Guida completa contro phishing, spam, telemarketing e truffe online

Una e-mail della banca che chiede di confermare i dati, un SMS che annuncia un pacco bloccato, una telefonata che parla di un'anomalia sul conto: sono scenari diversi con la stessa logica. Chi li costruisce vuole che tu agisca in fretta, senza controllare. Questa guida mette insieme le indicazioni di quattro fonti ufficiali italiane: il Garante per la protezione dei dati personali, la Polizia Postale (Commissariato di P.S. online), l'Agenzia per la cybersicurezza nazionale con il suo CSIRT Italia e l'AGCOM, l'Autorità per le garanzie nelle comunicazioni.

Il testo segue le pagine di queste istituzioni e non aggiunge altro. Dove una pagina è breve o non dice qualcosa, lo indichiamo. Le pagine del Garante sul telemarketing dichiarano di avere finalità informative.

Cosa fare per prima cosa

Se hai appena ricevuto un messaggio o una chiamata sospetta, o temi di aver già risposto, queste sono le mosse che le fonti indicano come prioritarie.

1. Fermati. La Polizia Postale chiede di prendersi il tempo per riflettere e di non farsi guidare da fretta e urgenza, qualunque sia il numero chiamante o il mittente.
2. Non cliccare e non aprire allegati nei messaggi di sconosciuti. Il Garante avverte che possono contenere virus o programmi capaci di prendere il controllo di computer e smartphone.
3. Non comunicare dati. Codici di accesso, PIN, password, dati bancari e della carta non vanno mai dati a sconosciuti.
4. Interrompi e richiama tu. Chiudi la conversazione e richiama l'ufficio o la persona usando numeri conosciuti e sicuri, non quelli ricevuti nel messaggio.
5. Se hai già ceduto dati bancari, contatta immediatamente la banca o il gestore della carta attraverso canali conosciuti e affidabili. In caso di sottrazione di denaro chiedi il blocco delle transazioni e, volendo, segnala la truffa alle autorità di polizia.

Phishing, smishing, vishing, spam: di cosa parliamo

I termini si sovrappongono, quindi conviene fissarli. Tutte le fonti ruotano attorno a un'idea: la truffa funziona perché è la vittima a consegnare i dati. La Polizia Postale lo scrive senza giri di parole: sono le stesse vittime del raggiro a consegnare i propri dati ai truffatori, rispondendo a comunicazioni che sembrano legittime ma non lo sono.

Il phishing

Smishing e vishing sono, per il Garante, varianti del phishing. Nella pagina di consigli sul phishing, la Polizia Postale descrive il caso classico: una e-mail, presumibilmente della tua banca, che chiede dati riservati e rimanda tramite un link a un sito dove confermarli.

Lo smishing

Per il Garante lo smishing è il phishing tramite SMS: una forma di truffa che usa messaggi di testo e sistemi di messaggistica, compresi quelli delle piattaforme social, per appropriarsi di dati personali a fini illeciti. L'esempio che fa la scheda è sottrarre denaro da conti e carte di credito.

Il vishing

Il vishing, o phishing vocale, usa il telefono. Il Garante lo definisce una forma di truffa sempre più diffusa, che serve ad appropriarsi di dati personali, specie bancari o legati alle carte di credito, e a sottrarre poi somme di denaro più o meno ingenti.

Lo spam

Lo spam, nella pagina del Garante, è affrontato con una guida dal titolo "Spam: come difendersi". Ne parliamo in una sezione a parte, perché la pagina web è molto breve.

Come riconoscere un messaggio o una chiamata sospetti

Nessun singolo indizio basta, ma messi insieme aiutano. Le schede del Garante e della Polizia Postale ne elencano diversi.

Il tono: urgenza, minaccia, premio

Il Garante spiega che gli smisher e i visher fanno leva sul timore legato a un rischio incombente, per convincere le vittime ad abbassare la prudenza e a reagire d'impulso. Meglio quindi diffidare dei messaggi con toni ultimativi e intimidatori, o che spingono ad agire con fretta e urgenza.

Alcuni esempi di messaggi da valutare con cautela, tratti dalla scheda sullo smishing:

• una banca, un gestore di carte di credito o una società di recupero crediti che segnalano un account compromesso, problemi tecnici generici o anomalie sul conto o sulla carta, da verificare urgentemente;
• offerte di sconti straordinari su beni e servizi, o ricariche telefoniche a costi incredibilmente vantaggiosi;
• fornitori che segnalano bollette o rate non pagate da saldare con urgenza, oppure pacchi, lettere o raccomandate da ritirare o difficili da consegnare;
• amministrazioni pubbliche che segnalano la necessità di fornire dati, sanzioni da pagare (multe, cartelle esattoriali) o anomalie da verificare;
• piattaforme social o di messaggistica che segnalano una violazione dell'account e chiedono di cliccare link, compilare form, chiamare numeri o inviare messaggi.

Cosa chiedono: dati che nessuno dovrebbe chiederti

La scheda sullo smishing elenca le richieste tipiche: cliccare un link che porta a un form dove inserire dati personali, bancari o della carta; scaricare un allegato; rispondere inviando dati personali come codice fiscale, PIN del Bancomat o dell'Internet banking, numero e codice di sicurezza della carta, OTP (la password temporanea per le operazioni); chiamare un numero dove un finto operatore o un sistema automatico chiede informazioni.

Su questo punto la logica del Garante è lineare. Pubbliche amministrazioni, banche e gestori di carte conoscono già certe informazioni, come il numero di conto o di carta. Non dovrebbero chiederti le informazioni che di solito loro stessi ti invitano a tenere riservate, cioè PIN, password e codici di autorizzazione. Per questo, secondo il Garante, istituzioni e banche non richiedono dati personali tramite SMS o messaggistica istantanea.

Il mittente e il numero

Il Garante invita a prestare attenzione ai messaggi che arrivano da numerazioni anomale o particolari, per esempio numeri con poche cifre, oppure da utenze identificate da un nome con il numero nascosto. In questi casi ci si deve fermare a riflettere, guardando bene il contenuto e il mittente.

Per le telefonate, la scheda sul vishing osserva che istituzioni e aziende chiamano di solito da numeri fissi e con prefissi nazionali. Chiamate da numeri anonimi, da numeri di cellulare o da prefissi stranieri possono essere considerate anomale e dovrebbero renderti prudente. Subito dopo il Garante aggiunge una precisazione importante: ricevere la chiamata da un numero apparentemente ordinario non è, ovviamente, una garanzia di sicurezza.

La lingua e i modi

Per gli SMS, il Garante suggerisce di verificare se il testo presenta anomalie come errori linguistici, grammaticali o lessicali, che spesso sono indizi di smishing. Per le telefonate, ricorda che gli operatori hanno normalmente un atteggiamento cortese: sono sospette le chiamate di chi si rivolge a te con toni poco educati o troppo confidenziali, non consoni all'azienda o all'istituzione che dovrebbe rappresentare.

Il link e il sito

La Polizia Postale propone controlli molto concreti sul fronte web:

• se pensi che la e-mail sia autentica, diffida comunque del link: collegati al sito della banca digitando nel browser l'indirizzo che già conosci;
• verifica che nei siti dove inserisci dati (account, password, numero di carta) la trasmissione avvenga con protocollo cifrato;
• controlla durante la navigazione che l'indirizzo URL sia quello del sito che vuoi visitare e non un sito "copia" creato per carpire dati;
• posiziona il puntatore del mouse sul link nell'e-mail: in basso a sinistra dello schermo deve comparire l'indirizzo del sito indicato, non uno diverso;
• installa sul computer un filtro anti-spam.

Come reagire

Riconoscere il tentativo è la parte facile. Le fonti si soffermano molto anche su cosa fare dopo.

Se non hai fatto nulla

Non rispondere, non cliccare, non scaricare. Il Garante precisa che questo vale anche per gli allegati e per i messaggi che arrivano da sconosciuti. Se il messaggio chiede di richiamare un numero di un'azienda o di un'istituzione, controlla SEMPRE prima se il numero corrisponde a quello ufficiale, per esempio consultando i siti web istituzionali.

Per estrema sicurezza, invece di usare il numero ricevuto, ci si può rivolgere al centralino o all'URP dell'azienda o dell'istituzione e chiedere di essere messi in contatto con l'ufficio che dovrebbe aver inviato il messaggio. Il Garante consiglia inoltre di evitare di richiamare numeri sconosciuti, soprattutto in caso di telefonate mute con caduta immediata della linea e di numerazione che appare anomala.

Se hai già dato dei dati

Il Garante è chiaro e identico nelle schede su smishing e vishing: se hai il dubbio di essere stato vittima di phishing riguardo a dati bancari o della carta, conviene contattare immediatamente la banca o il gestore della carta attraverso canali di comunicazione conosciuti e affidabili. Lo scopo è segnalare l'accaduto e, in caso di sottrazione di denaro, richiedere il blocco delle transazioni. In questa seconda ipotesi, aggiunge, si può anche segnalare la truffa subita alle autorità di polizia.

Perché agire in fretta? La scheda sul vishing spiega che il danno può essere anche molto ingente, perché prima che la vittima si accorga delle sottrazioni può passare del tempo, durante il quale i truffatori possono effettuare numerosi prelievi e transazioni, oppure rivendere i dati ad altri cybercriminali.

Il trucco del codice da leggere ad alta voce

Il Garante descrive un caso preciso. Durante o dopo la finta telefonata di allarme arriva sul cellulare un messaggio con un codice di conferma e la vittima è invitata a leggerlo ad alta voce all'operatore. Quel codice, spiega la scheda, serve in realtà ad autorizzare trasferimenti di denaro a favore dei truffatori, che erano già entrati in possesso dei dati bancari o della carta, per esempio con altre azioni di phishing o tramite altri cybercriminali.

App e programmi da installare

Alle vittime può essere chiesto di installare app presentate come protezione di conti e carte, che in realtà possono operare come trojan: programmi malevoli capaci di carpire dati o di accedere alle app di internet banking. Spesso i truffatori chiedono poi di inserirvi i dati bancari.

Abitudini che limitano i danni

Il Garante indica due abitudini per proteggere conti e carte:

• controllare spesso le movimentazioni e attivare, se disponibili, sistemi di alert automatico che avvisano di ogni operazione effettuata;
• non conservare sullo smartphone le credenziali (password, PIN, codici) di conti e carte, perché in caso di intrusione, per esempio con un malware, potrebbero essere sottratte facilmente.

Furto d'identità: cosa dicono le fonti

La Polizia Postale ha dedicato un articolo, datato 14.03.2025, al furto d'identità. Parte da un elenco di strategie dei cybercriminali: chiedere di confermare l'identità inviando copie di documenti; chiedere dati bancari per bloccare un pagamento sospetto; chiedere di aggiornare informazioni personali; spingere a cliccare su link malevoli per evitare la sospensione di un servizio o per visualizzare un documento che ci riguarda.

Spoofing e intelligenza artificiale

Secondo l'articolo, grazie all'uso illecito dello spoofing e delle nuove tecniche di intelligenza artificiale i truffatori possono camuffare la propria identità e farti credere che l'interlocutore sia un operatore antifrode, un familiare, l'INPS, un agente di polizia o la tua banca.

Il consiglio della Polizia Postale

Qualunque sia il numero chiamante, o il mittente della e-mail o del messaggio, prima di comunicare dati personali e bancari occorre prendersi il tempo di riflettere e verificare con cura che la richiesta sia legittima. Il consiglio operativo è interrompere la conversazione e richiamare l'ufficio o la persona usando numeri conosciuti e sicuri. Inoltre non si devono trasmettere copie di documenti e informazioni personali cliccando su link ricevuti per SMS o e-mail.

L'articolo rimanda al sito www.commissariatodips.it per ulteriori informazioni. Non descrive una procedura di denuncia passo per passo né indica numeri da chiamare.

Numeri falsificati: lo spoofing

Lo spoofing compare in tre fonti diverse, con tre significati vicini.

Spoofing del numero di una persona nota

La scheda del Garante sullo smishing parla del caso in cui il truffatore ha preso il controllo del dispositivo o del numero di un conoscente, o di un soggetto con cui abbiamo rapporti o pratiche in corso (un'amministrazione, un'impresa), e lo usa per ingannarci. Le precauzioni indicate sono due: guardare se il testo presenta anomalie, e chiedersi se davvero quella persona o quell'ente farebbe certe richieste, come chiedere soldi via SMS. In caso di dubbio, va contattata sui canali affidabili per chiedere conferma.

Il filtro anti-spoofing dell'AGCOM

Il comunicato stampa dell'AGCOM, pubblicato il 24 novembre 2025, illustra un filtro previsto dalla delibera n. 106/25/CONS. Funziona in due fasi:

• la prima, avviata il 19 agosto, ha bloccato tutte le chiamate dall'estero con numero italiano di rete fissa;
• la seconda, operativa dal 19 novembre, blocca le chiamate mobili provenienti dall'estero con numero italiano, escluse quelle dei clienti effettivamente in roaming.

Il comunicato spiega che le chiamate con numeri italiani provenienti dall'estero sono di norma illecite, essendo i numeri italiani assegnati solo in Italia. Restano escluse dal blocco quelle provenienti dal cellulare di clienti realmente in roaming in altre nazioni.

L'AGCOM riporta anche alcuni primi dati forniti dagli operatori. Per esempio, un gestore di rete mobile ha comunicato di aver bloccato 8,1 mln di chiamate spoofing dal 19 al 21 novembre. L'Autorità parla di valori della percentuale di chiamate illecite da numerazioni mobili bloccate anche del 50%, 70%, fino al 90%, a seconda dell'operatore, e ne ricava che una buona parte dello spoofing proviene dall'estero. Il dato, precisa, è parziale: una rilevazione complessiva sarà pubblicata dopo un periodo più esteso di attivazione del blocco.

Cosa il filtro non copre

Qui sta l'informazione più utile per chi riceve le chiamate. Il comunicato osserva che il fenomeno si sta spostando sulle chiamate dall'estero con numeri internazionali, che non possono essere bloccati sulla base del quadro normativo vigente. L'AGCOM invita perciò i cittadini a prestare la massima attenzione a tali chiamate, quando vengono offerti contratti e servizi di varia natura. Prevede anche che potrebbe aumentare lo spoofing originato in Italia, su cui promette vigilanza e sanzioni.

Spam: cosa dice il Garante e cosa non precisa

La pagina del Garante sullo spam è molto sintetica. Il suo titolo è "Spam: come difendersi. Le indicazioni del Garante privacy", e rinvia a un vademecum e a un video-tutorial. Il testo della pagina contiene soprattutto un'avvertenza: il vademecum è stato realizzato prima dell'applicazione del Regolamento UE 679/2016, avvenuta il 25 maggio 2018, e di questa circostanza occorre tenere conto nella consultazione.

Questo è tutto ciò che la pagina afferma. Non contiene istruzioni su come bloccare un mittente, né indica un canale per segnalare lo spam. Tra i servizi online del sito compare una voce, "Segnalazione telefonate indesiderate", che la pagina non descrive. Per questo motivo, per le comunicazioni commerciali indesiderate via telefono ci affidiamo alla pagina sul telemarketing, che invece è molto più ricca.

Telemarketing e Registro pubblico delle opposizioni

La pagina del Garante sulle telefonate pubblicitarie indesiderate è la più operativa. Parte dal Decreto del Presidente della Repubblica del 27 gennaio 2022, n. 26, che istituisce e regola il registro pubblico dei contraenti che si oppongono all'uso dei propri dati e del proprio numero telefonico per vendite o promozioni commerciali, ai sensi della legge 11 gennaio 2018, n. 5. La pagina precisa di avere finalità informative ed è aggiornata in base alle evoluzioni normative.

Cos'è il Registro e come si iscrive

Il Registro pubblico delle opposizioni (RPO) era originariamente riservato alle utenze presenti negli elenchi telefonici pubblici. Oggi è esteso a tutti i numeri nazionali riservati, compresi i cellulari. L'intestatario può iscrivere tutti i propri numeri di telefono fissi e mobili, sia quelli presenti negli elenchi pubblici sia quelli riservati.

Il Garante rimanda al sito www.registrodelleopposizioni.it per iscriversi e per tutte le informazioni. Il Registro è un servizio istituzionale completamente gratuito per il cittadino. Ne è titolare il Ministero delle Imprese e del Made in Italy, che ne ha affidato realizzazione, gestione e manutenzione alla Fondazione Ugo Bordoni (FUB).

Cosa cambia con l'iscrizione

Secondo la pagina del Garante:

• l'iscrizione impedisce agli operatori di trattare i dati personali per inviare materiale pubblicitario, per la vendita diretta, per la comunicazione commerciale o per ricerche di mercato;
• annulla i consensi al telemarketing e alla cessione a terzi di dati personali eventualmente rilasciati in precedenza per finalità promozionali, per esempio in occasione di campagne promozionali, attivazione di tessere fedeltà o adesione a scontistica;
• la revoca dei consensi vale sia per le chiamate con operatore umano sia per quelle automatizzate, le cosiddette "robocall".

Quali chiamate restano possibili

Dopo l'iscrizione si possono ricevere solo le chiamate autorizzate nell'ambito di contratti attivi o cessati da non più di 30 giorni (la pagina fa l'esempio del settore telefonico ed energetico) e quelle per cui l'interessato ha rilasciato un apposito consenso dopo la data di iscrizione al RPO. Un consenso dato dopo l'iscrizione, quindi, rende di nuovo possibili quelle chiamate.

Se le chiamate continuano

Il Garante indica una sequenza in due passaggi.

1. Rivolgerti al titolare del trattamento. Nella maggior parte dei casi coincide con l'operatore economico nel cui interesse è stato fatto il contatto promozionale. Se è noto, ci si può rivolgere anche al responsabile del trattamento (il call center, il partner commerciale, l'agente, il fornitore di servizi), ai recapiti generalmente indicati nei rispettivi siti internet. Lo scopo è verificare se è stato acquisito un consenso al marketing e opporsi alla ricezione di altre telefonate indesiderate.
2. Segnalare al Garante. Se, nonostante la richiesta di opposizione, le chiamate dello stesso titolare continuano, l'interessato può presentare una segnalazione tramite il servizio telematico messo a disposizione dal Garante, il cui indirizzo è riportato nella pagina.

C'è un'avvertenza da conoscere. Dato il numero elevatissimo di istanze e le risorse disponibili, le segnalazioni, pur essendo ciascuna esaminata, potranno non essere tutte trattate individualmente, ma consentono comunque all'Autorità di svolgere i propri compiti di controllo.

Chi vigila e quali sanzioni

La pagina ricorda che al Garante sono attribuite funzioni di vigilanza sul Registro (art. 130, comma 3-quater, del Codice privacy) e che la Fondazione Ugo Bordoni deve assicurare al Garante l'accesso al Registro per i controlli necessari. In caso di violazione del diritto di opposizione nelle forme previste dalla legge n. 5 del 2018 si applicano le sanzioni dell'art. 83, par. 5, del Regolamento, che possono arrivare fino a 20 milioni di euro o, per le imprese, al 4% del fatturato mondiale totale annuo dell'esercizio precedente, se superiore.

Cosa dice CSIRT Italia

La fonte dell'ACN è una breve nota del 29 novembre 2022. Sulla pagina compare il titolo "CSIRT Italia: attenti alle truffe" e un'avvertenza del team: i criminali usano l'ingegneria sociale e dobbiamo essere più furbi di loro. La pagina riassume i consigli di CSIRT Italia agli utenti e alle organizzazioni che possono essere prese di mira da campagne di phishing e da truffe online: tra questi attivare misure aggiuntive, come il controllo dei dati di traffico e l'analisi delle infrastrutture, e implementare sistemi di protezione aggiuntivi. Il dettaglio sta nella nota stampa dell'ACN, a cui la pagina rimanda e che non abbiamo usato come fonte.

Per un privato, il contenuto operativo di questa pagina è limitato: conferma il quadro (truffe online, phishing, ingegneria sociale) ma non offre passaggi pratici da seguire.

Cosa le fonti non precisano

Per non lasciarti con false certezze, ecco i punti su cui le pagine consultate tacciono.

• Un numero o un sito unico per segnalare ogni truffa. Il Garante rinvia alla banca e alle autorità di polizia, e la Polizia Postale al proprio sito, ma nessuna delle pagine descrive moduli, numeri di telefono o tempi di risposta per le segnalazioni di phishing.
• Come bloccare lo spam. La pagina del Garante sullo spam rimanda a un vademecum e non spiega il procedimento.
• Quanto tempo hanno le banche per rispondere o rimborsare. Le fonti raccomandano di contattare subito la banca, ma non trattano di rimborsi.
• Cosa succede ai dati già ceduti. Le pagine spiegano come ridurre i danni, non come rintracciare e far cancellare i dati finiti in mano ai truffatori.
• Come riconoscere ogni forma di truffa nuova. Le schede descrivono i tentativi più comuni e dichiarano il proprio carattere divulgativo.

Un'analisi gratuita dei dati visibili online

Remove Me offre un'analisi gratuita, senza bisogno di creare un account: inserisci i tuoi dati e il servizio cerca nei risultati web visibili pubblicamente, nelle violazioni di dati pubbliche note (Have I Been Pwned) e in un registro di data broker, poi mostra un report. Il report si sblocca con un codice a 6 cifre inviato per e-mail. Remove Me non invia ancora richieste di cancellazione per conto della persona.