Cos’è il phishing e come possono i genitori proteggere i propri figli dagli attacchi online?

Il mondo online presenta molti pericoli e gli attacchi di phishing sono sempre più diffusi. Che tu sia un genitore che vuole aiutare i propri figli a evitare i tentativi di phishing o semplicemente desideri conoscere i modi migliori per proteggere i tuoi account digitali, continua a leggere per scoprire tutto ciò che c’è da sapere.

Cos’è il phishing? Approfondiamo l’argomento.

Cos’è il phishing?

Gli attacchi di phishing sono progettati per ingannare gli utenti e convincerli a condividere dati sensibili. Questi tipi di attacchi informatici utilizzano email fraudolente, telefonate, SMS, messaggi diretti sui social media o siti web falsi. Quando un attacco di phishing va a buon fine, i criminali possono sottrarre dati sensibili, comprese informazioni personali e finanziarie.

Come funzionano le truffe e gli attacchi di phishing

Elnur/Shuttertock

Anche se esistono diversi tipi di attacchi di phishing, in genere si sviluppano nel modo seguente:

1. I criminali informatici pianificano l’attacco, scegliendo quale azienda o sito web prendere di mira e come ottenere dagli utenti le credenziali di accesso o altri dati sensibili.
2. A questo punto, i truffatori preparano la campagna di phishing. Di solito creano un’email e pagine web contraffatte che sembrano appartenere a un’azienda o a un sito legittimo.
3. L’attacco di phishing ha inizio. Le email false vengono inviate e spesso indirizzano i destinatari verso un sito web contraffatto, dove viene chiesto loro di inserire le credenziali di accesso o i dati finanziari per effettuare quello che credono essere un acquisto su un sito affidabile. In alcuni casi, sui dispositivi degli utenti viene installato un malware, spesso tramite un link dannoso, per monitorarne le attività e raccogliere dati personali.
4. I truffatori registrano le informazioni inserite dalle vittime nelle finestre pop-up o nel sito web falso.
5. Ne conseguono frodi e furti di identità: i criminali utilizzano le informazioni raccolte, per esempio, per accedere ai conti bancari delle vittime, effettuare acquisti e altro ancora.

È fondamentale che i genitori sappiano che messaggi fraudolenti, truffe online e attacchi di phishing possono coinvolgere anche bambini e ragazzi. I dati della Polizia Postale confermano quanto le frodi digitali rappresentino un fenomeno diffuso in Italia: nel 2025 sono stati trattati oltre 27.000 casi legati al cybercrime economico-finanziario, mentre il Commissariato di P.S. Online ha ricevuto più di 94.000 segnalazioni relative anche a phishing, social network e altri attacchi informatici.

Tra i tentativi di phishing a cui bambini e adolescenti possono essere maggiormente esposti figurano false richieste di amicizia, email scolastiche contraffatte, falsi concorsi e premi, finte vendite di biglietti e scambi basati sulla fiducia, per esempio nei giochi online. I tentativi di phishing possono comparire su numerose piattaforme, dai social media alle piattaforme di gioco online.

Quali sono le diverse forme di attacchi di phishing?

Potresti sorprenderti nello scoprire quanti tipi di attacchi di phishing esistono, ciascuno progettato per manipolare le proprie vittime. Ecco alcuni dei più comuni.

Phishing via email

In questo tipo di attacco, i truffatori inviano email fraudolente, apparentemente provenienti da fonti legittime, per convincere le vittime a rivelare informazioni personali sensibili. Le email di phishing contengono spesso allegati o link dannosi oppure inviti all’azione, come la richiesta di verificare i dati dell’account o reimpostare una password.

Phishing Vocale

Il phishing vocale, chiamato anche vishing, consiste nella falsificazione dei numeri telefonici di aziende reali o nell’utilizzo di falsi operatori del servizio clienti per contattare le vittime e convincerle a rivelare informazioni personali. Per esempio, un truffatore potrebbe contattare una persona fingendo di chiamare dalla sua banca e chiedendo le credenziali di accesso o i dati dell’account.

Spear phishing

Questo tipo di attacco di phishing prende di mira persone o organizzazioni specifiche. I criminali informatici spesso dedicano molto tempo e impegno alla ricerca delle proprie vittime per risultare credibili. In genere analizzano i loro profili sui social media, osservando i contenuti pubblicati, i contatti e le interazioni.

Smishing

Il termine “smishing” nasce dall’unione delle parole “SMS” e “phishing”. In genere i truffatori inviano alle vittime un link tramite SMS. Facendo clic sul link, sul telefono dell’utente potrebbe essere installato un malware oppure l’utente potrebbe essere indirizzato verso un sito falso progettato per raccogliere le sue informazioni personali.

Angler phishing

Questo tipo di attacco di phishing avviene sui social media, dove i criminali informatici si spacciano per operatori dell’assistenza clienti nel tentativo di entrare in contatto con i clienti di aziende legittime. Le vittime vengono solitamente indirizzate verso siti web falsi e dannosi con il pretesto di risolvere un problema, mentre in realtà vengono sottratti i loro dati personali.

Come riconoscere messaggi ed email di phishing

Il modo migliore per prevenire il phishing è conoscere i segnali che possono indicare SMS, messaggi e telefonate sospetti e assicurarsi che anche i propri figli sappiano riconoscerli. Ecco gli elementi a cui prestare attenzione:

• Controlla l’indirizzo email del mittente. Cerca errori ortografici, anche minimi rispetto all’indirizzo del sito legittimo, oppure nomi di dominio insoliti.
• L’email o il messaggio cerca di creare un senso di urgenza? È una tecnica di phishing molto comune: i messaggi apparentemente urgenti spingono gli utenti ad agire rapidamente, riducendo la loro capacità di valutare con attenzione la situazione. Queste tecniche di ingegneria sociale inducono gli utenti a inserire informazioni personali prima di avere il tempo di riflettere su ciò che stanno facendo.
• Presta attenzione a link sospetti o incoerenti, che rappresentano un chiaro rischio di phishing. Per esempio, un link che sembra portare al sito di un noto rivenditore ma che in realtà conduce a un dominio completamente diverso potrebbe indirizzare gli utenti verso un sito dannoso.
• Errori ortografici e grammaticali o anomalie nel testo del messaggio rappresentano un importante segnale di phishing e sono poco comuni nelle email inviate da aziende legittime. Presta attenzione anche ai saluti generici, come “Gentile cliente”, al posto del tuo nome.
• Fai attenzione agli allegati inattesi: aprendoli potresti installare malware sul dispositivo o infettarlo con virus. Come regola generale, evita di aprire allegati che non aspettavi o che non hai richiesto.
• Le mail di phishing possono chiedere dati personali, come informazioni finanziarie sensibili, la password di un account o altri dati identificativi. Evita sempre di fornirli. Se necessario, contatta direttamente l’organizzazione interessata utilizzando un numero di telefono o un indirizzo email affidabile..

Segnali di una telefonata di phishing

Burdun / Freepik.com

Il phishing comprende anche telefonate e SMS. I truffatori utilizzano le chiamate telefoniche, una tecnica chiamata vishing o phishing vocale, per convincere le persone a rivelare informazioni sensibili. Le chiamate possono sembrare provenire da banche, enti pubblici, assistenza tecnica, servizi di consegna o persino scuole.

Ecco alcuni segnali comuni di una telefonata di phishing:

• Chi chiama crea un forte senso di urgenza, sostenendo che il tuo account verrà chiuso, che tuo figlio è in pericolo o che devi agire immediatamente.
• Ti vengono chieste informazioni sensibili, come password, codici PIN, codici di verifica monouso, dati delle carte di credito o altri dati identificativi.
• La persona fa pressione affinché tu resti al telefono oppure cerca di scoraggiarti dal contattare direttamente l’organizzazione.
• Il numero di telefono può sembrare legittimo grazie alla falsificazione dell’identificativo del chiamante, ma il tono o le parole utilizzate possono apparire insoliti.
• Ti viene chiesto di scaricare un software, fare clic su un link ricevuto tramite SMS oppure trasferire denaro con urgenza.

Se ricevi una chiamata sospetta, termina immediatamente la conversazione. Contatta poi l’organizzazione utilizzando un numero di telefono affidabile reperito sul suo sito ufficiale. Insegna ai tuoi figli a evitare di condividere informazioni personali al telefono, anche quando chi chiama sembra convincente o afferma di rappresentare una figura autorevole.

Siti web falsi e false pagine di accesso

I siti di phishing e le false pagine di accesso utilizzano diverse tecniche per convincere gli utenti a rivelare informazioni sensibili. I siti di phishing inducono gli utenti a credere di interagire con soggetti legittimi, con l’obiettivo di convincerli a inserire informazioni personali come i numeri delle carte di credito o le credenziali di accesso. I criminali informatici creano spesso siti falsi incredibilmente simili agli originali, riproducendo marchio, colori, caratteri, struttura delle pagine e contenuti, rendendoli molto difficili da riconoscere. Questi siti contraffatti possono essere raggiunti tramite email di phishing, messaggi diretti, codici QR dannosi e altri strumenti.

Le pagine di accesso clonate rappresentano una seria minaccia di phishing. Possono apparire sotto forma di finestra pop-up all’interno di un sito apparentemente legittimo e risultare identiche a quelle autentiche. Quando l’utente inserisce le proprie credenziali, però, i truffatori le acquisiscono. Un altro sistema utilizzato per rubare le credenziali di accesso consiste nel reindirizzare gli utenti da una pagina web legittima a un falso modulo di login. Oltre a creare confusione, questa tecnica induce l’utente a credere di trovarsi ancora sul sito autentico.

Ecco alcuni segnali che possono indicare un sito di phishing o una falsa pagina di accesso:

• L’URL contiene piccoli errori ortografici o caratteri aggiuntivi, per esempio lettere sostituite da numeri.
• Il nome del dominio differisce da quello del sito ufficiale, anche se l’aspetto della pagina sembra identico.
• Il sito è privo di crittografia HTTPS: controlla la presenza dell’icona del lucchetto nella barra del browser.
• Vieni reindirizzato inaspettatamente a una pagina di accesso.
• Il sito richiede una quantità eccessiva di informazioni personali che hanno poca attinenza con il servizio.
• L’aspetto appare leggermente datato o deformato oppure presenta piccole incoerenze grafiche.
• Compare improvvisamente una finestra pop-up di accesso, soprattutto su un sito in cui avevi già effettuato il login.

In caso di dubbio, chiudi la pagina e digita manualmente nel browser l’indirizzo del sito ufficiale invece di fare clic sui link.

Segnali che possono aiutare tuo figlio a riconoscere il phishing

fizkes/Shutterstock.com

Per aiutare tuo figlio a evitare di scaricare malware o di condividere involontariamente informazioni personali con i truffatori, è importante spiegargli quali tecniche di phishing deve imparare a riconoscere. Ecco una semplice checklist da condividere con lui:

• I siti web dannosi presentano spesso URL con errori ortografici o indirizzi insoliti. Controllali attentamente.
• Scarica file soltanto con il permesso di un genitore.
• Fai attenzione ai link di phishing: evita di seguire collegamenti che ti portano fuori da un sito web legittimo.
• Evita di rispondere ai messaggi che chiedono informazioni personali, comprese le credenziali di accesso, e apri soltanto gli allegati che hai richiesto o che ti aspetti di ricevere.
• Se pensi di trovarti su un sito compromesso, abbandonalo immediatamente.
• Presta attenzione ai messaggi o alle pagine web con errori grammaticali e ortografici: sono un importante campanello d’allarme.
• Segnala immediatamente i tentativi di phishing, anche quando risultano inefficaci, a un adulto di fiducia.

Cosa fare se hai cliccato su un link di phishing o condiviso informazioni

Se tu o tuo figlio avete cliccato su un link di phishing o avete condiviso informazioni su un sito di phishing, è importante agire rapidamente. Il dispositivo potrebbe essere già a rischio o compromesso.

1. Se hai cliccato su un link di phishing senza aver ancora inserito informazioni, abbandona la pagina e chiudi immediatamente il browser.
2. Interrompi subito qualsiasi download automatico. Potresti riuscire a evitare una violazione dei dati o l’installazione di malware sul dispositivo. Controlla inoltre che siano stati scaricati i file verificando gli elementi recenti nella cartella Download.
3. Disconnettiti da Internet. Questo può impedire al malware di trasmettere ai truffatori i dati personali raccolti.
4. È consigliabile eseguire un backup del dispositivo nel caso in cui il malware elimini o danneggi i file durante un altro attacco. Esegui il backup soltanto dei file essenziali, per ridurre il rischio di copiare programmi dannosi quando il sistema verrà ripristinato.
5. Il passaggio successivo consiste nell’eseguire una scansione del dispositivo alla ricerca di malware. Molti software antivirus offrono funzioni avanzate di protezione dal phishing oltre alla scansione e possono eliminare eventuali malware installati sul dispositivo attraverso una truffa di phishing.
6. Se pensi di aver cliccato su un link di phishing, è fondamentale aggiornare le password degli account potenzialmente a rischio o, preferibilmente, di tutti i tuoi account online, per impedire ai criminali informatici di accedervi.

Se i tuoi dati finanziari sono stati condivisi durante un attacco di phishing, contatta immediatamente la tua banca e gli emittenti delle carte di credito per informarli dell’accaduto. Segui inoltre le procedure indicate dagli istituti interessati per proteggerti dal furto di identità e da eventuali operazioni fraudolente effettuate a tuo nome.

Infine, puoi segnalare il tentativo di phishing attraverso il Commissariato di P.S. Online della Polizia Postale, che mette a disposizione dei cittadini informazioni, consigli e strumenti per segnalare episodi legati alla criminalità informatica. Per approfondire le campagne di phishing attive in Italia puoi inoltre consultare gli aggiornamenti pubblicati dal CERT-AGID.

Prevenzione del phishing: abitudini e misure tecniche da seguire

Per prevenire il phishing, alcune semplici abitudini e precauzioni possono fare una grande differenza.

Controlla i link

Gli URL dannosi sono una tecnica collaudata utilizzata da molti truffatori e può essere facile fare clic senza pensarci. Oltre a cercare errori ortografici o nomi di dominio abbreviati, puoi controllare un link prima di aprirlo.

Su un computer, posiziona il cursore sopra il link: l’URL completo apparirà nell’angolo inferiore sinistro dello schermo o in una finestra pop-up. Sui dispositivi mobili, tieni premuto il link per visualizzare l’URL completo della destinazione reale.

Prenditi il tempo per riflettere

Molti attacchi di phishing riescono perché convincono gli utenti a inserire informazioni personali prima che abbiano il tempo di riflettere attentamente su ciò che stanno facendo. Tra le strategie anti-phishing più efficaci c’è una semplice abitudine, da insegnare anche a tuo figlio: fermarsi un momento a pensare prima di fare clic su un link o condividere informazioni personali. Prenditi un minuto per valutare se il link o il messaggio potrebbe rappresentare un tentativo di phishing e controlla la presenza di eventuali segnali sospetti.

Usa i filtri antispam

Configura i filtri antispam nel tuo servizio di posta elettronica e nelle app di messaggistica per proteggerti dagli attacchi di phishing mirati. Questi filtri aiutano a mettere in quarantena o bloccare i tentativi di phishing, proteggendo le informazioni personali.

Attiva l’autenticazione a due fattori

Utilizza sempre l’autenticazione a due fattori, quando disponibile, per aumentare la sicurezza dei tuoi account online. In questo modo, per accedere agli account dovrai fornire un’ulteriore informazione di sicurezza, rendendo più difficile l’accesso da parte dei truffatori.

Mantieni aggiornato il software

Per contrastare il phishing, mantieni sempre aggiornati i tuoi software. Gli aggiornamenti possono correggere vulnerabilità di sicurezza che i criminali potrebbero sfruttare per installare malware sul dispositivo tramite un link di phishing. Aggiorna regolarmente sia le singole app sia il sistema operativo per ottenere il massimo livello di protezione.

Usa un software anti-malware

Attacchi di phishing sofisticati sono riusciti a ingannare persino professionisti esperti nel contrasto alle truffe, quindi è comprensibile che anche gli utenti comuni possano cadere nella trappola. È consigliabile installare software anti-malware e antivirus affidabili e di qualità su tutti i dispositivi connessi a Internet. Questi strumenti adottano misure tecniche per rilevare il phishing, rimuovere malware e virus e offrire ulteriori forme di protezione.

Strumenti e tecnologie anti-phishing

Gli strumenti anti-phishing aiutano a proteggerti dagli attacchi di phishing identificando e bloccando automaticamente link, attività, messaggi e allegati sospetti. Ecco alcuni degli strumenti e delle tecnologie più comuni.

Software antivirus

Come accennato, i software antivirus svolgono un ruolo importante nella difesa dagli attacchi di phishing. Questo tipo di software utilizza generalmente sistemi di rilevamento basati su firme per confrontare siti di phishing e minacce già conosciute e individuare nuovi rischi emergenti. Analizza inoltre i messaggi in arrivo alla ricerca di malware.

Esempi di software antivirus che includono una protezione anti-phishing:

• Norton 360 – offre protezione web in tempo reale e blocca i siti di phishing conosciuti.
• Bitdefender Antivirus Plus – include funzioni avanzate di filtraggio anti-phishing e antifrode.
• Avast Free Antivirus – uno dei migliori antivirus gratis per scansionare tutte le email ricevute.
• McAfee Total Protection – offre protezione web e rilevamento dei link sospetti.
• Kaspersky Internet Security – utilizza informazioni sulle minacce basate sul cloud per individuare i tentativi di phishing.

Filtri email

I filtri email analizzano i messaggi in arrivo, compresi oggetto, mittente, allegati, link incorporati e contenuto. Contrassegnano le email sospette come spam e possono bloccarle o eliminarle.

Esempi di soluzioni per il filtraggio delle email:

• Gmail – segnala automaticamente le email sospette e i tentativi di phishing.
• Microsoft Outlook – utilizza strumenti integrati per filtrare spam e phishing.
• Microsoft Defender for Office 365 – offre una protezione avanzata dalle minacce per gli utenti aziendali.
• Proofpoint Email Protection – sistema professionale per il rilevamento del phishing.
• SpamTitan – sistema cloud per il filtraggio di spam e phishing.

Soluzioni di autenticazione

Queste soluzioni comprendono l’autenticazione multifattore (MFA), che richiede agli utenti di fornire due forme di identificazione per accedere ai propri account online, rendendo più difficile l’accesso ai truffatori. Per contrastare il phishing via SMS, l’autenticazione MFA basata su SMS invia al dispositivo dell’utente un codice univoco dopo l’inserimento della password, rendendo più difficile per un criminale accedere all’account.

Esempi di soluzioni di autenticazione:

• Google Authenticator – genera password monouso basate sul tempo.
• Microsoft Authenticator – supporta l’accesso senza password e l’autenticazione MFA.
• Authy – offre backup cloud crittografati dei token di autenticazione.
• Nordpass – soluzione MFA di livello aziendale.
• Okta – offre strumenti per la gestione delle identità e degli accessi nelle organizzazioni.

Firewall

I firewall impediscono l’accesso non autorizzato a una rete e ne controllano il traffico. Possono essere configurati per bloccare il traffico in entrata e in uscita in base a criteri come indirizzo IP di destinazione, indirizzo IP di origine e numero di porta. Bloccando il traffico proveniente da indirizzi IP e domini di phishing conosciuti, i firewall possono impedire ai truffatori di raggiungere gli utenti presi di mira.

Esempi di soluzioni firewall:

• Windows Defender Firewall – firewall integrato nei dispositivi Windows.
• ZoneAlarm – firewall personale con funzionalità di protezione dal phishing.
• Fortinet FortiWeb — ideale per la protezione avanzata dalle minacce.
• Cisco Secure Firewall – soluzione firewall di livello aziendale.
• pfSense – firewall open source personalizzabile.
• Sophos Firewall – integra firewall e sistemi di intelligence sulle minacce.

Estensioni del browser

Utilizzando database di siti di phishing conosciuti e sistemi euristici, le estensioni del browser analizzano i siti web in tempo reale per valutarne la sicurezza. Se rilevano un sito potenzialmente dannoso, avvisano gli utenti in modo che possano abbandonarlo prima di effettuare una transazione fraudolenta, scaricare un allegato sospetto, fare clic su un link dannoso o inserire dati sensibili.

Esempi di strumenti di protezione per il browser:

• Netcraft Extension – avvisa gli utenti della presenza di siti di phishing e siti dannosi.
• Avast Online Security – blocca link dannosi e sistemi di tracciamento.
• Bitdefender TrafficLight – analizza le pagine web in tempo reale.
• Microsoft Defender SmartScreen – integrato in Microsoft Edge per la protezione dal phishing.
• Malwarebytes Browser Guard – blocca siti fraudolenti e annunci dannosi.

App di controllo parentale

Anche se insegnare ai bambini a riconoscere il phishing è fondamentale, i genitori hanno spesso bisogno di uno strumento affidabile per restare informati sulle attività online e proteggere la sicurezza dei propri figli in tempo reale. Una possibile soluzione è Findmykids.

Findmykids aiuta i genitori a monitorare le abitudini digitali senza leggere i messaggi privati. Sui dispositivi Android puoi vedere quali app di messaggistica e social utilizza più spesso tuo figlio, così da individuare tempestivamente eventuali attività insolite.

L’app consente inoltre di impostare limiti al tempo trascorso davanti allo schermo e di bloccare determinate applicazioni, in modo permanente oppure per un periodo specifico, per esempio durante l’orario scolastico o di notte.

Oltre al monitoraggio digitale, Findmykids include funzioni per la sicurezza offline, come localizzazione GPS in tempo reale, cronologia delle posizioni, zone sicure con notifiche, controllo del livello della batteria e segnale SOS per le emergenze, aiutando i genitori a restare in contatto con i figli sia online sia offline.

Scopri Findmykids per aggiungere un ulteriore livello di protezione alla sicurezza digitale e quotidiana di tuo figlio.

Proteggi la tua famiglia dagli attacchi di phishing

Conoscere il phishing è il primo passo per evitarlo e aiutare tuo figlio a proteggersi dagli attacchi di phishing. Se ha successo, questo tipo di attacco può avere conseguenze gravi: i truffatori possono utilizzare i dati sensibili raccolti per commettere furti di identità, aprire nuovi account a tuo nome o effettuare acquisti fraudolenti. Usa la guida precedente per riconoscere i segnali di un tentativo di phishing e restare un passo avanti rispetto ai truffatori.

FAQ – Domande frequenti

Cos’è il phishing in parole semplici?

Gli attacchi di phishing mirano a danneggiare o sottrarre dati personali inducendo le persone a rivelare informazioni come i numeri delle carte di credito o le password.

Come faccio a capire se un’email è una mail di phishing?

Tra i segnali che possono indicare un’email di phishing figurano errori ortografici o grammaticali nell’oggetto e/o nel contenuto, un mittente sconosciuto, un linguaggio urgente o minaccioso oppure un saluto generico al posto del tuo nome. Altri elementi tipici di una mail di phishing sono domini email falsificati ma molto simili a quelli legittimi, link o allegati insoliti oppure offerte che sembrano troppo belle per essere vere.

Qual è la differenza tra phishing e spear phishing?

Mentre un attacco di phishing prende generalmente di mira un gran numero di utenti attraverso l’invio di email generiche, lo spear phishing si concentra su organizzazioni e persone specifiche. In questo caso, i truffatori utilizzano spesso informazioni personali sulla vittima per rendere il tentativo più convincente.

Cover image: rawpixel.com / magnific.com