Phishing: cos'è, come riconoscerlo e come difendersi

Il phishing è una truffa online in cui qualcuno si finge una banca, un ente pubblico, un corriere o un collega per convincerti a cliccare su un link, aprire un allegato o comunicare dati personali, password e codici. È una delle minacce più diffuse sia per i privati sia per le aziende, e riconoscerlo è ormai una competenza digitale di base, utile allo studio come al lavoro.

In questa guida vediamo cos'è il phishing, quali forme prende, quali segnali aiutano a scoprirlo e cosa fare se si è già caduti nella trappola, con le indicazioni di Garante privacy, Banca d'Italia e Ministero delle Imprese e del Made in Italy.

Phishing: cos'è e perché funziona

La Banca d'Italia descrive il phishing come un'e-mail apparentemente legittima che simula una richiesta di dati personali, con l'obiettivo di violare un account o eseguire operazioni non autorizzate. Il Garante per la protezione dei dati personali, in una sua infografica, parla di "pescatori di dati personali".

La tecnica funziona perché non attacca il computer, ma la persona. Il messaggio imita il logo, il tono e l'indirizzo di un mittente di cui ci fidiamo e mette fretta: un pacco in giacenza, un conto bloccato, una multa da pagare, un rimborso da ritirare. Secondo il Ministero delle Imprese e del Made in Italy, la maggior parte delle truffe telematiche passa da telefonate, e-mail ed SMS, e i truffatori possono agire su più canali insieme, per esempio con una telefonata che segue un SMS.

Le forme del phishing: e-mail, SMS e telefono

Il principio è sempre lo stesso, cambia il canale. Ecco le varianti più comuni descritte dalle istituzioni italiane.

Fonte: Banca d'Italia, Garante per la protezione dei dati personali, CERT-AgID (Report 2025).

Quanto è diffuso il phishing: i numeri

Secondo l'ENISA Threat Landscape 2025, il rapporto dell'Agenzia dell'Unione europea per la cibersicurezza che ha analizzato 4.875 incidenti tra luglio 2024 e giugno 2025, il phishing è stato il principale vettore di intrusione iniziale, con circa il 60% dei casi osservati. Lo stesso rapporto segnala che all'inizio del 2025 le campagne di phishing supportate dall'intelligenza artificiale rappresentavano oltre l'80% dell'attività di ingegneria sociale osservata nel mondo.

In Italia il report del CERT-AgID ha censito nel 2025 un totale di 3.620 campagne malevole, di cui 1.922 di phishing e 1.698 di malware. Tra i temi più sfruttati ci sono i falsi solleciti a nome di PagoPA per presunte multe stradali, con 328 campagne, e i messaggi a tema INPS, con 59 campagne. Le campagne via SMS sono calate di circa il 23% rispetto al 2024, ma la posta elettronica ordinaria resta il canale più sfruttato.

Come riconoscere un messaggio di phishing

Nessun segnale da solo è una prova, ma più segnali insieme devono far scattare l'allarme. Questi sono quelli indicati dal Garante privacy e dal Ministero delle Imprese e del Made in Italy:

• Urgenza e minacce: diffida dei messaggi con toni ultimativi o intimidatori ("il tuo conto sarà bloccato entro 24 ore").
• Richiesta di codici: banche e istituzioni non chiedono via SMS o messaggistica dati come PIN, password e codici di autorizzazione.
• Mittente strano: controlla l'indirizzo di provenienza delle e-mail e i numeri di telefono; diffida di numeri anomali e mittenti mascherati.
• Link quasi uguali: i truffatori usano indirizzi che differiscono di poco da quelli ufficiali delle aziende.
• Errori di lingua: errori di ortografia, grammatica o sintassi sono spesso un indizio di truffa.
• Offerte troppo belle: promesse di denaro o guadagni facili sono un classico richiamo.

Consiglio: se un messaggio ti chiede di agire subito, fermati. Non usare il link o il numero indicato nel messaggio: apri tu il sito ufficiale o l'app della banca, oppure chiama il numero che trovi sulla carta o sul sito, e verifica da lì se la richiesta è vera.

Come difendersi dal phishing ogni giorno

Le buone abitudini contano più di qualsiasi programma. Il Garante per la protezione dei dati personali raccomanda di non comunicare mai a sconosciuti dati personali, codici di accesso, PIN, password e dati della carta, di non cliccare sui link e non aprire gli allegati di mittenti sconosciuti e di non conservare le credenziali bancarie o della carta sullo smartphone.

Altre regole utili: controllare spesso i movimenti del conto e attivare gli avvisi automatici per ogni operazione; prima di richiamare un numero indicato in un messaggio, verificare sempre che corrisponda a quello ufficiale; mantenere aggiornati software e password, come suggerisce anche il Ministero delle Imprese e del Made in Italy. E soprattutto non avere fretta: i messaggi che spingono ad agire subito sono il primo segnale da non sottovalutare.

Sul lavoro vale lo stesso principio. Se ricevi una richiesta insolita da un collega o da un fornitore, per esempio un pagamento urgente o un cambio di coordinate bancarie, verifica con una telefonata o di persona prima di agire, e segnala il messaggio a chi si occupa della sicurezza informatica in azienda.

Cosa fare se hai cliccato o dato i tuoi dati

Se hai inserito password o dati della carta in una pagina sospetta, agisci subito. Le indicazioni della Banca d'Italia sono queste:

1. Avverti subito la banca o l'emittente della carta, così può attivare le opportune contromisure.
2. Denuncia l'accaduto alla Polizia postale e delle comunicazioni, presso le sue sedi o con gli altri canali disponibili.
3. Presenta un reclamo alla banca se il problema non si risolve: deve rispondere entro 15 giorni lavorativi.
4. Rivolgiti all'Arbitro Bancario Finanziario se la risposta non ti soddisfa: è un sistema di risoluzione delle controversie fuori dal tribunale e richiede di aver prima presentato reclamo alla banca. In alternativa puoi inviare un esposto alla Banca d'Italia.

Domande frequenti

Cosa significa phishing?

È una truffa in cui il criminale si finge un mittente affidabile, come una banca o un ente, per ottenere dati personali, password o codici, oppure per far eseguire operazioni non autorizzate. Il Garante privacy parla di "pescatori di dati personali".

Che differenza c'è tra smishing e vishing?

Lo smishing usa SMS e app di messaggistica, il vishing usa il telefono: un falso operatore chiama e chiede dati bancari o della carta. Il meccanismo è lo stesso del phishing via e-mail.

La banca può chiedermi il PIN o la password via SMS?

No. Il Garante privacy ricorda che banche e istituzioni non chiedono via SMS o messaggistica dati come PIN, password e codici di autorizzazione. Una richiesta del genere è un segnale di truffa.

A chi si segnala un tentativo di phishing?

Se hai subito un danno, alla tua banca e alla Polizia postale. Il Ministero delle Imprese e del Made in Italy indica la Polizia postale come riferimento per le truffe online e ricorda che è sempre possibile denunciare quanto accaduto alle forze dell'ordine.