Immagine di copertina generata con strumenti di intelligenza artificiale.
Una richiesta urgente di rinnovo del dominio, un ordine da confermare o un pagamento da sbloccare può sembrare un normale imprevisto operativo. È proprio questa familiarità a rendere il messaggio rischioso.
Nel riepilogo pubblicato dal CERT-AGID per la settimana dall’8 al 14 agosto ricorrono campagne a tema rinnovi, ordini e pagamenti, con riferimenti anche a servizi di registrazione domini e hosting. Non è un dato che misura tutte le PMI italiane: è un segnale concreto da trasformare in una procedura semplice.
La buona notizia è che non servono competenze tecniche specialistiche per ridurre il rischio. Serve una regola condivisa: nessuno decide dal link arrivato in email.
Il team di artigiani digitali che crea siti web unici per PMI italiane.
La regola: non verificare dal messaggio sospetto
Quando una comunicazione chiede di agire subito, cambia canale. Non usare il pulsante, il numero di telefono o il link presenti nel messaggio. Apri invece il sito o il portale che usi di solito digitandone l’indirizzo, oppure contatta il fornitore tramite un recapito già verificato.
Questa distinzione evita l’errore più comune: controllare una richiesta fraudolenta usando proprio i riferimenti scelti da chi l’ha inviata.
La checklist di 10 minuti
• Fermati prima di cliccare. Urgenza, minacce di blocco e richieste di pagamento immediato sono motivi per verificare, non per accelerare.
• Confronta mittente e dominio. Leggi l’indirizzo completo e cerca piccole differenze nel dominio, non solo il nome visualizzato.
• Accedi dal percorso abituale. Apri il portale del fornitore da un segnalibro, dal gestionale o digitando l’indirizzo noto.
• Verifica l’ordine con chi l’ha richiesto. Se riguarda un acquisto, controlla numero d’ordine, referente e importo con l’ufficio o la persona coinvolta.
• Ricontrolla le coordinate di pagamento. Un cambio IBAN non va approvato dalla sola email: richiede una seconda verifica su un contatto già conosciuto.
• Non inserire credenziali dopo un link ricevuto. Se una pagina chiede accesso o carta, chiudila e riparti dal sito ufficiale.
• Isola gli allegati inattesi. Un file chiamato fattura o contratto può essere solo un’esca: aprilo soltanto dopo averne verificato l’origine.
• Segnala il messaggio. Inoltralo al referente interno o al supporto del fornitore; non cancellarlo prima di avere raccolto le informazioni utili.
Chi deve fare cosa in una PMI
• Chi riceve il messaggio interrompe l’azione e inoltra la richiesta al referente indicato.
• Amministrazione controlla ordine, importo, scadenza e coordinate usando documenti o contatti già validati.
• Chi gestisce sito e domini verifica dal pannello del provider abituale, senza passare dall’email.
• Il titolare o responsabile definisce una regola: cambi bancari, rinnovi e credenziali non si confermano mai con una sola email.
Il risultato non è rallentare il lavoro: è evitare che una persona sola debba decidere sotto pressione su un pagamento, un accesso o un servizio essenziale.
Se hai già cliccato o inviato dati
Agisci subito, senza cercare colpe. Cambia la password dal sito ufficiale se l’hai inserita, avvisa chi amministra gli account, verifica eventuali regole di inoltro nella casella email e contatta la banca usando i canali già noti se sono coinvolti pagamenti o coordinate. Conserva il messaggio e l’URL: aiutano a ricostruire cosa è successo.
Le indicazioni dell’AgID sulle campagne di phishing convergono su questo punto: non comunicare dati personali o bancari attraverso canali non riconducibili direttamente ai siti ufficiali.
Tre cose da preparare prima del prossimo messaggio
• Un elenco aggiornato dei fornitori critici, con URL dei portali e recapiti verificati.
• Una mini-procedura per pagamenti, rinnovi e cambi coordinate, con una seconda verifica obbligatoria.
• Un recapito interno a cui inoltrare i messaggi sospetti, senza dover decidere da soli.
Una checklist condivisa non elimina tutte le truffe. Rende però molto più difficile che un’email urgente trasformi un’attività ordinaria in un fermo operativo, una perdita di denaro o un accesso non autorizzato.
Domande frequenti
Un’email usa il nome del mio provider: posso fidarmi?
No. Il nome visualizzato, il logo e il tono del messaggio possono essere imitati. Verifica dal pannello che usi normalmente o con un contatto già noto.
Devo bloccare ogni richiesta di pagamento via email?
No. Devi bloccare l’azione finché ordine, destinatario e coordinate non sono stati ricontrollati attraverso un canale indipendente dal messaggio.
Questa checklist vale anche per i messaggi ricevuti sul telefono?
Sì. SMS, chat e notifiche possono usare la stessa urgenza artificiale. Il principio resta: esci dal messaggio e riparti da un canale verificato.
Fonti consultate
• CERT-AGID, sintesi delle campagne malevole 8–14 agosto 2026
