In un ufficio arrivano ogni giorno decine di email da mittenti mai visti: ordini, fatture, avvisi di spedizione, comunicazioni di enti. È esattamente il terreno su cui lavora il phishing, cioè il tentativo di farti consegnare password, dati bancari o accesso al computer fingendo di essere qualcuno di cui ti fidi. Le truffe di oggi sono scritte in buon italiano, usano loghi veri e a volte partono da caselle autentiche che sono state violate. Questa guida raccoglie gli esempi che si vedono più spesso nelle aziende e negli studi, i segnali per riconoscerli, le difese tecniche e organizzative che funzionano davvero e cosa fare se qualcuno ha già cliccato.
Che cos'è il phishing e perché in ufficio funziona così bene
L'Agenzia delle Entrate lo descrive come una truffa online con cui i criminali cercano di ottenere dati personali e riservati: credenziali di accesso, numeri di carte e conti, altre informazioni sensibili. Il canale più usato è l'email, ma ci sono varianti con nomi propri:
- smishing, quando l'esca arriva per SMS o messaggio sul telefono;
- vishing, quando arriva con una telefonata;
- quishing, quando il link è nascosto in un codice QR da inquadrare con lo smartphone.
In azienda il phishing ha tre alleati. Il primo è il volume: chi lavora in amministrazione apre per mestiere allegati di sconosciuti. Il secondo è la fretta, soprattutto a fine mese e sotto scadenza. Il terzo è il ruolo: chi può pagare fornitori o accedere al gestionale vale molto di più, per un truffatore, di un privato qualsiasi.
Gli esempi che arrivano più spesso
La finta Agenzia delle Entrate
Rimborsi in attesa, accertamenti, irregolarità da sanare entro poche ore: l'Agenzia pubblica di continuo avvisi su campagne che usano il suo nome, nella sezione "Focus sul phishing" del proprio portale. Un caso istruttivo è l'avviso del 17 giugno 2026: false fatture elettroniche inviate via PEC da caselle compromesse, con un archivio compresso che conteneva un file HTML. Aperto su Windows, mostrava un pulsante "Scarica Fattura" che portava a un sito malevolo e faceva eseguire comandi sul computer. Due lezioni da tenere a mente: la PEC dimostra che il messaggio è partito da quella casella, non che chi l'ha scritto sia in buona fede; e una fattura elettronica vera passa dal Sistema di Interscambio come file XML, non come archivio da scompattare con dentro una pagina web.
Il corriere e il pacco in giacenza
Un SMS o un'email avvisano che una spedizione è ferma per un indirizzo incompleto o per pochi euro di dazio. Il link porta a una pagina identica a quella del corriere che chiede i dati della carta. In un'azienda che riceve merce ogni giorno il messaggio sembra del tutto normale: proprio per questo funziona.
Il documento condiviso
"Ti ho condiviso un file", "Hai un nuovo documento da firmare", "Ecco l'ordine aggiornato". Il pulsante apre una pagina di accesso uguale a quella della tua posta: chi inserisce la password la consegna al truffatore, che entra nella casella e da lì scrive a clienti e fornitori. Se è già successo, segui la guida su cosa fare con la posta aziendale violata.
La casella piena o la password in scadenza
Un finto "amministratore di posta" avvisa che la casella sta per essere bloccata o che la password scade oggi, e invita a "confermare l'account". Nessun servizio di posta serio ti chiede di confermare la password tramite un link ricevuto per email.
Il titolare che chiede un bonifico urgente
Arriva a chi gestisce i pagamenti un messaggio che sembra del titolare: "Sono in riunione, non posso parlare, fai subito questo bonifico e non dirlo a nessuno". Una variante molto diffusa è la fattura vera con l'IBAN cambiato, descritta nella guida sulla sicurezza informatica per piccole aziende.
Il QR code e la telefonata di rinforzo
Alcune campagne mettono il link dentro un codice QR in un PDF: il collegamento si apre sul telefono personale, lontano dai filtri aziendali. Altre fanno seguire all'email una telefonata di un finto funzionario o di un finto tecnico che "conferma" la richiesta. Una voce al telefono sembra più credibile di un'email: è proprio su questo che contano.
Sette controlli da fare prima di cliccare
- L'indirizzo vero del mittente, non solo il nome visualizzato: "Agenzia Entrate" può nascondere un indirizzo qualsiasi.
- Dove porta il link. Passa il mouse sopra senza cliccare (sul telefono, tieni premuto) e leggi il dominio: conta la parte subito prima di ".it" o ".com", non le parole che vengono prima.
- Urgenza o minaccia: blocchi, sanzioni, scadenze di poche ore. Gli enti veri prevedono tempi e canali ufficiali.
- Richiesta di password, codici o pagamenti attraverso un link: è il segnale più forte di tutti.
- Allegati insoliti: archivi compressi, file HTML, immagini disco, documenti Office che chiedono di "abilitare il contenuto".
- Contesto che non torna: un fornitore con cui non lavori, un ordine mai fatto, un collega che scrive in un tono diverso dal solito.
- Il lucchetto non basta. Anche i siti truffa hanno la connessione protetta: il lucchetto dice che il collegamento è cifrato, non che il sito sia quello vero.
Le difese tecniche
Nessun filtro ferma tutto, ma un ufficio ben configurato fa arrivare molte meno truffe sulle scrivanie e rende innocui molti clic sbagliati.
- Filtri della posta attivi e regolati. I servizi per aziende hanno protezioni contro phishing e allegati pericolosi: vanno attivate e tarate, non lasciate come escono dalla fabbrica.
- Avviso "mittente esterno". Una riga colorata in cima ai messaggi che arrivano da fuori aiuta a notare il finto collega che scrive da un indirizzo esterno.
- Blocco degli allegati più usati dai truffatori, come file HTML e alcuni tipi di archivi, o almeno la loro messa in quarantena.
- Macro di Office disattivate sui documenti scaricati da internet, come previsto oggi dalle impostazioni predefinite di Microsoft Office: non riattivarle "per comodità".
- Doppio controllo all'accesso su posta, PEC e gestionali in cloud: se la password viene rubata, da sola non basta. Le chiavi di accesso (passkey) e le chiavi fisiche resistono anche alle pagine false più curate.
- SPF, DKIM e DMARC sul tuo dominio, per rendere più difficile a chiunque spedire email che sembrano partire da te.
- PC e browser aggiornati, perché alcuni allegati sfruttano difetti già corretti.
Le regole interne che fermano le truffe sui pagamenti
Le perdite più pesanti arrivano dalle truffe sui bonifici, e lì la tecnica aiuta poco: servono regole semplici, scritte e rispettate anche quando c'è fretta.
- Doppio canale per ogni cambio di IBAN: si conferma con una telefonata al numero già in anagrafica, mai a quello scritto nell'email.
- Doppia approvazione sopra una certa cifra: nessun bonifico importante parte con la sola richiesta via email, nemmeno se sembra del titolare.
- Un punto di segnalazione unico: una persona o un indirizzo a cui inoltrare tutto ciò che sembra strano, con risposta rapida.
- Nessuna colpa per chi segnala: chi ha cliccato e lo dice subito fa risparmiare ore. Chi tace per paura fa perdere giorni.
- Formazione breve e ripetuta: mezz'ora con gli esempi arrivati davvero in ufficio vale più di un corso generico. Le simulazioni periodiche, cioè finte email di prova inviate al personale, servono a misurare i progressi, non a cercare colpevoli.
Hai cliccato? Cosa fare in base a cosa è successo
| Che cosa hai fatto | Cosa fare subito |
|---|---|
| Hai solo aperto l'email | Di norma nessun danno. Non cliccare, segnala il messaggio e cancellalo. |
| Hai aperto il link ma non hai scritto nulla | Chiudi la pagina e avvisa il tecnico, che verifica se il sito ha tentato di scaricare qualcosa. |
| Hai inserito la password | Cambiala subito da un altro dispositivo, chiudi le sessioni aperte e controlla la casella: vedi la guida sulla posta violata. |
| Hai aperto un allegato o avviato un programma | Scollega il PC dalla rete, non spegnerlo e chiama il tecnico da un telefono. |
| Hai dato dati della carta o del conto | Chiama la banca dal numero ufficiale e fai bloccare carta o accessi. |
Se dopo l'allegato compaiono file illeggibili sul PC o nelle cartelle condivise, la situazione è diversa e più grave: segui i passi della guida su cosa fare in caso di ransomware.
Dove verificare e segnalare
- Agenzia delle Entrate: prima di rispondere a una comunicazione sospetta, controlla gli avvisi nella sezione "Focus sul phishing" del sito ufficiale oppure chiedi tramite i recapiti indicati sul portale o all'ufficio territoriale. Ricorda che il dominio dell'Agenzia è agenziaentrate.gov.it.
- Polizia Postale e per la Sicurezza Cibernetica: sul portale ufficiale commissariatodips.it puoi fare una segnalazione online; se hai subito un danno, presenta denuncia.
- Il tuo servizio di posta: usa il pulsante per segnalare il phishing, così il filtro impara e protegge anche i colleghi.
- Il tuo tecnico e i colleghi: un avviso interno di due righe evita che lo stesso messaggio venga aperto da qualcun altro.
Un esempio: la falsa PEC in una ditta di trasporti
Immagina una ditta di autotrasporti con otto persone in ufficio. Un lunedì arriva in PEC, da un indirizzo certificato di un'impresa vera, una "fattura elettronica" con un archivio allegato. L'impiegata lo apre, vede un pulsante per scaricare la fattura, esita e non clicca: il file è un HTML, mentre le fatture dei fornitori arrivano sempre dal Sistema di Interscambio. Inoltra il messaggio al referente informatico, che lo blocca per tutta la casella e avvisa i colleghi. Nel frattempo la stessa PEC è arrivata anche all'ufficio paghe, dove nessuno la apre perché l'avviso interno è già passato. Costo dell'episodio: dieci minuti. Senza regole e senza abitudine a segnalare, lo stesso messaggio avrebbe potuto aprire la porta a un attacco su tutta la rete.
Come ti aiutiamo contro il phishing
Faberweb lavora dal 2001 con aziende, studi ed enti: configuriamo i filtri della posta, il doppio controllo all'accesso, i record del dominio e il blocco degli allegati pericolosi, e prepariamo con te le regole interne su pagamenti e segnalazioni. Se hai un'email sospetta, inoltracela prima di aprirla; se qualcuno ha già cliccato, interveniamo da remoto o in sede, nel raggio di circa 100 km da Lodi Vecchio. Il lavoro costa 43 € + IVA all'ora, uguale da remoto e in sede, con l'uscita calcolata sui chilometri quando veniamo da te. Rispondiamo entro 24 ore lavorative; nei casi urgenti chiama o scrivi su WhatsApp al 0371 464 186 o al 347 368 2954. Per tutto il resto c'è il modulo contatti; i servizi sono nella pagina Informatica e assistenza.
Domande frequenti
Una PEC può essere phishing?
Sì. La PEC certifica l'invio e la consegna da una casella a un'altra, ma se quella casella è stata violata il messaggio parte da un indirizzo autentico con un contenuto truffaldino. L'Agenzia delle Entrate ha segnalato nel giugno 2026 proprio una campagna di false fatture inviate da caselle PEC compromesse.
Come capisco se una fattura ricevuta per email è vera?
Le fatture elettroniche fra imprese passano dal Sistema di Interscambio come file XML; l'eventuale copia in PDF inviata per cortesia non deve mai chiederti di scaricare programmi o inserire password. Nel dubbio controlla nell'area Fatture e Corrispettivi dell'Agenzia delle Entrate o nel tuo gestionale, oppure telefona al fornitore al numero che hai già in anagrafica.
Se ho solo aperto un'email di phishing sono in pericolo?
Di solito no: il danno arriva quando si clicca su un link, si apre un allegato o si inseriscono dati. Non rispondere al messaggio, segnalalo come phishing e cancellalo. Se hai dubbi su cosa è successo, fai controllare il PC dal tuo tecnico.
L'antispam della posta non basta a fermare il phishing?
Ferma gran parte dei messaggi, ma non tutti: le truffe più curate partono da caselle vere violate o cambiano continuamente indirizzi e link. Per questo servono anche il doppio controllo all'accesso, che rende inutili le password rubate, e regole interne sui pagamenti.
Conviene segnalare il phishing anche se non abbiamo perso nulla?
Sì. Segnalarlo al servizio di posta migliora i filtri; avvisare i colleghi evita che qualcun altro ci caschi; la segnalazione alla Polizia Postale aiuta a individuare le campagne in corso. Se invece c'è stato un danno, serve la denuncia.