Come riconoscere una email falsa: 10 segnali d'allarme e cosa fare

Una email falsa è un messaggio che si finge una banca, un corriere, un fornitore o perfino il tuo direttore per convincerti a cliccare un link, aprire un allegato, inserire una password o fare un bonifico. È il cuore del phishing, e nel 2025 è cresciuto in modo netto: secondo il Rapporto Clusit 2026 gli attacchi gravi basati su phishing e social engineering in Italia sono aumentati del 66% e pesano per il 12,4% degli incidenti gravi censiti nel Paese, che da solo concentra il 9,6% degli attacchi gravi nel mondo.

La buona notizia è che quasi ogni email truffa lascia tracce. In questa guida vediamo come riconoscere una mail falsa, quali controlli tecnici fare in un minuto e cosa fare se hai già cliccato.

In breve: come capire se una email è falsa

1. Controlla l'indirizzo completo del mittente, non solo il nome visualizzato.
2. Passa il mouse sui link senza cliccare e leggi il dominio reale.
3. Diffida di urgenza, minacce, premi e richieste di password o pagamenti.
4. Non aprire allegati inattesi, nemmeno PDF o Word.
5. Nel dubbio, verifica contattando il mittente con un canale ufficiale che trovi tu, mai quello indicato nell'email.

‍

Perché le email false sono sempre più difficili da riconoscere

Fino a pochi anni fa bastava notare l'italiano stentato. Oggi l'intelligenza artificiale generativa produce testi corretti, nel tono giusto e personalizzati con informazioni prese da LinkedIn o dal sito aziendale. Anche la Polizia Postale, nel bilancio 2025, segnala che l'uso dell'IA e dei deepfake ha reso le truffe ai cittadini sempre più sofisticate.

Per questo non basta cercare un singolo indizio: serve un metodo che combini attenzione ai segnali "umani" (tono, richiesta, contesto) e qualche controllo tecnico sul mittente.

‍

I principali tipi di email false

Phishing classico

Messaggi inviati in massa che imitano banche, Poste, corrieri, fornitori di posta o servizi come Microsoft 365. L'obiettivo è portarti su una pagina di login clonata per rubare le credenziali, o farti pagare piccole somme ("spese di sdoganamento", "rinnovo dominio").

Spear phishing e whaling

Lo spear phishing è un'email costruita su misura per te: usa il tuo nome, il tuo ruolo, i nomi di colleghi o clienti reali. Il whaling è la sua versione rivolta ai vertici (CEO, CFO, amministratori), che possono autorizzare pagamenti importanti o accedere a dati riservati.

Business Email Compromise (BEC): le truffe mirate alle aziende

Nel BEC il truffatore si spaccia per una persona di fiducia dell'azienda per ottenere denaro o dati. Le varianti più frequenti:

• Truffa del CEO: una finta email del titolare chiede all'amministrazione un bonifico urgente e "riservato", spesso per un'acquisizione o un fornitore estero. La riservatezza serve a impedire che qualcuno verifichi.
• Fattura falsa o cambio IBAN: un finto fornitore (o il fornitore vero, con la casella violata) comunica "nuove coordinate bancarie". Il pagamento successivo finisce sul conto dei criminali.
• Finto avvocato o consulente: pressioni per pagamenti legati a pratiche legali urgenti, con documenti contraffatti.
• Account compromesso (EAC): i criminali entrano in una casella reale con una password rubata, leggono la posta per settimane e colpiscono quando è atteso un pagamento. Spesso creano regole di inoltro nascoste per non farsi notare.

Email spoofing

Lo spoofing consiste nel falsificare il campo "Da" perché l'email sembri arrivare da un indirizzo legittimo. È proprio per contrastarlo che esistono i controlli SPF, DKIM e DMARC, che vediamo più avanti.

Oltre l'email: smishing, vishing e social

Spesso l'email è solo un pezzo dell'attacco. Lo smishing usa gli SMS (il classico "pacco in giacenza"), il vishing le telefonate, anche con voci clonate dall'IA, e l'angler phishing finti profili social di assistenza clienti. Un'email sospetta seguita da una telefonata "di conferma" non è una garanzia: può essere parte dello stesso inganno.

‍

Come riconoscere una email falsa: 10 segnali d'allarme

Nessun segnale da solo è una prova. Ma se ne noti due o tre insieme, fermati e verifica.

1. Mittente sconosciuto o indirizzo email falso

Il nome visualizzato si cambia in un attimo: "Banca XYZ" può nascondere qualsiasi indirizzo. Apri sempre il dettaglio e leggi l'indirizzo completo, in particolare il dominio dopo la chiocciola.

• Dominio diverso da quello ufficiale: un'azienda seria non ti scrive da un indirizzo Gmail o Hotmail.
• Typosquatting: domini quasi identici, come micros0ft.com con uno zero o fornitore-srl.com al posto di fornitoresrl.it.
• Caratteri ingannevoli: alcune lettere di altri alfabeti (come la "а" cirillica) sono identiche a quelle latine ma creano un dominio diverso.
• Campo "Rispondi a" diverso dal mittente: se rispondendo l'indirizzo cambia, è un forte segnale di frode.

2. Link che portano altrove

Prima di cliccare, passa il mouse sul link (da smartphone tieni premuto) e leggi l'indirizzo reale. Conta il dominio principale, cioè la parte subito prima di ".it" o ".com": in poste.it.verifica-account.com il sito vero è verifica-account.com, non Poste. Attenzione anche ai link accorciati e ai QR code nelle email (il cosiddetto quishing), che nascondono la destinazione.

Il lucchetto e l'HTTPS non bastano: indicano solo che la connessione è cifrata, non che il sito sia legittimo. Moltissimi siti di phishing usano HTTPS.

3. Allegati inattesi

File .exe, .scr, .js, .vbs, .iso o archivi .zip protetti da password sono quasi sempre sospetti. Ma anche PDF, Word ed Excel possono contenere link malevoli o macro: se all'apertura ti chiede di "abilitare il contenuto", chiudi il file. Un allegato che non aspettavi va verificato con il mittente prima di aprirlo, anche se il mittente sembra noto.

4. Urgenza, paura o minacce

"Il tuo account verrà sospeso entro 24 ore", "pagamento non riuscito", "avviso di procedimento penale". L'urgenza serve a farti agire senza pensare. Nessuna banca, ente o forza di polizia chiede dati o pagamenti via email con la minaccia di conseguenze immediate: la Polizia Postale lo ricorda a ogni nuova campagna di finte convocazioni giudiziarie.

5. Richieste di dati sensibili o di denaro

Password, codici OTP, numeri di carta, credenziali di accesso o un bonifico "fuori procedura": sono le richieste che un'email legittima non ti farà mai. Lo stesso vale per vincite a concorsi a cui non hai partecipato e rimborsi inattesi.

6. Richiesta di cambiare le coordinate bancarie

È il segnale più costoso da ignorare per un'azienda. Qualsiasi variazione di IBAN comunicata via email va confermata telefonando al fornitore, a un numero già in anagrafica, mai a quello scritto nell'email.

7. Saluti generici e contesto che non torna

"Gentile cliente" o "Caro utente" indicano invii di massa. Ma attenzione: gli attacchi mirati usano il tuo nome, quindi un saluto personalizzato non è una garanzia. Chiediti piuttosto se il messaggio ha senso: hai davvero un pacco in arrivo? Hai davvero chiesto quel preventivo?

8. Conversazioni mai iniziate

Un "Re:" o un "come da accordi" riferito a qualcosa che non ricordi è un trucco frequente per sembrare parte di uno scambio già avviato.

9. Errori, grafica e orari insoliti

Refusi, loghi sgranati, firme incomplete o invii nel cuore della notte da un contatto che lavora in orario d'ufficio sono indizi utili. Oggi però molte email false sono scritte perfettamente, quindi l'assenza di errori non prova nulla.

10. Avvisi del client di posta e autenticazione fallita

Gmail, Outlook e gli altri provider mostrano banner come "Questo messaggio potrebbe essere pericoloso" o segnalano che non è stato possibile verificare il mittente. Non ignorarli. In Gmail, aprendo i dettagli del mittente, trovi le voci "inviato da" e "firmato da": se mancano o riportano un dominio diverso da quello atteso, il messaggio merita un controllo. Qui entrano in gioco SPF, DKIM e DMARC.

‍

Come verificare il mittente di una email: SPF, DKIM e DMARC

Sono tre protocolli che permettono ai server di posta di capire se un'email arriva davvero dal dominio che dichiara:

• SPF indica quali server sono autorizzati a inviare posta per un dominio.
• DKIM aggiunge una firma digitale che dimostra che il messaggio non è stato alterato e proviene dal dominio firmatario.
• DMARC dice ai server cosa fare se SPF e DKIM falliscono (consegnare, mettere in spam, rifiutare) e invia report al titolare del dominio.

Come controllarli in un minuto:

• Gmail: apri l'email, clicca sui tre puntini e scegli "Mostra originale". In alto trovi l'esito di SPF, DKIM e DMARC: devono risultare PASS.
• Outlook desktop: apri l'email, vai su File > Proprietà e leggi le "Intestazioni Internet", cercando le righe "Authentication-Results".

Un PASS non rende automaticamente sicura un'email: anche un truffatore può configurare SPF e DKIM sul proprio dominio falso. Dice però che il messaggio arriva davvero da quel dominio, e a quel punto devi solo verificare che il dominio sia quello giusto.

Per le aziende: configurare SPF, DKIM e DMARC sul proprio dominio impedisce ai criminali di usarlo per truffare clienti e fornitori. È una misura semplice, poco costosa e ormai richiesta da Google e Microsoft per chi invia volumi rilevanti di email.

‍

Esempi di email false ricorrenti

• Falso corriere: "Il tuo pacco è in giacenza, paga 1,99 € per la riconsegna". Il link porta a una pagina che raccoglie i dati della carta.
• Falsa casella piena o password in scadenza: un messaggio che imita Microsoft 365 o il provider aziendale e chiede di "confermare le credenziali".
• Finta convocazione delle forze dell'ordine: PDF con loghi istituzionali che accusano di reati online e chiedono una risposta o un pagamento. La Polizia Postale ha diffuso più alert su queste campagne.
• Fattura con nuovo IBAN: un fornitore reale sembra comunicare il cambio di conto, magari proseguendo un thread autentico.
• Documento condiviso: "Ti hanno condiviso un file", con un link a una finta pagina di accesso a OneDrive, Google Drive o DocuSign.

‍

Cosa fare se hai ricevuto un'email sospetta

1. Non cliccare e non aprire allegati. Non rispondere e non inoltrarla ai colleghi "per chiedere se è vera".
2. Verifica con un canale indipendente: telefona o scrivi al mittente usando un contatto che hai già, oppure accedi al servizio digitando tu l'indirizzo nel browser.
3. Segnalala: in azienda all'IT o al referente sicurezza; poi usa il pulsante "Segnala phishing" del client di posta. Le truffe possono essere segnalate anche alla Polizia Postale tramite il Commissariato di P.S. Online (commissariatodips.it).
4. Eliminala dopo averla segnalata.

‍

Cosa fare se hai cliccato su un link di phishing o hai inserito dati

Agire in fretta riduce molto i danni. Nell'ordine:

1. Disconnetti il dispositivo dalla rete se hai aperto un allegato o scaricato un file.
2. Cambia subito la password dell'account coinvolto da un altro dispositivo, e di ogni altro account in cui la usavi.
3. Attiva l'autenticazione a più fattori (MFA) ovunque sia possibile: rende inutile una password rubata.
4. Avvisa l'IT o il referente sicurezza senza aspettare. In azienda controllate anche le regole di inoltro della casella, spesso usate dai criminali per restare nascosti.
5. Se hai dato dati di pagamento, chiama subito la banca per bloccare carta o operazioni.
6. Esegui una scansione antivirus completa e controlla nei giorni successivi estratti conto e accessi agli account.
7. Sporgi denuncia alla Polizia Postale se hai subito un danno economico.

‍

Email false in azienda: cosa prevedono GDPR e NIS2

Per un'impresa, un clic sbagliato non è solo un problema informatico. Se il phishing porta all'accesso a dati personali di clienti o dipendenti, può trattarsi di un data breach: il GDPR (art. 33) impone di valutarlo e, se c'è un rischio per le persone, di notificarlo al Garante entro 72 ore. Coinvolgere subito il DPO aiuta a gestire correttamente tempi e documentazione.

Per le organizzazioni che rientrano nella direttiva NIS2 (D.Lgs. 138/2024), la formazione del personale sulla sicurezza informatica è un obbligo: gli organi di amministrazione devono formarsi e promuovere una formazione periodica per i dipendenti, tra le misure di gestione del rischio. Anche un sistema di gestione certificato ISO/IEC 27001 prevede consapevolezza e formazione come controlli obbligatori.

‍

Come proteggere l'azienda dalle email false

Formazione e simulazioni di phishing

La tecnologia ferma gran parte dei messaggi, ma quelli che passano arrivano davanti a una persona. Corsi pratici e simulazioni periodiche di phishing insegnano a riconoscere i segnali e, soprattutto, a segnalare senza paura di essere giudicati: un collaboratore che avvisa subito di aver cliccato è una risorsa, non un colpevole. e-cons organizza corsi di sicurezza informatica per dipendenti, anche finanziabili tramite i fondi interprofessionali.

Misure tecniche

• SPF, DKIM e DMARC configurati sul dominio aziendale, con DMARC portato progressivamente a una policy restrittiva.
• Filtri antispam e antiphishing evoluti, con analisi di link e allegati in ambiente isolato (sandbox).
• Autenticazione a più fattori su posta, VPN e gestionali.
• Password manager: non compila le credenziali su un sito clonato, e questo è già un campanello d'allarme.
• Aggiornamenti costanti di sistemi operativi, browser e client di posta.
• Banner "email esterna" sui messaggi che arrivano da fuori dall'organizzazione.

Procedure interne

• Doppia verifica sui pagamenti: ogni bonifico urgente o cambio IBAN va confermato per telefono da una seconda persona.
• Privilegio minimo: ogni utente ha solo gli accessi che gli servono, così un account compromesso fa meno danni.
• Procedura di gestione incidenti chiara: chi avvisare, in quanto tempo, cosa fare.

Per le PMI è disponibile anche il Voucher Cloud & Cybersecurity del MIMIT, con contributi a fondo perduto per servizi di sicurezza informatica: e-cons è tra i fornitori abilitati.

‍

Ricorda: il miglior filtro resta una persona formata

Riconoscere una email falsa è una questione di metodo: mittente, link, allegati, richiesta, contesto. Con l'IA che rende i messaggi sempre più credibili, le aziende più protette sono quelle che uniscono controlli tecnici, procedure chiare sui pagamenti e persone allenate a fermarsi e verificare.

Vuoi valutare il livello di esposizione della tua azienda al phishing, organizzare una simulazione o formare i tuoi collaboratori? Contattaci: ti aiutiamo a costruire un percorso su misura, anche in ottica NIS2 e GDPR.