11.11.2025 - Sono sempre meno i destinatari che si lasciano ingannare dalle e-mail non mirate. Le e-mail di phishing sono quindi in continua evoluzione e i truffatori sono costretti a condurre attacchi sempre più elaborati e mirati. Invece di inviare un gran numero di e-mail impersonali, i malintenzionati monitorano i temi sociali o economici d’attualità e adattano le loro truffe di conseguenza.
Le campagne di phishing che fanno riferimento a istituzioni ufficiali o affidabili, come le autorità pubbliche, le banche o le casse malati, riscuotono particolare successo. A prima vista, queste e-mail appaiono credibili perché utilizzano loghi, layout o persino parole familiari. Anche la scelta dell’argomento viene considerata con attenzione. Le criptovalute e le normative fiscali, ad esempio, sono argomenti reali ma spesso complessi. Molti destinatari sono titubanti sul tema e quindi più propensi a seguire le istruzioni.
Nell’ultima settimana l’UFCS ha ricevuto due segnalazioni in merito.
Informazioni sulle criptovalute
Nel primo caso, ai destinatari è stato chiesto in un’e-mail presuntamente a nome del Cantone di Zurigo di aggiornare i loro dati in conformità con le nuove norme fiscali sulle criptovalute. Nel tipico stile del phishing, la scadenza concessa è molto breve. Seguono anche minacce di sanzioni e azioni legali se la richiesta non viene soddisfatta.
I dati desiderati devono essere inseriti su un sito web che assomiglia in modo ingannevole al sito ufficiale del Cantone di Zurigo. Dopo aver completato il modulo, si viene indirizzati a un’altra pagina che confermerà l’avvenuta presentazione della domanda e informa circa la presa di contatto nei giorni seguenti. La domanda deve essere confermata anche via e-mail. Per non destare sospetti, le vittime vengono persino reindirizzate alla pagina principale del Cantone di Zurigo alla fine del processo. L’obiettivo dei truffatori è far credere ai malcapitati che tutto sia in ordine. Anche i dati raccolti non sono particolarmente sensibili a prima vista. Il sito di phishing richiede dati come indirizzo, data di nascita, numero di telefono e IBAN. Tuttavia, questi devono essere specificati anche per numerosi altri processi aziendali.
I truffatori non sono ancora in grado di monetizzare direttamente questi dati. Come già descritto nella retrospettiva settimanale 43, tali dati potrebbero essere utilizzati per tentativi di frode nel futuro. L’UFCS presuppone che le vittime vengano chiamate in una seconda fase e poi frodate. Con i dati ricevuti in precedenza, i malintenzionati possono fare riferimento alla banca e alla data di nascita corrette, instaurando così fiducia.
E-mail mirate ai cittadini anziani
Il secondo caso riguarda il phishing a nome dell’Amministrazione fiscale federale, una categoria di e-mail che circolano in continuazione. Nel caso in questione, si fa riferimento alle prestazioni della cassa pensione. Vengono promessi pagamenti e vengono fatte richieste di aggiornamento dei dati.
La particolarità di questo approccio è che le e-mail di phishing sono rivolte direttamente ai cittadini anziani. In questo caso, i truffatori cercano di instaurare fiducia usando un appellativo mirato. Così facendo si lascia intendere che il mittente sappia esattamente a chi si rivolge. L’UFCS non è stato ancora in grado di confermare se i messaggi siano stati effettivamente inviati solo alle persone anziane. Tuttavia, anche se le e-mail sono state mandate in modo aleatorio e solo una piccola parte ha raggiunto i destinatari giusti, l’appellativo mirato dovrebbe determinare un tasso di successo migliore.
Raccomandazioni
Occorre essere prudenti anche quando le e-mail sembrano provenire da un’autorità. Anche in questo caso valgono le stesse misure precauzionali valide per tutti i tipi di e-mail.
- Siate particolarmente cauti se un’e-mail vi richiede un’azione, che si tratti di inserire password, dati della carta di credito o installazioni di software.
- Non inserite mai dati sensibili su siti web che avete aperto da un’e-mail o un SMS.
- Prestate attenzione alle incongruenze, come l’appellativo mancante, un link non ufficiale, traduzioni mancanti, ecc.
- In caso di dubbi rivolgetevi alle autorità responsabili.
- Non inserite mai dati sensibili come quelli della carta di credito o i dati di login.
- Notificate l’URL di phishing su www.antiphishing.ch. Se desiderate una risposta alla vostra segnalazione, utilizzate piuttosto il formulario di notifica online dell’UFCS.
- Se avete fornito i dati della carta di credito, contattate immediatamente l’istituto emittente per farla bloccare.
- In caso di danni finanziari, l’UFCS raccomanda di sporgere denuncia alla polizia cantonale. Sul sito di Suisse ePolice potete cercare le stazioni di polizia più vicine a voi e i relativi numeri di telefono.
Numeri e statistiche attuali
Segnalazioni della scorsa settimana per categoria:
Ultima modifica 11.11.2025
