca seria ti chiede per messaggio password, PIN o codici di conferma (OTP).
• Link strani. L'indirizzo scritto nel testo non coincide con quello reale, oppure è quasi uguale a quello ufficiale con una lettera cambiata.
• Mittente sospetto. Indirizzo email che non c'entra con l'azienda, o numero di telefono sconosciuto.
• Errori e toni strani. Errori di scrittura, saluti generici ("Gentile cliente"), loghi sgranati.
• Premi inattesi. Vincite, rimborsi e bonus per cui non hai fatto nulla.

Come difenderti prima di cliccare

1. Non cliccare il link nel messaggio. Apri direttamente l'app ufficiale o scrivi tu l'indirizzo del sito nel browser.
2. Verifica da un'altra strada. Se ti dicono che c'è un problema sul conto, entra nell'app o chiama il numero scritto sul sito ufficiale o sulla carta.
3. Attiva la verifica in due passaggi sui tuoi account importanti: anche se qualcuno scopre la password, non basta per entrare.
4. Diffida di chi ti telefona. Se ti chiamano "dalla banca" e ti chiedono di spostare soldi o dettare codici, riaggancia e richiama tu il numero ufficiale.

Se hai già cliccato o inserito dei dati

Muoviti subito: le prime ore contano.

1. Contatta la banca dal numero ufficiale e chiedi di bloccare carta, conto o l'operazione.
2. Cambia le password degli account coinvolti, a partire dall'email, da un dispositivo sicuro. Se hai usato la stessa password altrove, cambiala anche lì.
3. Controlla movimenti e accessi recenti e segnala ogni operazione che non riconosci.
4. Conserva le prove: screenshot, messaggi, numeri di telefono, orari.
5. Segnala e denuncia. Puoi rivolgerti alla Polizia Postale (sul portale del Commissariato di P.S. online) e sporgere denuncia presso un ufficio di polizia o dei Carabinieri.

Una regola da ricordare

Se un messaggio ti mette fretta e ti chiede dati o soldi, fermati. Una verifica di due minuti dal canale ufficiale costa poco e può evitarti un danno grande.

Per i raggiri legati a bonus e codici invito leggi anche la guida truffe sui bonus: come riconoscerle.

Fonti ufficiali

• Polizia Postale – Commissariato di P.S. online: segnalazioni e denunce di truffe online.

Leggi anche