E-mail di falsi aggiornamenti di sicurezza, come riconoscere un avviso truffa

MacWindowsiPhoneAndroidAggiornato

La Polizia Postale descrive il phishing come una truffa via e-mail che sembra arrivare da una banca o da un servizio online e, citando problemi di registrazione o di altra natura, ti chiede i tuoi dati di accesso. Un'e-mail che ti spinge a installare un aggiornamento di sicurezza urgente, o ad accedere per risolvere un problema, merita quindi un secondo sguardo. Il controllo sicuro è sempre lo stesso: non usare i suoi link e raggiungi tu l'azienda.

Risposta breve

Tratta con sospetto ogni e-mail inattesa su un aggiornamento di sicurezza urgente, un avviso o un problema con l'account. I segnali: fretta, toni minacciosi, un mittente o un link che non corrispondono all'azienda, richieste di password o codici. Non cliccare. Verifica andando tu sul sito o nell'app dell'azienda. In Italia puoi segnalare il phishing alla Polizia Postale con il modulo Segnalazioni.

Come riconosco un'e-mail di falso aggiornamento di sicurezza?

Guarda cosa ti chiede e quanto ti mette fretta. Il Garante per la protezione dei dati personali spiega che chi fa phishing si presenta in genere come un soggetto autorevole, una banca, un gestore di carte o un ente pubblico, che ti invita a fornire dati per risolvere problemi tecnici. Consiglia di diffidare dei messaggi con toni intimidatori, per esempio minacce di sanzioni se non rispondi subito.

Apple elenca i segnali nei dettagli:

  1. L'indirizzo e-mail o il numero del mittente non corrisponde al nome dell'azienda da cui il messaggio sembra provenire.
  2. L'indirizzo o il numero usato per contattarti è diverso da quello che hai dato all'azienda.
  3. Un link sembra corretto, ma l'URL non corrisponde al sito dell'azienda.
  4. Il messaggio è molto diverso dagli altri ricevuti dalla stessa azienda.
  5. Ti chiede informazioni personali, come il numero della carta di credito o la password di un account.
  6. Non l'hai richiesto e contiene un allegato.

La Polizia Postale aggiunge che il nome visualizzato del mittente può essere facilmente falsificato. Per vedere dove porta un link, sul Mac posiziona il puntatore sopra il link; su un dispositivo iOS, Apple dice che puoi toccare e tenere premuto il link.

Un messaggio scritto bene non prova nulla. Il Garante nota che i messaggi di phishing contengono spesso errori grammaticali, ma la Polizia Postale avverte che l'intelligenza artificiale permette messaggi di phishing privi di errori grammaticali e adatti al profilo della vittima.

Apple e Microsoft mandano avvisi di sicurezza di questo tipo?

Non del tipo che ti chiede la password. Apple scrive: «Apple non ti chiederà mai di accedere ad alcun sito web, di toccare Accetta nella finestra di dialogo di autenticazione a due fattori, né di fornire la tua password, il codice di accesso del dispositivo o il codice di autenticazione a due fattori o di inserire tali informazioni o codici in un sito web.» E aggiunge: «Apple non ti chiederà mai di disabilitare alcuna funzione di sicurezza sul tuo dispositivo o account.» Avverte che i malintenzionati a volte chiedono proprio di disattivare funzioni come l'autenticazione a due fattori.

Microsoft dice che non contatta mai in modo proattivo gli utenti per offrire supporto tecnico non richiesto, e che i suoi messaggi di errore originali non includono mai un numero di telefono da chiamare. Sugli aggiornamenti spiega che gli aggressori mascherano il malware da aggiornamento del browser. Se ricevi un avviso insolito che dice che il browser va aggiornato, chiudi il messaggio, apri le impostazioni del browser e cerca la pagina della Guida: da lì il browser verifica la presenza di aggiornamenti legittimi.

E le finestre che dicono che il mio dispositivo ha un virus?

Chiudile. Apple dice che, se una finestra a comparsa ti segnala un problema di sicurezza o un virus sul dispositivo, non devi prestarle fede: di solito sono pubblicità fraudolente, fatte per farti scaricare software dannoso, dare informazioni personali o inviare denaro. Non chiamare il numero e non seguire i link. Esci dalla pagina o chiudi la finestra o il pannello del browser. La guida visitare un sito hackerato è pericoloso? parla degli avvisi del browser.

Ci sono e-mail truffa sulla vulnerabilità PHP?

Al 23 ottobre 2026, né l'avviso del progetto PHP né l'alert del CSIRT Italia su PHP2Shell, le due vulnerabilità critiche di PHP corrette il 21 ottobre, parlano di e-mail truffa che usano questo tema. Potrebbe cambiare, e i consigli qui sopra valgono comunque.

Aiuta sapere a chi è rivolta la correzione. L'avviso PHP riguarda le installazioni di PHP che rispondono a richieste web, e le azioni raccomandate dal CSIRT Italia sono per chi gestisce quei sistemi: aggiornare. Nessuno dei due chiede ai privati di scaricare qualcosa o di accedere da qualche parte. La guida su PHP2Shell e i tuoi dati personali spiega cosa significa per te.

Come verifico se un'e-mail di sicurezza è vera?

Contatta l'azienda senza usare nulla del messaggio. Microsoft suggerisce di aprire una nuova scheda del browser e andare al sito dell'organizzazione da un preferito che hai salvato, da una ricerca o scrivendo tu il nome di dominio. La Polizia Postale consiglia, nel dubbio, di digitare l'indirizzo ufficiale nel browser o usare l'app ufficiale.

  1. Non cliccare i link, non aprire gli allegati e non rispondere al mittente.
  2. Apri l'app dell'azienda, o scrivi tu il suo indirizzo web.
  3. Se hai ancora dubbi, contatta l'azienda dai canali indicati sul suo sito ufficiale.

Come segnalo un'e-mail truffa?

In Italia usa il modulo Segnalazioni della Polizia Postale su commissariatodips.it, che ha un argomento Phishing. La Polizia Postale precisa che il modulo non serve per querele o denunce e non sostituisce il pronto intervento: per un'urgenza chiama il 112 o il 113.

  • E-mail che sembrano di Apple: inoltrale a reportphishing@apple.com.
  • Truffe del supporto tecnico Microsoft: Microsoft raccoglie le segnalazioni su microsoft.com/reportascam.

Se pensi di essere stato vittima di phishing, il Garante consiglia di contattare direttamente la banca o il gestore della carta di credito attraverso canali conosciuti e affidabili. La guida visitare un sito hackerato è pericoloso? spiega anche come presentare una denuncia.

Altre domande

Ho scritto la mia password dopo aver cliccato un link di queste e-mail. E ora?

La Polizia Postale consiglia di cambiare subito le credenziali e attivare l'autenticazione a più fattori se hai inserito dati in pagine sospette. Cambiala anche ovunque tu l'abbia riusata. Per un Apple Account, Apple dice di cambiare immediatamente la password e di assicurarti che l'autenticazione a due fattori sia abilitata.

Ho cliccato un link o aperto un allegato. Cosa devo fare?

La Polizia Postale consiglia di eseguire una scansione antivirus del dispositivo se sospetti di aver aperto link o allegati. Il Garante suggerisce di installare e tenere aggiornato un antivirus che protegga anche dal phishing.

La Polizia mi ha scritto per un'indagine. È vero?

Diffida. La Polizia Postale scrive che nessuna forza di Polizia contatta mai direttamente i cittadini, via e-mail o SMS, per chiedere dati personali o pagamenti in denaro con la minaccia di procedimenti penali. Ha segnalato e-mail false che usano il suo nome con indirizzi non istituzionali.

La mia banca mi scriverà per confermare i miei dati?

Il Garante ricorda che, in generale, banche, enti pubblici, aziende e grandi catene di vendita non chiedono informazioni personali via e-mail, SMS, social media o chat. Se un messaggio te le chiede, contatta la banca con il numero sulla carta o dal suo sito ufficiale.

Devo avvisare qualcun altro?

La Polizia Postale suggerisce di informare colleghi, familiari o altri possibili destinatari, per ridurre il rischio che altre persone ci caschino.

Fonti