🧓 Boomer Cap. 7 · Truffe, prudenza, buon senso

Puntata 078

Puntata 78 — Email di phishing scritte dall’AI

Livello: 🧓 Babbano Boomer · Capitolo 7 · Truffe, prudenza, buon senso

Era facile beccare l’email truffaldina degli anni 2010: italiano scorretto, errori marchiani, mittente assurdo. Oggi l’AI scrive impeccabile e ti chiama per nome. Adesso bisogna guardare meglio.

due email affiancate sullo schermo. A sinistra una vecchia “Gent.mo signora vincete eredita lottaria”, brutta. A destra una nuova “Gentile Sig. Rossi, le scriviamo da Intesa Sanpaolo riguardo all’addebito del 18 maggio…”, perfetta. Sopra entrambe, una grande lente d’ingrandimento che cerca dettagli sospetti

Il salto di qualità del phishing

Fino al 2022, le email di phishing si riconoscevano da:

  • Italiano traballante
  • Errori grammaticali
  • Tono generico (“caro cliente”)
  • Mittenti palesemente falsi

Oggi, con l’AI generativa, i truffatori:

  • ✅ Scrivono italiano perfetto, anche colto
  • ✅ Personalizzano il messaggio col tuo nome, cognome, città
  • ✅ Citano una tua vera bolletta, una tua vera azienda di lavoro, un tuo vero servizio
  • ✅ Imitano lo stile esatto delle email della tua banca/azienda

Il phishing 2026 è molto più subdolo. Ecco come riconoscerlo lo stesso.

Le 7 mosse per smascherare un’email phishing

1. Controlla il MITTENTE (non il nome visualizzato)

Il truffatore può scrivere come nome “Intesa Sanpaolo”, ma l’indirizzo email vero è quello che conta.

  • ✅ Vero: notifiche@intesasanpaolo.com
  • ❌ Falso: intesasanpaolo@servizio-clienti.online
  • ❌ Falso: intesa.sanpaolo@gmail.com (banca seria non usa Gmail)
  • ❌ Falso: notifiche@intesa-sanpaolo-it.xyz

Trucco: tocca/clicca sul nome del mittente per vedere l’indirizzo email completo.

  • Su computer: passa il mouse SOPRA il link (senza cliccare). In basso a sinistra del browser appare l’URL vero. Se non corrisponde al testo (es. testo dice “vai alla mia area”, ma URL dice “http://bonus-attiva.xyz”), è truffa.
  • Su telefono: tieni premuto sul link → si apre un menù con l’URL completo (senza aprirlo). Stessa verifica.

3. Cerca le PRESSIONI psicologiche

Frasi tipo:

  • “Entro 24 ore o il conto sarà sospeso”
  • “Ultima occasione per evitare la penale”
  • “Le abbiamo provato a contattare senza esito”
  • “Cliccare per evitare conseguenze legali”

Le banche serie non scrivono così. Sono comunicazioni neutre, danno tempo, indicano canali ufficiali.

4. Verifica se ti chiedono dati che NON dovrebbero chiedere

Già spiegato in puntata 73 e 77: password, OTP, CVV, IBAN per “verifica”. Nessuna azienda seria li chiede via email. Mai.

5. Verifica nello SPELLING del dominio

Esempi reali di domini truffa:

  • paypa1.com (con “1” invece di “l”)
  • arnazon.it (con “rn” invece di “m”)
  • inps-it.online
  • agenziaentrate-info.com

Sono piccolissime variazioni che spesso non si notano al primo sguardo. Leggi 2 volte.

6. Allegati strani

Un’email che ti chiede di scaricare un allegato (.zip, .exe, .doc con macro, .pdf con link) per “vedere la fattura” o “aprire il documento riservato” → sospetto altissimo.

I servizi seri ti mandano la fattura all’interno della loro area cliente, non come allegato cliccabile. Mai aprire .exe sconosciuti.

7. Controlla nel tuo SPAZIO UFFICIALE

La regola d’oro: non rispondere mai all’email. Apri tu il browser, digita l’indirizzo del servizio (puntata 75), entra nella tua area personale. Se c’è davvero una notifica per te, la trovi lì.

Se non c’è → era phishing.

I 6 phishing italiani più diffusi nel 2026

1. Falsa Agenzia delle Entrate

“Risulta un debito di 347,82€. Clicca per pagamento agevolato entro 48 ore.”

✅ Verità: l’AdE non manda email con link di pagamento. Per cartelle e avvisi: usano PEC, raccomandata, o app IO.

2. Falsa INPS

“Conferma il tuo IBAN per ricevere il bonus pensione 2026.”

✅ Verità: nessun bonus richiede di “confermare IBAN via email”. L’INPS comunica via PEC e app IO.

3. Falsa banca

“Tentativo di accesso anomalo. Conferma l’identità qui.”

✅ Verità: le banche, in caso di accesso anomalo, bloccano il tentativo e ti chiedono di chiamare un numero verde scritto sulla tua carta. Non mandano email con link.

4. Falso corriere (SDA, Amazon, Poste, GLS)

“Pacco bloccato per spese di consegna di 1,99€.”

✅ Verità: i corrieri non chiedono pagamenti via SMS/email per pacchi. Apri l’app del corriere e verifica lì.

5. Falso datore di lavoro / falso collega (CEO fraud / BEC)

“Sono il dott. Rossi, AD. Sono in riunione, mi serve urgentemente che tu prepari un bonifico di 8.500€ verso questo IBAN. Riservato, non parlarne con nessuno.”

✅ Difesa: per importi sopra una certa soglia, regola interna aziendale: sempre verifica con telefonata diretta alla persona. Anche se la mail sembra autentica.

6. Falso ChatGPT / OpenAI

“Il tuo abbonamento ChatGPT Plus è scaduto. Aggiorna i dati di pagamento qui.”

✅ Verità: OpenAI non manda email con link di pagamento. Apri tu chatgpt.com → impostazioni → abbonamento.

”Ma se faccio anche solo aprire l’email, mi rubano qualcosa?”

Domanda frequente dei Babbani. Risposta:

  • Aprire l’email: di norma, sicuro. Le immagini esterne possono rivelare al mittente “questa email è stata letta”, ma non rubano nulla.
  • Cliccare un link: rischio medio-alto. Atterri su un sito truffa. Se non inserisci dati, ne esci illeso (ma potresti aver scaricato uno script in background).
  • Inserire dati su quel sito: rischio massimo.
  • Scaricare e aprire un allegato sospetto: rischio massimo. Possibili virus, ransomware, keylogger.

Regola sicura: in dubbio, non cliccare e non scaricare. Apri tu l’area ufficiale del servizio.

L’AI come tua alleata contro il phishing

Curiosità divertente: puoi usare l’AI per smascherare il phishing.

“Ho ricevuto questa email che dice di essere dell’Agenzia delle Entrate. Mittente: [indirizzo]. Testo: [incolla]. Aiutami a capire se è un’email vera o un tentativo di phishing. Indicami 5 elementi sospetti se presenti.”

L’AI ti elenca:

  • Mittente sospetto/non sospetto
  • Link sospetti
  • Tono/pressioni psicologiche
  • Richieste anomale di dati
  • Eventuali errori tipici

In 30 secondi hai un secondo parere esperto. Funziona per email in italiano e in inglese.

Cosa fare con un’email phishing

  1. Non cliccare nulla.
  2. Segnala come spam/phishing dentro la tua casella (tutti i provider hanno il pulsante).
  3. Inoltra alla CERT-AGID (segnalazioni@cert-agid.gov.it) e alla Polizia Postale.
  4. Cancella l’email.
  5. Avvisa familiari: se l’hanno presa con te, possono prendere anche con loro.

Se hai cliccato e inserito dati: vedi puntata 75 (cambio password subito, blocco carta).

TEST lampo

Ricevi questa email (mittente: noreply.inps@notifiche-portale.it):

“Gentile Sig. Mario Rossi, codice fiscale RSSMRA60M01H501A, le comunichiamo che le risulta dovuto un rimborso INPS di €482,30 per spese mediche 2025. Per accreditare l’importo sul suo IBAN entro 7 giorni, completi la procedura cliccando qui: [link]. In caso di mancata risposta entro 5 giorni lavorativi, il rimborso sarà rilasciato a fondo perduto. Cordiali saluti, INPS Servizio Rimborsi.”

Elenca almeno 4 segnali sospetti.

👀 Spoiler: clicca per i segnali

I segnali sospetti:

  1. Mittente sospetto: l’INPS non usa notifiche-portale.it. Il dominio ufficiale è inps.it o PEC @postacert.inps.gov.it.
  2. Il tuo CF e nome dentro l’email: di per sé non prova l’autenticità. Anzi, la presenza del CF è spesso un trucco per farti pensare “sa il mio CF, è autentico”. In realtà i CF italiani sono facilmente derivabili da nome+cognome+data+luogo di nascita, dati spesso pubblici sul web.
  3. Click sul link: l’INPS non chiede mai di confermare un IBAN via link in email. Le procedure si fanno SOLO accedendo con SPID/CIE alla tua area riservata su inps.it.
  4. Pressione temporale: “entro 7 giorni”, “in caso di mancata risposta entro 5 giorni”. La pressione temporale è una tipica leva psicologica delle truffe.
  5. Frase incoerente: “il rimborso sarà rilasciato a fondo perduto” — non significa nulla in italiano amministrativo, sembra una traduzione goffa o pensata per spaventare.
  6. “Servizio rimborsi” generico: non c’è un riferimento specifico (numero pratica, link all’area MyINPS, riferimento normativo) come avrebbero le comunicazioni vere.

Cosa fare: NON cliccare. Apri tu inps.it, fai login con SPID/CIE. Controlla l’area MyINPS. Non c’è nessun rimborso. Segnali l’email come phishing e la cancelli.

Glossario lampo

  • Phishing = truffa via email/SMS che imita un servizio noto per rubare credenziali o soldi.
  • CERT-AGID = il “centro di emergenza” italiano per il cybercrime e il phishing, gestito dall’Agenzia per l’Italia Digitale. A loro si segnala il phishing per farlo bloccare.

Take-away

L’email non si giudica più dall’italiano. Si giudica dal mittente, dai link, dalla pressione, dalle richieste. Quattro filtri da applicare in 20 secondi prima di cliccare qualunque cosa.

➡️ Prossima puntata: Riconoscere un’immagine generata — indizi pratici a colpo d’occhio.