Come funziona
Il truffatore invia un’email che riproduce fedelmente l’aspetto di una banca, di un servizio di pagamento come PayPal, di un ente pubblico o di un corriere. Il messaggio segnala un problema, un accesso sospetto, un blocco, un rimborso da ricevere, e contiene un link verso una pagina identica all’originale dove la vittima inserisce le proprie credenziali.
Esistono forme più mirate. Nello spear phishing il messaggio è costruito su misura grazie a informazioni già raccolte sulla vittima. Con le false PEC dell’Agenzia delle Entrate l’indirizzo del mittente viene camuffato per sembrare istituzionale. Nel pharming, più raro, l’utente viene dirottato su un sito falso anche se digita l’indirizzo corretto.
Sul piano penale e civile
Chi usa le credenziali carpite per entrare nell’home banking della vittima commette, di regola, accesso abusivo a un sistema informatico e frode informatica. Sul piano civile la disciplina dei servizi di pagamento pone a carico della banca la prova della corretta autenticazione dell’operazione e dell’eventuale colpa grave del cliente. La banca deve anche dimostrare di aver adottato sistemi di sicurezza adeguati, come l’autenticazione forte e gli avvisi in tempo reale sulle operazioni.
Operazione fatta da altri. Se i truffatori hanno usato le tue credenziali per disporre pagamenti al posto tuo, l’operazione è non autorizzata. In questo caso la disciplina europea sui servizi di pagamento (direttiva PSD2, attuata in Italia dal D.Lgs. 11/2010) tutela in modo forte il cliente. La banca deve rimborsare subito, salvo un fondato sospetto di frode da parte del cliente, e la sentenza della Corte di giustizia UE del 15 ottobre 2026, causa C-70/25 ha chiarito che non può rifiutare il rimborso immediato sostenendo che il cliente sia stato gravemente negligente. Quella valutazione viene dopo, e la prova spetta alla banca.
Come riconoscerla
- Indirizzo del mittente con piccole differenze rispetto a quello ufficiale, come un carattere in più o un trattino.
- Senso di urgenza e minaccia di conseguenze immediate.
- Richiesta di inserire dati o di aprire allegati non attesi.
- Link che, passandoci sopra con il mouse senza cliccare, mostrano un indirizzo diverso.
Cosa fare subito
- Cambia subito le password inserite, partendo da email e home banking.
- Blocca carte e accessi chiamando il numero verde ufficiale.
- Conserva l’email originale senza cancellarla e fotografa il sito clone con la barra dell’indirizzo.
- Sporgi denuncia alla Polizia Postale e invia reclamo scritto alla banca.
Trovi tutti i passaggi, dalla raccolta delle prove al reclamo, nella guida Cosa fare subito dopo una truffa.
Domande frequenti
PayPal è tenuta alle stesse regole di una banca?
Sì. Le regole sulle operazioni non autorizzate si applicano a tutti i prestatori di servizi di pagamento, compresi gli istituti di pagamento come PayPal.
Ho ricevuto una PEC dall’Agenzia delle Entrate con una sanzione da pagare. Come verifico?
Non usare i link o i dati di pagamento indicati nel messaggio. Controlla il tuo cassetto fiscale accedendo con SPID o CIE dal sito ufficiale e, nel dubbio, contatta l’ufficio per i canali istituzionali.