Percorso Cittadino
ITEN

Truffe online e phishing: come riconoscerli

Riconosci i segnali di una truffa, verifica i canali ufficiali e intervieni rapidamente se hai già cliccato, condiviso dati o pagato.

Prima pubblicazione: 4 luglio 2026

Fonti ufficiali verificate: 29 luglio 2026

Informazione importante

Percorso Cittadino ti aiuta a orientarti, ma non sostituisce gli enti ufficiali. Prima di inviare domande o prendere decisioni, verifica sempre i link istituzionali indicati nella pagina.

Questa guida aiuta a riconoscere una possibile truffa, interrompere il contatto e mettere in sicurezza denaro, account, identità digitale e documenti attraverso canali ufficiali.

Le azioni dipendono da ciò che è già accaduto. Il blocco urgente di conto, carta, SIM o credenziali viene prima della raccolta delle prove e della segnalazione.

Anti-truffa in breve

Segnalazioni e dati
Percorso Cittadino non riceve segnalazioni, password, OTP, documenti o dati personali.
Denaro coinvolto
Contatta subito banca, emittente o PSP tramite un canale ufficiale.
SPID, CIE o IO
Metti in sicurezza il servizio attraverso l’assistenza ufficiale competente.
Verifica
Interrompi il contatto e apri autonomamente sito, app o area riservata.
Emergenza
Per pericolo o intervento immediato chiama 112 o 113: i moduli online non sono servizi di emergenza.
Ultimo controllo
Fonti ufficiali controllate il 29 luglio 2026.

Sezione 1

In breve: cosa fare subito

Interrompi il contatto, proteggi ciò che è a rischio e verifica soltanto attraverso canali trovati autonomamente.

Non rispondere, non richiamare e non continuare la conversazione per dimostrare che si tratta di una truffa. Se sono coinvolti denaro, carta o conto, il primo contatto urgente è banca, emittente o PSP tramite un canale ufficiale.

Se sono coinvolti SPID, CIE o IO, usa l’assistenza ufficiale per sospendere, revocare o bloccare l’accesso secondo il servizio interessato. Per pericolo o intervento immediato chiama 112 o 113.

  1. Interrompi il contatto

    Non usare link, allegati, QR code o numeri presenti nel messaggio sospetto.

  2. Blocca il rischio urgente

    Proteggi subito conto, carta, SIM, email o identità digitale coinvolti.

  3. Verifica in modo indipendente

    Apri l’app già installata o digita personalmente il sito ufficiale.

  4. Conserva e segnala

    Dopo il blocco urgente, conserva le prove e usa i canali ufficiali appropriati.

↑ Torna all’indice

Sezione 2

Che cosa è successo?

Scegli il caso più vicino al tuo: non tutte le situazioni richiedono le stesse azioni.

Hai solo ricevuto un messaggio sospetto

Non interagire. Verifica autonomamente la pratica nell’area ufficiale e segnala il messaggio se opportuno.

Hai aperto un link ma non inserito dati

Chiudi la pagina, non riaprirla e controlla download, notifiche e permessi senza presumere che il solo clic abbia rubato le credenziali.

Hai scaricato o installato qualcosa

Non aprire il file; interrompi eventuale controllo remoto e usa un altro dispositivo affidabile per le operazioni sensibili.

Hai comunicato password, OTP, PIN o carta

Metti in sicurezza email e account, contatta subito il servizio coinvolto e controlla operazioni e sessioni.

Hai autorizzato un pagamento

Contatta immediatamente banca o PSP e descrivi fedelmente se l’operazione era non autorizzata o disposta da te sotto inganno.

Hai inviato documenti, selfie o video

Fai l’inventario di quanto inviato, denuncia il fatto e controlla possibili abusi dell’identità e degli account.

↑ Torna all’indice

Sezione 3

Fermati e verifica

La verifica più affidabile parte da un canale diverso da quello usato da chi ti ha contattato.

Urgenza e paura riducono il tempo per controllare. Interrompere la conversazione non fa perdere una pratica autentica: permette di verificarla nell’area ufficiale.

  1. Chiudi la comunicazione

    Termina chiamata o chat senza spiegare quali controlli farai.

  2. Apri il canale ufficiale

    Digita il sito, usa un preferito già verificato o apri l’app già installata.

  3. Controlla la pratica

    Accedi all’area autenticata e verifica messaggi, pagamenti o richieste presenti.

  4. Contatta l’ente

    Usa recapiti trovati sul sito ufficiale, nell’app o sul retro della carta.

↑ Torna all’indice

Sezione 4

Segnali di una possibile truffa

Nessun singolo indizio prova tutto, ma più segnali insieme richiedono una verifica indipendente.

Fermati in particolare quando una comunicazione contiene uno o più di questi elementi:

  • Urgenza, minaccia di blocco, sanzione o conseguenze immediate.
  • Rimborso, premio, bonus o opportunità inattesi.
  • Richiesta di password, OTP, PIN, documenti, selfie, dati bancari o pagamento.
  • Link, allegato o QR code non atteso.
  • Numero chiamante, mittente, logo o grafica usati come unica prova di autenticità.
  • Richiesta di installare un’app o concedere il controllo remoto.
  • Invito a spostare denaro su un presunto conto sicuro.
↑ Torna all’indice

Sezione 5

Canali e tecniche

Conoscere i nomi aiuta a riconoscere la tecnica, ma la regola resta interrompere e verificare autonomamente.

Phishing
Email o pagine imitate che cercano di ottenere dati, credenziali o pagamenti.
Smishing
Phishing tramite SMS o altri messaggi brevi, spesso con link e urgenza.
Vishing
Telefonata fraudolenta che usa pressione, autorevolezza apparente o dati personali.
Quishing
QR code che porta a un sito o a una procedura non verificata.
Spoofing
Falsificazione del numero chiamante, del mittente o dell’aspetto di un servizio.

Controllo remoto

Un falso operatore chiede di installare software per vedere o controllare il dispositivo e guidare pagamenti o accessi.

Conto sicuro

Un truffatore sostiene che il denaro vada spostato su un altro conto per proteggerlo. Interrompi e chiama la banca da un canale ufficiale.

↑ Torna all’indice

Sezione 6

Verificare mittente, sito e app

Ricostruisci il percorso ufficiale senza usare elementi forniti dalla comunicazione sospetta.

  1. Non richiamare il numero ricevuto

    Cerca il contatto sul sito ufficiale o sul retro della carta.

  2. Non aprire il link

    Digita personalmente il dominio oppure usa un preferito già verificato.

  3. Apri l’app già installata

    Non installare app suggerite dal messaggio o dal chiamante.

  4. Controlla l’area autenticata

    Verifica se esistono davvero pratica, avviso, notifica o operazione.

  5. Leggi il dominio completo

    La presenza del nome dell’ente in una parte dell’indirizzo non prova la proprietà del sito.

  6. Verifica la richiesta

    Se non hai avviato accesso, pagamento o approvazione, rifiutala e contatta il servizio.

Mittente

Nomi visualizzati, numeri e indirizzi possono essere falsificati o somigliare a quelli ufficiali.

Sito

Controlla dominio e percorso; errori minimi, sottodomini ingannevoli e parole aggiunte contano.

App

Usa solo l’app installata da uno store ufficiale e avviata da te, non da un link ricevuto.

↑ Torna all’indice

Sezione 7

Comunicazioni della Pubblica Amministrazione

Non applicare regole assolute a tutta la PA: verifica le istruzioni specifiche dell’ente impersonato.

Un messaggio può contenere dati reali, riferimenti a una pratica o loghi corretti ed essere comunque fraudolento.

Non usare link, allegati o numeri della comunicazione sospetta. Apri autonomamente l’area riservata e consulta gli avvisi di sicurezza dell’ente.

INPS

INPS non invia SMS o email con link da usare per ottenere rimborsi, non chiede documenti via email o telefono e non chiede dati bancari via email o SMS. Verifica autonomamente in MyINPS.

Agenzia delle Entrate

Controlla il Focus phishing e accedi autonomamente all’area riservata. L’Agenzia può usare email, PEC, SMS o telefono in comunicazioni legittime: evita quindi il falso assoluto «non contatta mai».

↑ Torna all’indice

Sezione 8

pagoPA, IO e SEND

Questi servizi possono generare comunicazioni autentiche: la verifica va fatta aprendo direttamente il canale ufficiale.

pagoPA non invia direttamente richieste di pagamento via email, ma possono esistere ricevute email autentiche dopo un pagamento. Non concludere quindi che qualunque email che cita pagoPA sia falsa.

IO e SEND possono inviare notifiche o avvisi di cortesia. Il messaggio serve come avviso: la verifica avviene nell’app o nel sito aperto autonomamente.

pagoPA

Non comunica password, dati bancari o numeri di carta via email o SMS. I dati della carta possono essere richiesti nel checkout ufficiale avviato da te; l’host del checkout diretto è checkout.pagopa.it.

IO

Può inviare notifiche push e anteprime email. Apri direttamente l’app e verifica il contenuto nella sezione Messaggi.

SEND

Può inviare avvisi di cortesia via email, SMS o IO. Digita autonomamente notifichedigitali.it, accedi con SPID o CIE e controlla la notifica.

  1. Verifica il debito

    Controlla avviso e importo sul sito ufficiale dell’ente creditore o tramite IO.

  2. Verifica la notifica SEND

    Accedi a notifichedigitali.it senza usare il link del messaggio.

  3. Chiedi assistenza al soggetto corretto

    Per problemi tecnici usa l’assistenza del servizio; per il contenuto dell’atto rivolgiti all’ente mittente.

↑ Torna all’indice

Sezione 9

SPID, CIE e identità digitale

Distingui gestore SPID, credenziali CIE, carta fisica e accesso a IO: sono problemi diversi.

SPID e CIE possono chiedere legittimamente password o OTP durante una procedura ufficiale avviata da te. Il rischio nasce quando la richiesta arriva da chi ti contatta o riguarda un accesso che non hai iniziato.

SPID

Contatta immediatamente il tuo Identity Provider e segui la sua procedura di sospensione o revoca. Usa la pagina SPID aggiornata, senza numeri copiati nella guida.

CIE

Distingui compromissione delle credenziali dal furto della carta fisica. Usa l’assistenza ufficiale CIE senza inventare procedure.

IO

Per furto d’identità digitale o dispositivo perso segui l’assistenza IO e blocca l’accesso tramite account.ioapp.it quando previsto.

  1. Blocca l’accesso coinvolto

    Agisci dal canale ufficiale del provider o servizio interessato.

  2. Cambia le credenziali collegate

    Proteggi prima l’email e poi le password riutilizzate o simili.

  3. Controlla accessi e pratiche

    Verifica sessioni, dispositivi, comunicazioni e operazioni non riconosciute.

  4. Segnala il furto d’identità

    Se sospetti uno SPID attivato senza consenso, contatta gli Identity Provider e denuncia il fatto alle autorità.

↑ Torna all’indice

Sezione 10

Banca, carte e bonifici

La distinzione tra operazione non autorizzata e pagamento disposto sotto inganno è essenziale.

Contatta immediatamente banca, emittente o PSP usando l’app, il numero sul retro della carta o il sito ufficiale. Blocca lo strumento quando indicato dall’intermediario.

Descrivi fedelmente ciò che è successo: chi ha disposto l’operazione, quali codici sono stati usati e se eri sotto l’inganno di un falso operatore.

Due situazioni da non confondere
SituazionePrima azioneEsito
Operazione non autorizzataBlocca lo strumento e chiedi il disconoscimento secondo la procedura dell’intermediario.La valutazione e l’eventuale rimborso dipendono dai fatti e dalle regole applicabili.
Pagamento o bonifico disposto personalmente sotto ingannoChiedi subito se blocco, revoca, richiamo o recupero siano ancora possibili.Il recupero non è garantito e può dipendere dallo stato dell’operazione.
↑ Torna all’indice

Sezione 11

Hai cliccato, scaricato o concesso accesso remoto

Riduci l’esposizione del dispositivo senza riaprire il contenuto sospetto.

Il solo clic non comporta necessariamente il furto delle credenziali. Il rischio aumenta se hai aperto file, installato software, concesso permessi o inserito dati.

  1. Chiudi la pagina

    Non riaprirla per verificare e non continuare la conversazione.

  2. Non aprire i file

    Lascia chiusi allegati e download sospetti.

  3. Interrompi il controllo remoto

    Disconnetti la sessione e, se necessario, la rete del dispositivo.

  4. Usa un altro dispositivo affidabile

    Da lì contatta banca e servizi e cambia le credenziali sensibili.

  5. Controlla app, estensioni e download

    Rimuovi solo ciò che riconosci come installato durante l’evento sospetto.

  6. Controlla i permessi

    Verifica accessibilità, amministrazione dispositivo, condivisione schermo e profili installati.

  7. Aggiorna e scansiona

    Aggiorna sistema e browser ed esegui una scansione con strumenti affidabili.

  8. Chiedi assistenza tecnica

    Se restano dubbi, rivolgiti a supporto affidabile senza concedere nuovi accessi a sconosciuti.

↑ Torna all’indice

Sezione 12

Credenziali e codici

Password, OTP e codici hanno funzioni diverse, ma ogni divulgazione richiede una risposta rapida.

Metti in sicurezza prima la casella email: spesso consente di reimpostare le password degli altri account.

Password
Può consentire accessi ripetuti finché non viene cambiata e le sessioni non vengono revocate.
OTP
È temporaneo, ma può aver già autorizzato un accesso, un cambio o un pagamento.
PIN e PUK
Proteggono strumenti o dispositivi specifici e vanno gestiti solo nei canali ufficiali.
MFA e passkey
Riducono il rischio, ma una richiesta di approvazione non iniziata va sempre rifiutata.

  1. Proteggi l’email

    Cambia password e controlla sessioni, dispositivi e accessi recenti.

  2. Cambia le password compromesse

    Aggiorna anche quelle uguali o molto simili usate su altri servizi.

  3. Revoca sessioni e dispositivi

    Esci dagli accessi che non riconosci e rigenera i codici quando previsto.

  4. Controlla il recupero

    Verifica email, numero di telefono e altri recapiti impostati per recuperare l’account.

  5. Controlla inoltri e app autorizzate

    Rimuovi filtri, regole e applicazioni che non riconosci.

  6. Attiva MFA o passkey

    Usa i metodi offerti dal servizio dopo aver ripristinato il controllo dell’account.

↑ Torna all’indice

Sezione 13

Hai pagato o autorizzato un’operazione

Agisci subito e descrivi esattamente all’intermediario come è stata disposta l’operazione.

Tempi e possibilità di blocco dipendono dallo strumento e dallo stato dell’operazione. Non aspettare la denuncia per contattare banca o PSP.

  1. Contatta l’intermediario

    Usa app, sito ufficiale o numero sul retro della carta.

  2. Blocca lo strumento

    Segui le indicazioni per carta, conto o credenziali di pagamento.

  3. Chiedi la procedura corretta

    Disconoscimento per operazioni non autorizzate; verifica di blocco o recupero per pagamenti disposti sotto inganno.

  4. Fornisci fatti e identificativi

    Indica importo, data, beneficiario, ricevuta, codici e modalità del contatto fraudolento.

  5. Presenta reclamo se necessario

    Se la risposta non è soddisfacente, usa prima la procedura ufficiale di reclamo dell’intermediario.

  6. Valuta i canali successivi

    Dopo il reclamo, consulta requisiti e procedure ufficiali di ABF ed esposto alla Banca d’Italia.

↑ Torna all’indice

Sezione 14

Documenti, selfie e dati personali

Ricostruisci ciò che hai inviato e controlla gli abusi possibili senza creare dichiarazioni false.

Documenti, selfie, video e dati possono essere usati per tentativi di furto d’identità, apertura di account o modifica di recapiti e coordinate.

  1. Fai un inventario

    Elenca documenti, immagini, video e dati comunicati.

  2. Denuncia il fatto

    Rivolgiti quanto prima alle autorità descrivendo ciò che è stato inviato.

  3. Controlla SPID

    Contatta gli Identity Provider se sospetti identità SPID attivate senza consenso.

  4. Controlla prestazioni e IBAN

    Verifica conti o coordinate collegati a prestazioni pubbliche e servizi sensibili.

  5. Controlla la SIM

    Se il telefono perde inspiegabilmente la rete, contatta il gestore da un altro telefono.

  6. Avvisa i servizi sensibili

    Informa banca e account importanti se sospetti sostituzione SIM o furto d’identità.

↑ Torna all’indice

Sezione 15

Conservare le prove

Raccogli elementi utili senza riaprire link o rallentare il blocco urgente.

Conserva copie leggibili e annota l’ordine degli eventi. Se un elemento è disponibile solo riaprendo un contenuto pericoloso, non farlo.

  • Messaggio o email originale.
  • Mittente, numero, username, data e ora.
  • URL copiato senza riaprirlo.
  • Screenshot e cronologia della chat.
  • Cronologia delle chiamate.
  • IBAN, beneficiario, ricevute e identificativi dell’operazione.
  • Nome dell’app di controllo remoto e permessi concessi.
  • Elenco dei file, documenti, selfie o video inviati.
  • Notifiche di accesso, modifica account o sostituzione SIM.
  • Numeri di pratica e orari dei contatti con banca, provider e autorità.
↑ Torna all’indice

Sezione 16

Segnalazione, PRE-DENUNCIA e denuncia

Sono strumenti diversi: usa il canale adatto e non considerare una segnalazione come sostituto automatico dell’atto formale.

Una segnalazione online informa la Polizia Postale o il soggetto impersonato, ma non sostituisce denuncia o querela.

Dal 15 giugno 2026 Denunce Online consente, in via sperimentale e per i casi supportati, di avviare una PRE-DENUNCIA per truffa e frode informatica.

Segnalazione
Comunicazione informativa alla Polizia Postale o al soggetto impersonato; non sostituisce l’atto formale.
PRE-DENUNCIA
Documento avviato sul portale Denunce Online che deve essere formalizzato di persona secondo le istruzioni ricevute.
Denuncia o querela
La qualificazione dipende dal caso e compete alle autorità; questa guida non fornisce consulenza legale personalizzata.

  1. Apri autonomamente il portale

    Digita denunceonline.poliziadistato.it e seleziona il caso supportato.

  2. Compila la PRE-DENUNCIA

    Inserisci i dati richiesti esclusivamente nella procedura ufficiale.

  3. Scegli un ufficio abilitato

    Usa le opzioni correnti proposte dal portale, senza affidarti a elenchi copiati altrove.

  4. Formalizza entro 48 ore

    Presentati di persona seguendo appuntamento e istruzioni del portale.

↑ Torna all’indice

Sezione 17

Guide collegate

Approfondisci il servizio coinvolto usando le route già pubblicate da Percorso Cittadino.

Le guide collegate spiegano come funzionano identità digitale, app pubbliche e pagamenti; per un incidente usa comunque prima i canali ufficiali del provider o dell’ente.

↑ Torna all’indice

Sezione 18

Domande frequenti

Risposte rapide sui dubbi più comuni dopo un messaggio o un’operazione sospetta.

Come capire se un messaggio è autentico?

Non basarti su mittente, numero, logo o grafica. Interrompi il contatto, apri autonomamente il sito o l’app ufficiale e verifica la pratica nell’area autenticata; se serve assistenza, usa un recapito ricavato dal sito ufficiale, dall’app o dal retro della carta.

Ho soltanto aperto un link: cosa devo fare?

Chiudi la pagina e non riaprirla per controllare. Se non hai inserito dati, scaricato file o concesso permessi, il solo clic non significa necessariamente che le credenziali siano state rubate; controlla comunque download, app, estensioni e avvisi di sicurezza.

Ho comunicato una password o un OTP: è la stessa cosa?

No. Una password può consentire accessi ripetuti finché non viene cambiata; un OTP è temporaneo, ma potrebbe avere già autorizzato un accesso o un’operazione. Metti subito in sicurezza email e account, revoca sessioni sconosciute e contatta il servizio coinvolto.

La banca rimborsa sempre una truffa?

No. La valutazione dipende dai fatti e dalle regole applicabili. Contatta subito banca o emittente, distingui un’operazione non autorizzata da un pagamento disposto personalmente sotto inganno e segui la procedura di disconoscimento o recupero senza dare per scontato l’esito.

Una segnalazione online equivale a una denuncia?

No. Una segnalazione informa la Polizia Postale o il soggetto impersonato, ma non sostituisce una denuncia o una querela quando queste sono necessarie. Le autorità competenti indicano quale atto è appropriato nel caso concreto.

Posso completare interamente online la denuncia per truffa?

Non tramite l’attuale procedura sperimentale Denunce Online: per truffa e frode informatica il portale genera una PRE-DENUNCIA, da formalizzare di persona entro 48 ore presso un ufficio abilitato proposto dal portale.

Cosa fare se sono coinvolti SPID, CIE o IO?

Per SPID contatta immediatamente il tuo Identity Provider; per CIE usa l’assistenza ufficiale e distingui credenziali compromesse da carta fisica rubata; per IO segui l’assistenza ufficiale per bloccare l’accesso, anche tramite account.ioapp.it nei casi previsti.

pagoPA, IO e SEND possono inviare comunicazioni autentiche?

Sì. Possono esistere ricevute pagoPA, notifiche push o anteprime email di IO e avvisi di cortesia SEND. Non usare però link o recapiti del messaggio sospetto: apri direttamente l’app, il sito dell’ente o notifichedigitali.it e verifica lì.

Quali prove devo conservare?

Conserva messaggio originale, mittente, data e ora, URL senza riaprirlo, screenshot, chat, chiamate, ricevute, identificativi dell’operazione, app installate, documenti inviati e numeri di pratica. Non ritardare per questo il blocco urgente di conto, carta, SIM o credenziali.

Posso inviare il messaggio o i miei documenti a Percorso Cittadino?

No. Percorso Cittadino non riceve segnalazioni, password, OTP, documenti, screenshot o dati personali. Usa esclusivamente i canali ufficiali dell’autorità, dell’ente, della banca o del provider competente.

↑ Torna all’indice

Sezione 19

Fonti ufficiali

Pagine istituzionali usate per verificare procedure, cautele e canali operativi.

Le fonti sono state controllate il 29 luglio 2026. Procedure, uffici abilitati, recapiti e funzioni digitali possono cambiare: riapri sempre la pagina ufficiale corrente.

Per la situazione personale segui le istruzioni di autorità, banca, provider o ente competente. Percorso Cittadino offre solo orientamento informativo.

↑ Torna all’indice