Phishing: cos'è, come riconoscerlo e come difendersi nel 2026

Il phishing è una tecnica di truffa informatica con cui i criminali si spacciano per enti o aziende affidabili per rubare dati personali, credenziali bancarie o denaro. Nel 2026, in Italia, le truffe online hanno colpito 2,9 milioni di vittime con danni per 880 milioni di euro. I brand più imitati dai truffatori italiani sono PayPal, Amazon e Poste Italiane. Capire come riconoscere il phishing è oggi una competenza digitale essenziale.

Cos'è il phishing e come funziona

Il termine "phishing" deriva dall'inglese "fishing" (pescare), con una "ph" che richiama il gergo degli hacker. Come un pescatore lancia l'amo aspettando che qualcuno abbocchi, i criminali informatici inviano messaggi fraudolenti sperando che le vittime "abbocchino" e rivelino informazioni sensibili.

Il meccanismo tipico si svolge in quattro fasi:

Invio del messaggio truffaldino: email, SMS (smishing) o messaggio WhatsApp che simula una comunicazione legittima da una banca, un corriere, l'INPS o un servizio online.
Creazione dell'urgenza: il messaggio avverte di un problema urgente ("Il tuo conto sarà bloccato", "Pacco in giacenza", "Rimborso fiscale disponibile") per ridurre la capacità critica della vittima.
Reindirizzamento al sito clonato: il link porta a una pagina falsa ma graficamente identica all'originale, dove viene chiesto di inserire credenziali o dati bancari.
Furto dei dati: le informazioni inserite vengono inviate direttamente ai truffatori, che le usano per accedere ai conti reali o rivenderle nel dark web.

I principali tipi di phishing nel 2026

I cybercriminali hanno affinato le loro tecniche, rendendo gli attacchi sempre più sofisticati:

Email phishing

La forma più classica. Rappresenta il 38,1% di tutti i casi di truffa online. Le email false imitano comunicazioni di banche, Poste Italiane, PayPal, Amazon, INPS, Agenzia delle Entrate o corrieri come DHL e BRT.

Smishing (SMS phishing)

Truffe via SMS che spesso fingono di essere avvisi della banca, notifiche di consegna pacchi o rimborsi fiscali. Gli SMS sono considerati più credibili delle email, rendendo questo tipo di attacco particolarmente efficace.

Vishing (Voice phishing)

Telefonate da sedicenti operatori bancari o tecnici informatici che cercano di ottenere PIN, codici OTP o accesso remoto al computer della vittima.

Spear phishing

Attacchi mirati a una persona o organizzazione specifica. I truffatori raccolgono informazioni sulla vittima (nome, azienda, colleghi) per rendere il messaggio più credibile. È il tipo di phishing più pericoloso e più difficile da riconoscere.

Whaling

Spear phishing rivolto ad alti dirigenti aziendali (CEO, CFO) per autorizzare bonifici fraudolenti o rivelare segreti commerciali.

Clone phishing

I criminali copiano un'email legittima ricevuta in precedenza, sostituiscono i link con quelli falsi e la reinviano fingendo di essere un aggiornamento o una correzione.

AI phishing

Nel 2026, l'intelligenza artificiale generativa viene sempre più usata per creare messaggi di phishing perfetti grammaticalmente, personalizzati e in tempo reale, eliminando i tradizionali errori ortografici che permettevano di riconoscere le truffe.

Come riconoscere un messaggio di phishing

Nonostante la crescente sofisticazione, esistono segnali d'allarme che permettono di identificare i tentativi di phishing:

Analizza il mittente

L'indirizzo email del mittente contiene errori o domini sospetti (es. @poste-italiane.net invece di @posteitaliane.it).
Il nome visualizzato sembra legittimo, ma cliccando si vede l'indirizzo reale che è completamente diverso.
Il numero di telefono non corrisponde a quello ufficiale dell'ente.

Valuta il contenuto del messaggio

Tono di urgenza eccessiva: "Agisci entro 24 ore", "Il tuo account sarà sospeso", "Azione immediata richiesta".
Richiesta di dati sensibili: banche e istituzioni legittime non chiedono mai PIN, password o codici OTP via email o SMS.
Saluti generici: "Gentile Cliente" invece del tuo nome e cognome.
Errori grammaticali o traduzione automatica riconoscibile (soprattutto nei messaggi più datati).
Promesse troppo allettanti: rimborsi inaspettati, premi, eredità, offerte imperdibili.

Verifica il link prima di cliccare

Passa il mouse sopra il link (senza cliccare) per vedere l'URL reale nella barra di stato del browser.
Controlla attentamente il dominio: "paypa1.com" (con il numero 1) invece di "paypal.com".
Fai attenzione ai sotto-domini ingannevoli: "paypal.com.verifica-account.it" - il dominio reale è "verifica-account.it", non PayPal.
Usa servizi come VirusTotal.com per verificare i link sospetti prima di aprirli.

Come difendersi dal phishing: 10 regole fondamentali

Non cliccare mai sui link nei messaggi sospetti. Vai direttamente al sito ufficiale digitando l'URL nel browser.
Attiva l'autenticazione a due fattori (2FA) su tutti i servizi importanti, preferendo le app di autenticazione (Google Authenticator, Authy) rispetto ai codici via SMS.
Usa password diverse e complesse per ogni servizio. Un gestore di password (password manager) ti aiuta a ricordarne una per ogni sito.
Mantieni aggiornato il sistema operativo e il browser per beneficiare delle ultime patch di sicurezza.
Usa un antivirus aggiornato con protezione in tempo reale e filtri anti-phishing.
Non condividere mai PIN, password, codici OTP o dati bancari via telefono, email o SMS, nemmeno se il richiedente sembra legittimo.
Verifica l'URL prima di inserire dati: deve iniziare con "https://" e il lucchetto deve essere presente.
Sii scettico verso le urgenze: le organizzazioni legittime non ti chiedono di agire immediatamente senza possibilità di verifica.
Forma te stesso e la tua famiglia, soprattutto i parenti anziani che sono le vittime più frequenti delle truffe telefoniche.
Controlla regolarmente gli estratti conto bancari per rilevare transazioni non autorizzate.

Cosa fare se hai subito un attacco di phishing

Se pensi di essere caduto in una trappola di phishing, agisci rapidamente:

Cambia immediatamente la password del servizio compromesso e di tutti i servizi dove usi la stessa password.
Contatta la tua banca se hai inserito dati bancari: chiedi il blocco immediato della carta o del conto.
Attiva l'autenticazione a due fattori se non l'hai già fatto.
Verifica gli accessi recenti al tuo account per individuare attività sospette.
Denuncia alla Polizia Postale tramite il sito commissariatops.it. La denuncia è fondamentale per le statistiche e può aiutare le autorità a smantellare le reti criminali.
Segnala il phishing al servizio che è stato imitato (banca, Poste, PayPal) perché possa avvisare altri utenti.

Per la sicurezza informatica in generale, consulta anche il nostro articolo su l'importanza della cybersecurity oggi.

Le truffe phishing più diffuse in Italia nel 2026

I brand più imitati dai truffatori per attacchi phishing in Italia sono:

PayPal: false email di verifica account o rimborsi.
Amazon: false notifiche di problemi con ordini o pagamenti.
Poste Italiane: false comunicazioni di giacenza pacchi o aggiornamento del conto BancoPosta.
Intesa Sanpaolo, UniCredit, Banco BPM: finti avvisi di sicurezza bancaria.
INPS e Agenzia delle Entrate: false notifiche di rimborsi fiscali o contributi.
DHL, BRT, Nexive: false notifiche di consegna con richiesta di pagamento di spese doganali.

Domande frequenti

Cosa succede se apro un'email di phishing senza cliccare i link?

In genere, aprire un'email senza cliccare link o scaricare allegati non causa danni diretti. Il pericolo reale arriva quando si clicca sui link o si apre un allegato infetto. Tuttavia, l'apertura dell'email può confermare ai truffatori che il tuo indirizzo è attivo, portando a ulteriori tentativi. Se hai aperto per errore un'email sospetta, non rispondere, non cliccare nulla e cancellala.

Come faccio a sapere se un sito è sicuro?

Controlla che l'URL inizi con "https://" (la "s" sta per "secure") e che sia presente il lucchetto nella barra del browser. Tuttavia, attenzione: anche i siti di phishing possono avere il certificato HTTPS. L'elemento più importante rimane sempre la verifica attenta del dominio: assicurati che corrisponda esattamente al sito ufficiale.

Il phishing è reato in Italia?

Sì. In Italia il phishing può configurare diversi reati previsti dal Codice Penale: truffa aggravata (art. 640 c.p.), accesso abusivo a sistemi informatici (art. 615-ter c.p.), sostituzione di persona (art. 494 c.p.) e frode informatica (art. 640-ter c.p.). Le pene possono arrivare a diversi anni di reclusione.

L'autenticazione a due fattori è sufficiente a proteggermi?

La 2FA aumenta significativamente la sicurezza, ma non è infallibile. Esistono attacchi avanzati di "adversary-in-the-middle" che riescono a intercettare anche i codici OTP in tempo reale. Le app di autenticazione (TOTP) sono più sicure dei codici via SMS, e le chiavi di sicurezza fisiche (FIDO2) offrono la protezione più elevata. La 2FA rimane comunque un livello di protezione fondamentale e va attivata sempre.

Come denuncio una truffa phishing in Italia?

Puoi denunciare online sul sito della Polizia Postale (commissariatops.it), recarti fisicamente in qualsiasi commissariato di polizia o stazione dei carabinieri, oppure contattare il CERT-AGID (Agenzia per l'Italia Digitale) che gestisce le segnalazioni di phishing contro la Pubblica Amministrazione. La denuncia è importante anche per ottenere eventualmente un risarcimento.

I messaggi phishing arrivano anche su WhatsApp?

Sì, in modo crescente. Il "whishing" (WhatsApp phishing) usa messaggi che sembrano provenire da contatti conosciuti o da aziende ufficiali tramite account con loghi aziendali. Spesso promettono buoni sconto, premi o lavori remunerativi, con l'obiettivo di rubare dati o installare malware sul telefono.

Cosa sono i QR code fraudolenti (quishing)?

Il "quishing" è una variante del phishing che usa QR code falsificati per reindirizzare a siti malevoli. I truffatori applicano adesivi con QR code falsi su parchimetri, ristoranti, cartelli pubblicitari o inviano QR code via email. Prima di scansionare un QR code, verifica visivamente che non ci siano adesivi sovrapposti e controlla l'URL che viene visualizzato prima di aprirlo.