Truffe online: come riconoscerle in trenta secondi

Per riconoscere una truffa online non serve conoscerle tutte, e per fortuna, perché ne nasce una nuova ogni settimana. Serve conoscere il copione, che invece è sempre lo stesso da vent'anni: qualcuno ti contatta senza che tu l'abbia cercato, ti racconta una storia che ti mette addosso una sensazione forte, ti chiede qualcosa e ti mette fretta perché tu non abbia il tempo di controllare.

Quattro mosse, in quest'ordine. Cambiano i costumi (il corriere, la banca, il nipote, il carabiniere, la ragazza conosciuta su Facebook), ma la struttura sotto è identica. Chi impara a vederla non ha più bisogno di ricordarsi l'elenco dei messaggi pericolosi, e questa è la differenza fra sentirsi in balia della tecnologia e sentirsi tranquilli.

Le quattro mosse, riconoscibili una per una

Uno: il contatto arriva a te. Un SMS, una telefonata, una email, un messaggio su WhatsApp, un commento sotto una foto. Il punto non è il mezzo, è la direzione: sono loro a cercare te. Le cose serie della tua vita, quelle vere, non cominciano quasi mai con qualcuno che ti scrive dal nulla.

Due: c'è una storia che ti fa sentire qualcosa. Paura (il conto è bloccato, c'è un accesso non autorizzato), affetto (sono tuo figlio, sono nei guai), autorità (sono la Polizia, è in corso un'indagine), avidità (hai vinto, c'è un rimborso che ti spetta), curiosità (guarda chi ha visitato il tuo profilo). Nessuno cade in una truffa perché è distratto: ci si casca perché il messaggio colpisce un punto che conta davvero.

Tre: c'è una richiesta. Soldi, dati della carta, un codice arrivato per SMS, le credenziali di un sito, l'installazione di un programma che permetta di vedere il tuo schermo. Qui la truffa si scopre sempre, perché la richiesta è quasi sempre sproporzionata rispetto alla storia.

Quattro: c'è la fretta. Entro ventiquattro ore, adesso, ultima possibilità, non dirlo a nessuno. La fretta è la firma. Serve a impedire l'unica cosa che smonta ogni truffa, cioè una verifica fatta con calma, per conto proprio, chiamando un numero che non è quello del messaggio.

Se un messaggio ha tutte e quattro le cose, è una truffa nel novantanove per cento dei casi. Se ne ha tre, va verificato prima di fare qualunque cosa.

La regola dei cinque minuti

La contromisura più efficace non è tecnologica ed è alla portata di chiunque: quando un messaggio ti fa sentire qualcosa di forte, aspetta cinque minuti prima di toccare qualsiasi cosa.

Non serve capire se è vero o falso in quei cinque minuti. Serve solo che passino. L'agitazione ha una durata breve e, quando scende, la stessa frase che sembrava urgentissima si legge in un modo completamente diverso: si notano il nome scritto male, l'indirizzo che non torna, il fatto che nessuno ti chiami mai per nome.

I truffatori lo sanno benissimo, ed è per questo che ogni loro messaggio contiene un orologio che scorre. Se qualcuno ha bisogno che tu decida in fretta, il motivo è che con calma non ci cascheresti.

Come si verifica davvero una cosa

C'è un principio solo, e vale sempre: non si verifica mai da dentro il messaggio.

Se l'SMS dice di essere della banca, la banca si chiama al numero stampato sul retro della carta, oppure si apre l'applicazione che hai già installato. Se dice di essere le Poste, si va sul sito scrivendo l'indirizzo nel telefono. Se dice di essere tuo figlio da un numero nuovo, si chiama tuo figlio al suo numero di sempre.

Il link nel messaggio, il numero nel messaggio e l'indirizzo email di chi ha scritto sono tutti sotto il controllo di chi ti sta truffando. Usarli per verificare è come chiedere a un venditore se la sua merce è buona.

Vale anche per una cosa che sembra innocua: rispondere. A un SMS truffaldino non si risponde nemmeno per dire di smettere, perché una risposta conferma che il numero è attivo e che dall'altra parte c'è una persona che legge. Quel numero vale di più, e finisce in liste che vengono rivendute.

Le cinque cose che nessuno ti chiederà mai davvero

Un modo rapido per tagliare corto. Nessun ente serio, in nessuna circostanza, ti chiederà:

1. Il codice arrivato per SMS. Quel codice serve a confermare un'operazione. Chi te lo chiede sta facendo un'operazione in quel momento e ha bisogno che tu la autorizzi. Nemmeno la banca lo chiede: sul messaggio stesso c'è scritto di non comunicarlo a nessuno.
2. Il PIN o la password. Non li chiede la banca, non li chiede la Posta, non li chiede il tecnico. Chi li chiede non è chi dice di essere.
3. Di installare un programma per vedere il tuo schermo mentre sei al telefono con lui. È il passaggio finale della truffa del finto tecnico e serve a operare sul tuo conto da casa tua.
4. Di spostare i soldi su un conto sicuro. Non esiste nessun conto sicuro. È la frase con cui si conclude la truffa del finto carabiniere o del finto funzionario di banca.
5. Di non parlarne con nessuno. La richiesta di segretezza non ha nessuna ragione legittima. Serve a tenerti lontano dall'unica cosa che ti salverebbe, che è raccontarlo a qualcuno.

Se compare anche una sola di queste cinque richieste, la conversazione si chiude lì. Riattaccare non è maleducazione: dall'altra parte non c'è nessuno da offendere.

Perché capita a persone intelligenti

Vale la pena dirlo chiaramente, perché la vergogna è la ragione principale per cui queste truffe restano in piedi.

Nel 2025 la Polizia Postale ha trattato oltre 27.000 casi di reati informatici a sfondo economico, con oltre 269 milioni di euro sottratti alle vittime in Italia. Non sono numeri che si spiegano con la disattenzione di qualcuno: sono il risultato di messaggi costruiti da persone che fanno questo di mestiere, spediti a milioni, che ogni tanto arrivano nel momento esatto in cui aspettavi davvero un pacco o avevi davvero un problema con la banca.

La truffa non punta sull'ignoranza, punta sul tempismo e sulle emozioni. È per questo che ci cascano anche i figli, anche i nipoti, anche chi lavora nella tecnologia. E chi ci è cascato non ha nessuna colpa: ha incrociato un messaggio scritto apposta per lui in un giorno storto.

I segnali che si vedono a occhio nudo

Restando sui messaggi scritti, ci sono dettagli che si notano appena si sa dove guardare.

L'indirizzo del sito. È la prova più solida di tutte. Guarda la parte che sta prima della prima barra: deve finire esattamente con il nome ufficiale. poste.it è delle Poste, poste-ritiro.com no, e nemmeno poste.it.verifica-utente.net, che sembra giusto ma il nome vero lì è verifica-utente.net.

Il saluto generico. «Gentile cliente», «Buongiorno utente». La tua banca il tuo nome lo sa.

Gli errori. Accenti sbagliati, spazi mancanti, maiuscole a caso, frasi tradotte male. Spesso non è sciatteria, è un filtro: chi non nota gli errori è anche chi ha più probabilità di arrivare fino in fondo.

Il numero che sembra italiano ma non lo è, oppure il mittente scritto a lettere. Nel campo del mittente di un SMS si può scrivere qualunque cosa, «Poste» e «INPS» comprese, e finire nella stessa conversazione dei messaggi veri. Un messaggio che appare sotto quelli autentici non è per questo autentico.

Cosa fare se hai già dato qualcosa

Se sei arrivato a inserire i dati o a fare un versamento, la fretta ora serve a te. In quest'ordine:

1. Blocca la carta dall'applicazione della banca o chiamando il numero sul retro della carta.
2. Chiama la banca e racconta cosa è successo, senza girarci intorno: serve a loro per bloccare le operazioni in corso.
3. Chiedi il disconoscimento delle operazioni che non hai autorizzato. Esiste una procedura, e prima si segnala meglio va.
4. Cambia le password dei servizi coinvolti, a partire dalla email, che è la chiave che apre tutto il resto.
5. Sporgi denuncia ai Carabinieri, alla Polizia o sul portale del Commissariato di Pubblica Sicurezza Online, commissariatodips.it. Serve anche alla banca per l'istruttoria.
6. Dillo a qualcuno di famiglia. Non per farsi consolare, ma perché spesso la stessa truffa torna a bussare una seconda volta, con la scusa di aiutarti a recuperare i soldi.

Quando la truffa arriva per telefono

Con una voce dall'altra parte il copione è lo stesso, ma tutto corre più veloce e non c'è un testo scritto da rileggere. Per questo al telefono conviene avere una regola pronta invece di una valutazione da fare sul momento.

La regola è questa: si riattacca e si richiama. Chiunque dica di essere, se la cosa è vera si può ricontrollare chiamando tu il numero ufficiale, quello che trovi sulla carta, sulla bolletta o sul sito scritto da te nel telefono. Un funzionario vero non si offende e non ha nessun motivo di impedirtelo. Un truffatore, invece, farà di tutto per non farti riattaccare, e insisterà proprio su quello.

C'è poi una cosa nuova che vale la pena sapere, perché toglie sicurezza a un'abitudine antica: la voce non è più una prova. Con i programmi disponibili oggi bastano pochi secondi di parlato, presi da un video pubblicato sui social, per far dire a una voce clonata qualunque frase. Chi telefona in lacrime dicendo di essere tuo nipote può avere davvero la voce di tuo nipote.

L'unica difesa che regge è quella di sempre, e non è tecnologica: riattaccare e richiamare la persona al suo numero. Molte famiglie si sono date anche una parola d'ordine, una parola qualunque che si conosce solo in casa, da chiedere quando una telefonata è strana. Sembra un gioco, e funziona.

Il riassunto che vale la pena ricordare

Se di tutto l'articolo dovesse restarti una riga sola: chi ti mette fretta ti sta truffando.

Da lì discende tutto il resto. La fretta è il segno che non vogliono darti il tempo di controllare, e controllare, sempre per conto proprio e mai dal messaggio, è la cosa che manda a monte qualunque truffa, compresa quella che verrà inventata il mese prossimo.

Nel corso sulle truffe digitali questo copione si vede all'opera un caso alla volta, con i messaggi veri davanti e le simulazioni per allenarsi a rispondere. Se invece con il telefono sei ancora agli inizi, si può partire da prima: il primo smartphone comincia da accendere, toccare e aprire.