Cos’è il phishing e come riconoscerlo

Aggiornamento 28/08/2026 · emailusaegetta.it

Il phishing è un messaggio che finge di venire da qualcuno di cui ti fidi per farti consegnare credenziali o dati di pagamento. Funziona sulla fretta, non sull’ingenuità.

Come funziona

Ricevi un messaggio apparentemente dalla banca, dal corriere, dall’Agenzia delle entrate o da un servizio che usi. Ti dice che c’è un problema e che devi agire subito: confermare i dati, pagare una piccola somma, sbloccare il conto. Il link porta a una pagina identica a quella vera, ma su un dominio diverso. Quello che digiti lì finisce direttamente a chi ha costruito la pagina.

I segnali che quasi sempre ci sono

• Urgenza. «Entro 24 ore», «il conto verrà bloccato», «ultimo avviso». Serve a impedirti di ragionare.
• Il dominio non torna. Il testo dice una cosa, il link ne dice un’altra. Passa il mouse sopra al link (o tienilo premuto sul telefono) e guarda l’indirizzo reale.
• Un pagamento piccolo. Due euro di spese doganali, un euro di riconsegna. La cifra bassa serve a farti abbassare la guardia: l’obiettivo sono i dati della carta.
• Un allegato inatteso. Fatture, ricevute e solleciti in formati che chiedono di «abilitare le macro».
• Un saluto generico. «Gentile cliente» invece del tuo nome, in un messaggio che dovrebbe conoscerti.
• Qualcosa che stona. Traduzioni approssimative, spaziature strane, un logo leggermente sbagliato.

Attenzione: i messaggi ben fatti esistono

L’idea che il phishing si riconosca dagli errori di ortografia è superata. Molte campagne oggi sono impeccabili nella forma e conoscono il tuo nome, magari il tuo numero d’ordine. L’unico controllo che regge sempre è quello del dominio: dove porta davvero il link. Come leggerlo è in come riconoscere un sito sicuro.

La regola più utile

Non seguire mai un link contenuto in un messaggio che ti chiede di accedere. Apri tu il sito, digitando l’indirizzo che conosci o usando il segnalibro. Se l’avviso è reale, lo ritrovi dentro il tuo account. Se non c’è, era phishing — e non hai perso nulla.

Se hai già cliccato

1. Se hai inserito la password, cambiala subito — sul sito vero, e ovunque tu l’abbia riutilizzata.
2. Se hai dato i dati della carta, chiama la banca e blocca la carta. Prima è, meglio è.
3. Attiva l’autenticazione a due fattori dove non c’era.
4. Se hai scaricato un allegato, fai una scansione del dispositivo.
5. Segnala il messaggio come phishing nel tuo client di posta: aiuta i filtri.

Dove entra l’email temporanea

Non ti difende dal phishing — chi vuole ingannarti ci prova comunque. Riduce però la probabilità di finire nelle liste da cui partono le campagne, perché il tuo indirizzo vero circola di meno. La differenza tra phishing, spam e truffe vere e proprie è in spam, phishing e truffa: le differenze.