Quando arriva un messaggio sospetto alla casella aziendale, la tentazione è cancellarlo e passare oltre. Ma una segnalazione ben preparata può aiutare il servizio impersonato o il CERT-AGID a riconoscere una campagna e intervenire; se invece qualcuno ha già inserito password o dati di pagamento, la priorità è ridurre il rischio per gli account e per l’attività.
Qual è il canale giusto per segnalare un phishing?
Dipende da cosa vuoi ottenere. Se il messaggio imita una banca, un fornitore, un ente o una piattaforma, avvisa anche l’organizzazione coinvolta: raggiungi il sito o l’app digitando l’indirizzo che conosci, non usando il link ricevuto. In questo modo il reparto competente può verificare l’uso del proprio nome e indicarti eventuali misure per il tuo account. Per la comunicazione sospetta puoi inoltre avvisare il CERT-AGID, il Computer Emergency Response Team dell’Agenzia per l’Italia Digitale.
Il CERT-AGID mette a disposizione l’indirizzo malware@cert-agid.gov.it per condividere un malware o un’email malevola. Precisa che l’invio è a scopo di studio e condivisione, non è una segnalazione formale e non lo obbliga a intervenire: verifica queste condizioni nella pagina contatti del CERT-AGID. Se la frode ha coinvolto denaro, credenziali o accessi non autorizzati, il canale tecnico non sostituisce il contatto con la banca né la denuncia alle autorità.
Per le frodi online con un danno concreto, puoi rivolgerti alla Polizia di Stato o ai Carabinieri e chiedere come presentare la denuncia, portando le prove che hai conservato. La Polizia ha annunciato un servizio di pre-denuncia online per fattispecie che includono frode informatica, truffa e accesso abusivo; prima di usarlo, controlla la disponibilità e le istruzioni aggiornate sul portale ufficiale. Non dare per scontato che ogni semplice email sospetta richieda una denuncia: conta ciò che è accaduto, non soltanto il messaggio ricevuto.
Quali informazioni raccogliere prima dell’invio?
Una segnalazione utile permette a chi la riceve di capire che cosa è arrivato, quando e attraverso quale canale. Conserva il messaggio originale, il mittente visualizzato, l’indirizzo effettivo del mittente se accessibile, l’oggetto, la data e l’ora. Aggiungi il numero telefonico o il profilo che ha inviato un SMS o una chat, il testo completo, l’URL mostrato e il nome del servizio imitato. Specifica se hai cliccato, scaricato un allegato o inserito informazioni.
Non aprire il link per “controllare meglio” e non scaricare di nuovo il file. Se il collegamento è già stato aperto, copialo dalla barra degli indirizzi solo se puoi farlo senza visitare nuovamente la pagina; altrimenti descrivi dove portava o allega uno screenshot. Evita di trasmettere password, PIN, codici temporanei, numeri completi di carte o documenti non necessari. Se hai già digitato credenziali, scrivi quale servizio è coinvolto e agisci subito, ma non includere la password nella segnalazione.
Quando inoltri un URL sospetto al CERT-AGID, impedisci che diventi cliccabile per errore. Il CERT spiega come “defangare” un indirizzo: per esempio, sostituire il punto nel dominio con [.] e modificare https in hxxps. Segui le indicazioni della sua nota sulla condivisione sicura degli URL; non applicare questa trasformazione ai normali collegamenti utili, perché serve proprio a rendere meno rischioso il passaggio di un link malevolo.
Email, SMS o PEC: cambia qualcosa?
Sì, soprattutto per il modo in cui conservi le prove e avvisi i soggetti coinvolti. Per un’email, mantieni il messaggio originale e usa la funzione di inoltro del tuo servizio di posta. Se disponibile, “inoltra come allegato” conserva più elementi tecnici rispetto a copiare il testo in una nuova email. Puoi anche segnalare il messaggio come phishing o spam al tuo gestore: questo interviene sulla tua casella, ma non equivale a una denuncia né garantisce che il mittente venga bloccato ovunque.
Per SMS e messaggistica, conserva schermate in cui siano visibili testo, data, numero o profilo e link, senza toccare il collegamento. Se la comunicazione riguarda un conto o una carta, contatta la banca usando il numero sul retro della carta o l’app ufficiale. Il Garante per la protezione dei dati personali raccomanda, in caso di sospetto furto di dati bancari o della carta, di avvertire subito l’intermediario tramite canali affidabili e, se c’è stata sottrazione di denaro, di segnalare la truffa alle autorità: leggi i suoi consigli sul phishing telefonico, validi anche come riferimento per distinguere la protezione del conto dalla segnalazione del messaggio.
La PEC non rende sicuro il contenuto: certifica la consegna, non l’assenza di link o allegati dannosi. Se ricevi una PEC inattesa, avvisa anche il gestore della casella o il fornitore PEC interessato e non aprire file che non ti aspettavi. Il CERT-AGID ha riportato di aver gestito oltre 650 eventi legati a caselle PEC abusate o registrate per scopi illeciti tra gennaio e il 15 giugno 2026; il dato riguarda il monitoraggio del CERT, non la totalità dei casi italiani. È un motivo pratico per non considerare affidabile un messaggio soltanto perché arriva via PEC.
Che cosa fare se hai già cliccato o inviato dati?
Agisci in base a ciò che hai condiviso. Se hai inserito la password, raggiungi il servizio digitando autonomamente l’indirizzo corretto e cambiala; se la stessa password era usata altrove, sostituiscila anche su quegli account. Attiva l’autenticazione a due fattori quando disponibile e controlla le sessioni attive, gli indirizzi di recupero e le regole di inoltro della posta. Per riconoscere messaggi costruiti su informazioni aziendali o rapporti di lavoro, può essere utile distinguere il caso mirato descritto nella guida sullo spear phishing nelle PMI.
Se hai inserito dati della carta o del conto, chiama subito la banca con un recapito già noto e chiedi quali misure siano necessarie, per esempio il blocco della carta o la verifica delle operazioni. Se hai condiviso dati SPID o documenti, avvisa il relativo gestore o ente e controlla gli accessi e le attività recenti. Se hai installato un file o un’app su un dispositivo aziendale, non continuare a usarlo per accedere ai servizi sensibili: avvisa chi gestisce la sicurezza informatica o il supporto tecnico, così può isolare il dispositivo e verificare eventuali compromissioni.
Se il messaggio ha raggiunto più caselle di lavoro, avvisa rapidamente i colleghi interessati e chi amministra la posta aziendale, senza inoltrare il link come se fosse una normale comunicazione. Il gestore può controllare se altri destinatari lo hanno ricevuto e rimuoverlo dalle caselle, quando gli strumenti lo consentono. Se un account aziendale potrebbe essere stato compromesso, proteggi anche i dati di lavoro: un piano di backup dei dati aziendali aiuta a prepararsi a incidenti diversi, ma non sostituisce la messa in sicurezza delle credenziali.
Come controllare che la segnalazione sia stata gestita?
Conserva una copia del messaggio, degli screenshot e della comunicazione inviata, annotando data, destinatario e numero di protocollo o conferma, se ricevuti. Controlla la risposta sui canali ufficiali e non fidarti di un secondo messaggio che promette di “risolvere” la frode chiedendo una password, un codice o un pagamento. Nessuna risposta automatica prova da sola che il sito sia stato rimosso o che il tuo account sia protetto.
Dopo l’invio, verifica gli account coinvolti: controlla accessi recenti, operazioni, dispositivi autorizzati e notifiche di recupero password. Nei giorni successivi osserva movimenti bancari e tentativi di accesso, e contatta l’istituto se noti attività che non riconosci. Per l’azienda, chiedi al referente tecnico se il messaggio è stato isolato e se risultano altri destinatari o accessi anomali. Una segnalazione ben documentata non garantisce un risultato specifico, ma rende più semplice valutare l’accaduto e scegliere le misure successive.
Domande frequenti
Devo inoltrare il messaggio sospetto o fare uno screenshot?
Per un’email, conserva il messaggio originale e inoltralo senza aprire link o allegati. Se puoi, usa l’opzione “inoltra come allegato”, così restano disponibili più informazioni tecniche sul mittente e sulla consegna. Per un SMS o una chat, salva screenshot, numero o profilo del mittente, testo e collegamento; non condividere pubblicamente dati personali o codici.
A chi segnalo un SMS che imita una banca o un ente pubblico?
Avvisa l’organizzazione imitata usando recapiti trovati autonomamente sul suo sito o nell’app ufficiale, e segnala il messaggio al CERT-AGID se è una comunicazione malevola. Se hai comunicato dati bancari, contatta subito la banca o l’emittente della carta tramite un canale noto. La segnalazione non sostituisce una denuncia quando c’è una frode o un danno.
La segnalazione al CERT-AGID equivale a una denuncia?
No. Il CERT-AGID raccoglie email malevole e malware per finalità di analisi e condivisione, ma specifica che l’invio non è una segnalazione formale e non comporta l’avvio obbligatorio di un’azione. Se hai subito un danno, una sottrazione di denaro o un accesso abusivo, valuta di informare le forze dell’ordine con le prove disponibili.