Email falsa o phishing: come verificarla prima di cliccare

Per capire se un’e-mail è reale o falsa devi controllare mittente, indirizzo del dominio, link, allegati, tono del messaggio e richieste urgenti di dati personali. Non cliccare subito: apri il sito ufficiale dal browser, verifica l’account e segnala l’e-mail se sembra sospetta.

Email sospetta: controllala senza aprire link o allegati

Il nome visualizzato del mittente non dimostra chi abbia inviato il messaggio. Espandi i dettagli e controlla l'indirizzo completo, soprattutto la parte dopo la chiocciola. Diffida di domini con lettere sostituite, parole aggiunte o estensioni insolite. Un logo corretto, un tono professionale e il tuo nome nel testo non rendono automaticamente autentica un'email.

Non usare il pulsante presente nel messaggio per verificare un pagamento, un account bloccato o una consegna. Apri invece il sito o l'app ufficiale digitando tu l'indirizzo. Da computer puoi passare il puntatore sul collegamento senza cliccare per vedere la destinazione; da telefono tienilo premuto senza aprirlo. Non caricare allegati sospetti su servizi pubblici se contengono dati personali o aziendali.

Se hai già inserito una password, cambiala immediatamente dal sito ufficiale, termina le sessioni sconosciute e attiva la verifica in due passaggi. Se hai aperto un allegato, esegui una scansione di sicurezza e controlla eventuali programmi installati. Segnala il messaggio come phishing nel servizio di posta e contatta direttamente l'organizzazione imitata.

• Controlla l’indirizzo completo, non soltanto il nome del mittente.
• Apri il servizio dal sito o dall’app ufficiale.
• Non comunicare password, OTP, PIN o dati della carta via email.
• Dopo un clic sospetto cambia subito le credenziali coinvolte.

Guide correlate su Soluzionecomputer.it: riconoscere un’email di phishing, controllare gli account collegati alla propria email, gestire le password salvate nel browser.

Fonti ufficiali: guida Gmail contro il phishing, controllo autenticazione dei messaggi Gmail, guida CERT-AGID sul phishing.

Perché è importante riconoscere un’e-mail falsa

Ricevere un’e-mail sospetta è ormai molto comune. Può sembrare un messaggio della banca, di Poste Italiane, di PayPal, di Apple, di Google, di Microsoft, dell’Agenzia delle Entrate o di un corriere. Spesso il testo avvisa di un problema urgente: un pagamento bloccato, un account sospeso, un pacco in giacenza, un rimborso da ricevere o una password da confermare.

Il problema è che molte e-mail false sono costruite molto bene. Non sempre contengono errori evidenti, loghi sgranati o frasi scritte male. Alcuni messaggi di phishing usano grafiche simili a quelle originali, domini apparentemente credibili e testi generati con strumenti di intelligenza artificiale. Per questo non basta “fidarsi dell’aspetto” dell’e-mail.

In questa guida vedremo come verificare se un’e-mail è reale o falsa, quali segnali controllare prima di cliccare su un link, come analizzare il mittente, cosa fare con allegati sospetti e dove segnalare un messaggio fraudolento.

Che cos’è un’e-mail falsa o di phishing

Un’e-mail falsa è un messaggio creato per ingannarti. Può avere diversi obiettivi:

• rubare password e credenziali di accesso;
• ottenere dati personali, codice fiscale, numero di telefono o documento;
• convincerti a inserire dati della carta di credito;
• farti scaricare un allegato pericoloso;
• spingerti a effettuare un pagamento;
• farti accedere a un sito che imita quello originale.

Il termine più usato è phishing. Si tratta di una truffa informatica in cui il criminale finge di essere un’azienda, un ente pubblico, una banca o un servizio conosciuto per portarti a compiere un’azione rischiosa.

Esistono anche varianti più mirate, come lo spear phishing, quando il messaggio sembra scritto apposta per te, magari usando il tuo nome, il nome della tua azienda o informazioni reali trovate online.

Come verificare se un’e-mail è reale o falsa: controlli principali

Prima di cliccare su qualsiasi link o scaricare allegati, fai questi controlli.

Controlla bene l’indirizzo del mittente

Il primo elemento da verificare è il mittente. Non guardare solo il nome visualizzato, perché può essere modificato facilmente.

Un’e-mail potrebbe mostrarti come mittente:

“Assistenza PayPal”
“Poste Italiane”
“Apple Support”
“Agenzia delle Entrate”
“Microsoft Account”

Ma l’indirizzo reale potrebbe essere completamente diverso.

Esempi sospetti:

• assistenza-paypal@gmail.com
• posteitaliane-verifica-account@dominio-strano.com
• supporto.apple.security@mail-random.net
• agenziaentrate-rimborso@outlook.com

Un’azienda importante di solito non invia comunicazioni ufficiali da indirizzi gratuiti come Gmail, Outlook, Yahoo o domini sconosciuti. Devi controllare soprattutto la parte dopo la @.

Esempio:

• nome@paypal.com può essere coerente con PayPal;
• nome@paypal-sicurezza.com non è la stessa cosa;
• nome@paypaI.com può sembrare uguale, ma potrebbe usare una “i” maiuscola al posto della “l”.

Su computer, puoi passare il mouse sul nome del mittente o cliccare sui dettagli del messaggio per vedere l’indirizzo completo. Su smartphone, tocca il nome del mittente per visualizzare più informazioni.

Verifica se il dominio è scritto correttamente

Il dominio è la parte finale dell’indirizzo e-mail o del sito web. È uno dei segnali più importanti.

Esempio:

• google.com è un dominio ufficiale di Google;
• g00gle.com non è Google;
• poste.it è il sito ufficiale di Poste Italiane;
• poste-verifica-login.com non è Poste Italiane;
• apple.com è Apple;
• apple-account-security.net non è Apple.

I truffatori usano spesso domini simili agli originali, con parole aggiunte o lettere cambiate. Questa tecnica serve a confondere chi legge velocemente.

Controlla con attenzione:

• lettere sostituite da numeri;
• trattini aggiunti;
• parole come “sicurezza”, “verifica”, “login”, “account”, “assistenza” inserite nel dominio;
• estensioni strane o poco conosciute;
• domini molto lunghi e difficili da leggere.

Non cliccare subito sui link

Uno degli errori più comuni è cliccare subito sul pulsante presente nell’e-mail: “Verifica account”, “Aggiorna dati”, “Sblocca pagamento”, “Conferma identità”, “Scarica documento”.

Prima di cliccare, controlla dove porta davvero il link.

Da computer puoi passare il mouse sopra il link senza cliccare. In basso nel browser o nel programma di posta dovresti vedere l’indirizzo reale. Se l’indirizzo non corrisponde al sito ufficiale del servizio, non aprirlo.

Da smartphone puoi tenere premuto sul link per visualizzare l’anteprima dell’indirizzo. Fai attenzione a non aprirlo per sbaglio.

La regola più sicura è questa: se l’e-mail ti chiede di accedere a un account, non usare il link del messaggio. Apri il browser e digita manualmente il sito ufficiale.

Esempi:

• per Gmail vai su https://mail.google.com
• per PayPal vai su https://www.paypal.com
• per Apple vai su https://appleid.apple.com
• per Microsoft vai su https://account.microsoft.com
• per Poste Italiane vai su https://www.poste.it

Se c’è davvero un problema, lo troverai anche entrando direttamente nel tuo account ufficiale.

Diffida dalle richieste urgenti

Le e-mail false cercano spesso di metterti pressione. Il messaggio può dire che devi agire entro poche ore, altrimenti perderai l’account, il rimborso, il pacco o l’accesso al servizio.

Frasi tipiche da considerare sospette:

• “Il tuo account sarà bloccato entro 24 ore”
• “Pagamento non riuscito, aggiorna subito la carta”
• “Hai diritto a un rimborso, inserisci i dati”
• “Il tuo pacco è fermo, paga una piccola somma”
• “Conferma immediatamente la tua identità”
• “Ultimo avviso prima della sospensione”

L’urgenza è una tecnica psicologica. Serve a farti agire senza ragionare. Quando un messaggio ti mette fretta, fermati e controlla meglio.

Attenzione agli allegati sospetti

Un’e-mail falsa può contenere allegati pericolosi. Non aprire file se non sei sicuro della provenienza.

Fai particolare attenzione a file con estensioni come:

• .exe
• .bat
• .scr
• .js
• .vbs
• .zip
• .rar
• .iso
• .html
• .docm
• .xlsm

Anche un PDF può essere usato in modo ingannevole, ad esempio per mostrarti un link da cliccare o una falsa comunicazione ufficiale.

Se ricevi una fattura, una ricevuta, una convocazione, una multa o un documento inatteso, verifica prima dal sito ufficiale del servizio. Se il messaggio sembra provenire da una persona che conosci, contattala con un altro canale, ad esempio telefono o WhatsApp, e chiedi conferma.

Controlla grammatica, tono e impaginazione

Molte e-mail false contengono ancora errori di traduzione, frasi poco naturali o formattazione strana. Tuttavia, oggi questo controllo non basta più, perché i messaggi possono essere scritti molto meglio rispetto al passato.

Segnali da osservare:

• errori grammaticali evidenti;
• saluti generici come “Gentile cliente”;
• testo troppo generico;
• loghi sfocati o impaginazione disordinata;
• firme incomplete;
• link diversi dal testo mostrato;
• messaggi non coerenti con il servizio che usi.

Un’e-mail scritta bene non è automaticamente vera. Un’e-mail scritta male, invece, è sicuramente da controllare con molta attenzione.

Verifica se ti chiede dati personali o password

Un segnale molto importante riguarda le richieste di dati. Diffida dalle e-mail che chiedono di inserire o confermare:

• password;
• codici OTP;
• PIN;
• dati della carta;
• codice fiscale;
• documento d’identità;
• coordinate bancarie;
• credenziali SPID, CIE o account pubblici;
• codici ricevuti via SMS.

Nessun servizio serio dovrebbe chiederti di inviare password o codici di sicurezza via e-mail. Se hai dubbi, accedi sempre dal sito ufficiale e controlla eventuali notifiche nell’area personale.

Controlla l’intestazione dell’e-mail se vuoi una verifica più tecnica

Per utenti un po’ più esperti, è possibile controllare anche l’intestazione completa del messaggio, chiamata header. Questa sezione contiene informazioni tecniche sul percorso dell’e-mail, sui server utilizzati e sui controlli di autenticazione.

In Gmail puoi aprire il messaggio, cliccare sui tre puntini e scegliere “Mostra originale”. Da lì puoi vedere controlli come SPF, DKIM e DMARC.

In Outlook puoi aprire i dettagli del messaggio e visualizzare le intestazioni Internet.

Questi controlli possono aiutare a capire se il mittente è stato autenticato correttamente, ma non sono sempre semplici da interpretare. Per un principiante, la cosa più importante resta non cliccare sui link e verificare sempre dal sito ufficiale.

Come verificare un’e-mail sospetta su Gmail

Se usi Gmail, puoi controllare e segnalare facilmente un messaggio sospetto.

Passaggi consigliati:

1. Apri Gmail.
2. Apri l’e-mail sospetta senza cliccare sui link.
3. Controlla mittente, link e allegati.
4. Clicca sui tre puntini in alto a destra.
5. Seleziona “Segnala phishing”.

Puoi consultare anche la guida ufficiale di Google: Evita e segnala le email di phishing – Gmail.

Gmail mostra spesso avvisi automatici quando rileva messaggi sospetti. Se vedi un avviso rosso o giallo, non ignorarlo.

Come verificare un’e-mail sospetta su Outlook

Anche Outlook permette di segnalare messaggi di phishing.

Passaggi generali:

1. Apri Outlook.
2. Seleziona il messaggio sospetto.
3. Non aprire allegati e non cliccare sui link.
4. Usa l’opzione “Segnala”.
5. Scegli “Segnala phishing” se disponibile.

La guida ufficiale Microsoft è disponibile qui: Phishing e comportamenti sospetti in Outlook.

Come verificare un’e-mail falsa di Apple

Le e-mail false che imitano Apple sono molto diffuse. Possono parlare di Apple ID, iCloud, App Store, acquisti non riconosciuti o metodi di pagamento scaduti.

Controlla sempre:

• l’indirizzo del mittente;
• il dominio del link;
• eventuali richieste di password;
• acquisti che non riconosci;
• allegati inattesi.

Apple consiglia di segnalare le e-mail sospette che sembrano provenire da Apple inoltrandole a reportphishing@apple.com. Puoi leggere le indicazioni ufficiali qui: Riconoscere ed evitare schemi di ingegneria sociale, phishing e altre truffe.

Se hai inserito la password su un sito sospetto, cambia subito la password del tuo Apple Account dal sito ufficiale.

Come verificare un’e-mail falsa di PayPal

Le e-mail false a tema PayPal sono molto frequenti perché riguardano soldi, pagamenti e account collegati a carte o conti bancari.

Segnali sospetti:

• richiesta di aggiornare subito il metodo di pagamento;
• presunto pagamento non autorizzato;
• link che non portano a paypal.com;
• messaggio che invita a confermare dati personali;
• allegati strani;
• tono urgente o minaccioso.

PayPal consiglia di controllare sempre i link prima di aprirli e di non cliccare se la destinazione non è chiara. La guida ufficiale è qui: Come riconoscere un sito o un’e-mail PayPal falso.

Per sicurezza, apri PayPal digitando manualmente https://www.paypal.com nel browser e controlla notifiche, transazioni e richieste direttamente dal tuo account.

Come verificare e-mail false dell’Agenzia delle Entrate

Le false e-mail dell’Agenzia delle Entrate possono parlare di rimborsi, controlli fiscali, fatture, dichiarazioni, documenti da scaricare o comunicazioni urgenti. Sono particolarmente pericolose perché sfruttano il timore di problemi fiscali.

Prima di aprire link o allegati:

• controlla il mittente;
• verifica se il messaggio è generico;
• non inserire credenziali;
• non scaricare file se non sei certo della provenienza;
• entra direttamente nell’area riservata dal sito ufficiale.

Puoi consultare la pagina ufficiale dell’Agenzia delle Entrate dedicata al phishing: Phishing: attenzione alle false e-mail.

Cosa fare se hai cliccato su un link sospetto

Se hai cliccato su un link sospetto ma non hai inserito dati, chiudi subito la pagina. Poi esegui questi controlli:

1. Cancella la cronologia recente del browser.
2. Controlla se sono stati scaricati file.
3. Non aprire eventuali download automatici.
4. Esegui una scansione antivirus.
5. Accedi al servizio digitando il sito ufficiale nel browser.
6. Verifica movimenti, accessi o notifiche insolite.

Se hai inserito password, dati bancari o codici di sicurezza, agisci immediatamente.

Cosa fare se hai inserito dati su un sito falso

In questo caso devi intervenire subito.

Azioni consigliate:

1. Cambia immediatamente la password dell’account coinvolto.
2. Se usi la stessa password altrove, cambiala anche sugli altri servizi.
3. Attiva l’autenticazione a due fattori.
4. Controlla dispositivi collegati e accessi recenti.
5. Esci da tutte le sessioni attive.
6. Contatta la banca se hai inserito dati di carta o conto.
7. Blocca la carta se necessario.
8. Segnala l’e-mail al provider di posta.
9. Conserva il messaggio come prova.
10. Valuta una segnalazione alla Polizia Postale.

Per segnalazioni online puoi usare il sito del Commissariato di P.S. online: Segnala online – Polizia Postale.

Strumenti utili per controllare link e allegati

Esistono strumenti online che possono aiutarti a fare un controllo preliminare. Usali con attenzione e non caricare documenti personali o riservati.

Puoi usare:

• VirusTotal per controllare file o link sospetti;
• Google Safe Browsing per verificare se un sito è segnalato come pericoloso;
• Have I Been Pwned per controllare se la tua e-mail compare in violazioni di dati note.

Questi strumenti non danno una garanzia assoluta. Un sito appena creato per una truffa potrebbe non essere ancora segnalato. Per questo il controllo più importante resta sempre il buon senso: se l’e-mail ti chiede dati, soldi o accessi urgenti, fermati.

Checklist veloce per capire se un’e-mail è vera o falsa

Usa questa checklist ogni volta che ricevi un messaggio sospetto:

• Il mittente è davvero quello ufficiale?
• Il dominio dopo la @ è corretto?
• Il testo contiene urgenza o minacce?
• Il messaggio chiede password, PIN o codici?
• Il link porta al sito ufficiale?
• Sono presenti allegati inattesi?
• L’e-mail parla di un servizio che uso davvero?
• Il messaggio è generico o poco personalizzato?
• Posso verificare la stessa comunicazione entrando dal sito ufficiale?
• Il provider di posta mostra avvisi di sicurezza?

Se anche solo due o tre risposte ti sembrano strane, meglio non cliccare.

Pro tip: crea una regola personale di sicurezza

Il consiglio più semplice è adottare una regola fissa: non accedere mai a un account partendo da un link ricevuto via e-mail.

Anche se il messaggio sembra reale, apri il browser, digita manualmente il sito ufficiale o usa l’app ufficiale già installata sul telefono. In questo modo riduci moltissimo il rischio di finire su una pagina falsa.

Un’altra buona abitudine è usare un password manager. I gestori di password, oltre a salvare credenziali sicure, spesso non compilano automaticamente la password se il sito non corrisponde al dominio corretto. Questo può aiutarti a riconoscere pagine false.

Come proteggersi dalle e-mail false in futuro

Per ridurre il rischio di cadere in una truffa, segui queste buone pratiche:

• usa password diverse per ogni account;
• attiva l’autenticazione a due fattori;
• aggiorna browser, sistema operativo e app;
• non pubblicare troppe informazioni personali online;
• non rispondere alle e-mail sospette;
• non inoltrare codici OTP a nessuno;
• usa solo app ufficiali;
• controlla regolarmente gli accessi recenti degli account importanti;
• segnala i messaggi sospetti;
• educa anche familiari e colleghi meno esperti.

Le truffe via e-mail funzionano perché puntano sulla distrazione. Bastano pochi secondi di attenzione in più per evitare problemi seri.

Errori da evitare

Quando ricevi un’e-mail sospetta, evita questi comportamenti:

• cliccare sul link “per vedere cosa succede”;
• scaricare allegati per curiosità;
• rispondere al mittente;
• inviare documenti personali via e-mail;
• inserire password dopo aver aperto un link;
• fidarti solo del logo;
• credere che un’e-mail sia vera solo perché contiene il tuo nome;
• ignorare gli avvisi di Gmail, Outlook o del browser.

Anche se il messaggio sembra urgente, prenditi il tempo di verificare.

SPF e DKIM superati non significano email affidabile

I controlli di autenticazione aiutano a capire da dove proviene un messaggio, ma non certificano che la richiesta sia onesta. Anche un truffatore può autenticare le email del proprio dominio; inoltre un account reale può essere compromesso.

1. In Gmail sul computer apri il messaggio e il menu con i tre puntini accanto a Rispondi, poi seleziona Mostra originale.
2. Leggi i risultati di autenticazione insieme all’indirizzo completo del mittente, non soltanto al nome visualizzato.
3. Confronta il dominio con quello del servizio, raggiunto da un indirizzo già noto. Un dominio simile non diventa autentico perché mostra un risultato PASS.
4. Per richieste di pagamenti o cambi di coordinate, verifica con un contatto conosciuto usando un canale distinto.

Un’autenticazione fallita non basta, da sola, a dichiarare falsa un’email: anche alcuni inoltri possono creare problemi. Non caricare allegati riservati, documenti personali o link con token di recupero password su servizi pubblici di analisi. L’assenza di rilevamenti non garantisce sicurezza.

Riferimento ufficiale: autenticazione dei messaggi Gmail.

Conclusione

Verificare se un’e-mail è reale o falsa richiede pochi controlli, ma può evitarti furti di dati, accessi non autorizzati e truffe economiche. Prima di cliccare su un link o aprire un allegato, controlla sempre mittente, dominio, contenuto del messaggio e richiesta ricevuta.

Se hai dubbi, non rispondere e accedi sempre dal sito ufficiale del servizio. Condividi questa guida con chi usa spesso e-mail, smartphone e servizi online: può essere utile per evitare truffe e riconoscere subito i messaggi sospetti.

Domande frequenti

Come faccio a capire se un’e-mail è falsa?

Per capire se un’e-mail è falsa controlla il mittente, il dominio dopo la chiocciola, i link presenti nel messaggio, eventuali allegati e il tipo di richiesta. Se l’e-mail chiede password, codici, dati bancari o azioni urgenti, è meglio non cliccare e verificare dal sito ufficiale.

Un’e-mail con il logo ufficiale è sempre sicura?

No, il logo non basta per stabilire se un’e-mail è reale. I truffatori possono copiare facilmente loghi, colori e grafiche di aziende conosciute. Devi sempre controllare l’indirizzo reale del mittente e i link contenuti nel messaggio.

È sicuro cliccare su un link ricevuto via e-mail?

Se non sei sicuro della provenienza del messaggio, è meglio non cliccare. Per accedere a un account, apri il browser e digita manualmente l’indirizzo del sito ufficiale oppure usa l’app ufficiale già installata sul telefono.

Cosa devo fare se ho cliccato su un link sospetto?

Chiudi subito la pagina, non inserire dati personali e controlla se sono stati scaricati file. Poi esegui una scansione antivirus, cambia la password dell’account interessato se necessario e verifica eventuali accessi o movimenti sospetti.

Cosa devo fare se ho inserito la password in un sito falso?

Devi cambiare immediatamente la password dal sito ufficiale del servizio. Se usavi la stessa password anche su altri account, cambiala anche lì. Attiva inoltre l’autenticazione a due fattori e controlla gli accessi recenti.

Come posso controllare se un link è pericoloso?

Puoi passare il mouse sul link da computer o tenerlo premuto da smartphone per vedere l’indirizzo reale. Puoi anche usare strumenti come VirusTotal o Google Safe Browsing, ricordando però che nessun controllo online offre una garanzia assoluta.

Dove posso segnalare un’e-mail di phishing?

Puoi segnalare l’e-mail direttamente dal tuo servizio di posta, ad esempio tramite le funzioni “Segnala phishing” di Gmail o Outlook. In caso di truffa o possibile reato informatico, puoi rivolgerti anche alla Polizia Postale.