Spear phishing: perché il messaggio truffa sa tanto di te

Risorsa aggiuntiva per la lezione “Phishing: riconoscimento e prevenzione” — corso Privacy Online

Lo spear phishing, o phishing mirato, è un messaggio truffa scritto per una persona sola: usa il tuo nome, il tuo lavoro, un collega o un fatto recente perché ti sembri familiare. Questa risorsa guarda il phishing dal lato della privacy: da dove arrivano quei dettagli, come controllare che cosa è già in giro su di te e come lasciarne meno al messaggio successivo.

A. Perché conta

Di solito il phishing si spiega insegnando a riconoscere messaggi e pagine false, ed è quello che fa il corso Sicurezza Online. Ma il phishing è anche un modo di raccogliere dati personali: una password, un numero di conto, la risposta a una domanda di sicurezza. E sono proprio i dati personali a rendere credibile un messaggio.

Qui entra in gioco la privacy. In questo corso significa tre domande: che cosa si sa di te, chi lo sa e che cosa scegli di far sapere. Un messaggio personalizzato risponde alle prime due, per mano di qualcuno che non hai scelto tu. Vedere come è stato costruito è il punto da cui si comincia a cambiarlo.

Un messaggio convincente non è una tua colpa. Questi messaggi sono fatti per sembrare normali, e accorgersene è un’abilità che si costruisce, non un esame da superare o da fallire.

Cosa dicono le fonti

Altroconsumo spiega che il phishing serve a «raccogliere dati strettamente personali» per usarli poi a fini illeciti, e avverte che anche un semplice messaggio di spam su un social come Facebook può essere il primo passo di un attacco.

Sul modo in cui i dettagli arrivano ai truffatori, la fonte più chiara è in inglese. Il National Cyber Security Centre del Regno Unito (NCSC) scrive che i criminali usano le informazioni su di te disponibili online, anche sui social, per rendere più convincenti i messaggi di phishing. Invita a pensare a quali dati personali pubblichi tu e pubblicano gli altri, e a rivedere le impostazioni privacy dei tuoi account.

Il Garante per la protezione dei dati personali, l’autorità italiana che vigila sulla privacy, aggiunge un secondo canale. Nella pagina sul vishing, cioè sul phishing telefonico, spiega che i truffatori possono avere già dati bancari o della carta ottenuti con altri attacchi di phishing o da altri criminali informatici, e che quei dati possono essere rivenduti. Per gli SMS segnala anche il caso in cui il truffatore abbia preso il controllo del dispositivo o del numero di un conoscente.

Il Garante descrive la violazione di dati personali (in inglese data breach) come un incidente di sicurezza che, in modo accidentale o illecito, causa la perdita, la modifica, la distruzione o la divulgazione non autorizzata dei dati, oppure l’accesso a essi. Quando il rischio per le persone è elevato, il titolare del trattamento, cioè l’azienda o l’ente che gestisce i dati, deve comunicare la violazione a chi è coinvolto.

B. Concetti chiave

Cinque idee che collegano il phishing a ciò che si sa di te.

Il phishing come raccolta di dati

Un messaggio, una telefonata o una pagina web che finge di arrivare da qualcuno di cui ti fidi per ottenere qualcosa da te. Spesso quel qualcosa è un dato: una password, un codice monouso, i dati della carta.

Perché ti riguarda: Cambia la domanda che ti fai. Non solo «è vero?», ma anche «che cosa mi sta chiedendo di consegnare?».

Lo spear phishing

Un messaggio di phishing scritto per una persona o per un piccolo gruppo, con dettagli che calzano: un nome, un ruolo, un collega, un viaggio. Può chiederti di accedere da un link o di aprire un allegato, e può sembrare arrivato da un conoscente o da un ente con cui hai rapporti.

Perché ti riguarda: Un messaggio che nomina qualcosa di vero su di te sembra affidabile. Sapere che i dettagli veri si possono trovare o sottrarre ti aiuta a distinguere «questo messaggio mi conosce» da «questo messaggio arriva da qualcuno che conosco».

Ciò che si trova di te

Tutto quello che uno sconosciuto può scoprire senza chiedertelo: ciò che pubblichi in modo aperto, ciò che altri pubblicano su di te, i profili che mostrano azienda e ruolo, gli elenchi che riportano il tuo numero di telefono, l’indirizzo di casa o l’email.

Perché ti riguarda: È la materia prima dello spear phishing e la parte su cui puoi incidere di più. Ogni dettaglio sembra innocuo; messi insieme, raccontano una storia.

Le violazioni di dati

Una violazione di dati è un incidente in cui i dati custoditi da un servizio vengono esposti o sottratti. Non puoi annullarla, ma puoi scoprire se la tua email è comparsa in una di queste e cambiare le password esposte.

Perché ti riguarda: In questo modo una vecchia fuga di dati non apre porte nuove. Se un messaggio sospetto cita una password che hai usato in passato, non serve andare nel panico: cambiala su ogni account in cui la usi.

Se hai già cliccato

Succede, e si può affrontare con calma. Conta che cosa hai condiviso.

Il Garante indica di contattare subito la banca o il gestore della carta con i canali che conosci, se hai dato dati di pagamento, e ricorda che si può segnalare la truffa alle autorità di polizia. Altroconsumo aggiunge che, se compaiono addebiti non autorizzati, conviene fare subito un reclamo scritto alla banca o all’emittente della carta; se la banca non risponde entro 15 giorni lavorativi, ci si può rivolgere all’Arbitro bancario e finanziario. Per la segnalazione Altroconsumo rimanda alla Polizia postale e al suo portale online.

Se hai inserito una password, cambiala su ogni account in cui la usi. Se hai aperto un file o installato qualcosa, fai controllare il dispositivo con l’antivirus.

Perché ti riguarda: Una sequenza chiara trasforma un momento preoccupante in una breve lista di cose da fare.

C. Un esempio concreto: Elena e l’invito come relatrice

Elena ha 35 anni e lavora nel marketing a Milano: ogni giorno tratta dati di clienti. Un lunedì le arriva un’email che sembra degli organizzatori di un convegno di settore.

Usa il suo nome e cognome e il suo ruolo, cita l’intervento che aveva tenuto lì la primavera scorsa, nomina il collega con cui aveva parlato e la invita a tornare. Per «confermare il suo posto» deve accedere a un portale dei relatori con l’email e la password di lavoro e caricare le slide dell’anno prima.

Ogni dettaglio era vero, ed è per questo che nulla sembrava strano.

A farla fermare è stata la richiesta di accedere da un link. Ha cercato il recapito degli organizzatori sul sito del convegno e ha scritto per chiedere. Non avevano mandato nessun invito.

Cosa è cambiato quando Elena ha ricostruito i dettagli

Elena non era allarmata, solo curiosa. La sera ha fatto l’esercizio qui sotto e ha ricostruito da dove veniva ogni dettaglio:

• nome, ruolo e azienda stavano sul suo profilo professionale pubblico;
• l’intervento e il collega comparivano in un post pubblico, con una foto insieme sul palco;
• la sua email di lavoro seguiva lo stesso schema degli indirizzi dei colleghi, elencati in pubblico;
• un controllo delle violazioni ha mostrato la sua email in due violazioni di servizi che aveva dimenticato, e in una era uscita anche una password.

Ha preso tre decisioni. Usava ancora quella password su due account: l’ha cambiata su entrambi e ha attivato un secondo fattore sull’email principale. Ha limitato il post del convegno ai suoi contatti. E ha inoltrato l’email truffa all’ufficio IT dell’azienda, perché anche i colleghi potessero essere avvisati.

Ha lasciato pubblico il profilo professionale, perché il suo lavoro lo richiede. Anche questa è una scelta, fatta ora sapendo a che cosa può servire.

D. Provaci tu: guarda che cosa potrebbe trovare un truffatore (20 minuti)

Quattro passi brevi. Non sono un test di quanto sei attento: ti mostrano ciò che si trova di te, così puoi decidere che cosa farne.

Passo 1 — Controlla la tua email nelle violazioni di dati (5 minuti)

• Inserisci la tua email principale in un servizio di controllo delle violazioni, come Have I Been Pwned. Nelle sue FAQ il servizio indica che le ricerche non vengono registrate e che l’unico tracciamento è quello di analytics e di monitoraggio delle prestazioni, oltre ai dati diagnostici in caso di errore.
• Annota ogni violazione e che cosa ha esposto: indirizzi email, password, altri dati.
• Non trovare nulla è un’informazione utile, anche se non garantisce che i tuoi dati non siano altrove. Trovare qualcosa non dice niente sulle tue abitudini: le violazioni avvengono nelle aziende.

Passo 2 — Guardati da fuori (6 minuti)

• Cerca il tuo nome e cognome insieme alla città, all’azienda o al lavoro.
• Apri i tuoi profili principali senza accedere, oppure in una finestra privata del browser, per vedere più o meno ciò che vede uno sconosciuto che non ti segue. Il controllo completo dei pubblici è nella risorsa sulle impostazioni privacy social.
• Elenca i dettagli che uno sconosciuto potrebbe usare: azienda, ruolo, colleghi, nomi di familiari, date di viaggio, la tua email o lo schema dei suoi indirizzi.

Passo 3 — Scrivi il messaggio che potrebbe arrivarti (4 minuti)

• Prendi tre dettagli dall’elenco e immagina un messaggio breve e credibile costruito con quelli.
• Annota che cosa ti chiederebbe di fare: accedere, pagare, inviare un documento, confermare un dato.
• È il messaggio per cui vale la pena farsi trovare pronti. Averlo immaginato una volta può rendere più facile fermarti un attimo.

Passo 4 — Fai una o due modifiche (5 minuti)

• Se una violazione ha esposto una password che usi ancora, cambiala su ogni account in cui la usi.
• Scegli un dettaglio del passo 2 che non ti serve mostrare in pubblico e limita chi può vederlo.

• Se il tuo numero di telefono, l’indirizzo di casa o l’email compaiono nei risultati di ricerca, «Risultati che ti riguardano» di Google ti permette di chiedere la rimozione («Richiedi la rimozione»). Come precisa Google, l’informazione resta sulla pagina web di origine: per toglierla alla fonte devi contattare chi gestisce il sito.

Il punto non è sparire. È sapere che ciò che uno sconosciuto può trovare è, in larga parte, quello che hai scelto di mostrare.

Già trattato nel corso Sicurezza Online

Come riconoscere il phishing costruito per convincere
Il lato sicurezza: pagine clonate, indirizzi simili, codici catturati in tempo reale e l’abitudine del segnalibro. Questa risorsa guarda invece i dettagli personali che rendono credibile un messaggio.

E. Video, articoli e altre risorse

Prima le fonti italiane, poi una fonte in inglese dove manca un equivalente italiano, infine gli strumenti dell’esercizio.

Fonti istituzionali italiane

Garante per la protezione dei dati personali — Data Breach – Violazioni di dati personali
Che cos’è una violazione di dati personali, quali conseguenze può avere e quando il titolare deve comunicarla alle persone coinvolte.
https://www.garanteprivacy.it/data-breach

Garante per la protezione dei dati personali — Vishing: i suggerimenti del Garante per proteggersi dal phishing telefonico
Dati bancari ottenuti con altri attacchi e rivenduti; verificare i numeri sul sito ufficiale; contattare la banca con canali noti.
https://www.garanteprivacy.it/temi/cybersecurity/vishing

Garante per la protezione dei dati personali — Smishing: i suggerimenti del Garante per proteggersi dal phishing che sfrutta SMS e messaggistica
Il caso del conoscente il cui numero o dispositivo è stato preso, cosa non comunicare e a chi segnalare.
https://www.garanteprivacy.it/temi/cybersecurity/smishing

Associazioni dei consumatori

Altroconsumo — Phishing: i consigli per difendersi
A che cosa serve il phishing, perché anche uno spam su Facebook può essere un primo passo e quali abitudini aiutano.
https://www.altroconsumo.it/hi-tech/internet-telefono/consigli/consigli-antiphishing

Altroconsumo — Truffe mail, WhatsApp, SMS: come riconoscerle e proteggersi
Reclamo scritto alla banca, ricorso all’Arbitro bancario e finanziario e segnalazione alla Polizia postale.
https://www.altroconsumo.it/soldi/truffe/news/sms-phishing-smishing-sim-swap

Fonte in inglese

NCSC (Regno Unito) — Phishing scams: how to spot and report them
Come i criminali usano le informazioni disponibili online, anche sui social, per rendere credibili i messaggi. In inglese.
https://www.ncsc.gov.uk/collection/phishing-scams

Strumenti e documentazione delle piattaforme

Have I Been Pwned — FAQs
Che cosa fa il servizio di controllo delle violazioni e come tratta ricerche e avvisi. In inglese.
https://haveibeenpwned.com/FAQs

Guida di Ricerca Google — Trovare e rimuovere i dati di contatto personali nei risultati della Ricerca Google
Come «Risultati che ti riguardano» trova telefono, indirizzo o email nei risultati e permette di chiedere la rimozione.
https://support.google.com/websearch/answer/12719076?hl=it

Link verificati a ottobre 2026. Se un indirizzo cambia, cercare il titolo sul sito dell’ente di solito aiuta a ritrovarlo.

F. Il Framework Cyber Welfare: Competenze, Consapevolezza, Comportamento Sicuro

Questa risorsa poggia sul pilastro Consapevolezza al livello FL2 – Iniziato, dove il lavoro è capire come ciò che si sa di te può essere usato e scegliere che cosa lasciare a portata di mano.

Competenze

• Controllare se la tua email è comparsa in una violazione di dati.
• Vedere i tuoi profili più o meno come li vede uno sconosciuto.
• Seguire con calma la breve lista di passi dopo un clic.

Consapevolezza

• Riconoscere che un messaggio che sa cose vere su di te è stato montato, non scritto da chi conosci.
• Sapere da dove arrivano quei dettagli: post pubblici e vecchie violazioni.
• Vedere il phishing come una raccolta di dati, che può alimentare il messaggio successivo.

Comportamento Sicuro

• Verificare una richiesta inattesa attraverso un canale che hai trovato tu, non quello indicato nel messaggio.
• Cambiare una password esposta su ogni account in cui l’hai usata.
• Tenere pubblici solo i dettagli che hai un motivo per mostrare.

G. Domande su cui fermarti

• Quali tre dettagli su di te renderebbero più convincente un messaggio truffa, e dove può trovarli uno sconosciuto?
• Un vecchio account che non usi più condivide la password con qualcosa di importante?
• Quando un messaggio sa qualcosa di vero su di te, qual è il tuo primo controllo?

H. Cosa fare adesso

Le raccomandazioni (R) e le misure di sicurezza (MS) del database Cyber Welfare che si applicano più direttamente a questo tema.

1. Prima di agire su un messaggio

• R16 — Diffida delle email che fingono di essere la banca: alla banca si entra dalla porta che conosci: se un messaggio chiede dati personali o bancari, contatta l’organizzazione con recapiti che hai già.
• R17 — Non aprire allegati sconosciuti: prima capisci chi te li manda e perché, anche quando il messaggio usa il tuo nome.
• R23 — Scegli di seguire solo persone conosciute sui social: il tuo cerchio decide chi ti vede: gli sconosciuti non vedono i dettagli che condividi con i tuoi contatti.

Impegno minimo: la prossima volta che un messaggio sa qualcosa di vero su di te e ti chiede di fare qualcosa, verificalo attraverso un canale che hai trovato tu.

2. Rendere meno utili i dati raccolti

• R4 — Proteggi gli account con l’MFA: la difesa che regge quando la password cede: parti dall’email principale, così una password esposta in una violazione non basta da sola.
• R29 — Controllare i messaggi inviati a tuo nome: cosa fare quando un contatto ti avvisa: se un account viene preso, avvisa i tuoi contatti di diffidare dei messaggi recenti arrivati da lì.

Impegno minimo: controlla la tua email principale in un servizio di controllo delle violazioni e cambia ogni password esposta che usi ancora.

In breve

• Lo spear phishing usa dettagli veri su di te per sembrare familiare: la familiarità è stata montata, non guadagnata.
• Quei dettagli possono venire da ciò che si trova online e da vecchie violazioni di dati.
• Puoi controllare la tua email nelle violazioni note, vedere i tuoi profili come li vede uno sconosciuto e scegliere che cosa resta pubblico.
• Se hai cliccato, agisci su ciò che hai condiviso: avvisa la banca, cambia le password inserite, controlla il dispositivo, segnala.

Risorse correlate in questo corso

• Chiamate spam: come arriva il tuo numero e come ridurle
• Truffe con voce clonata: come i deepfake usano ciò che pubblichi
• Parola d’ordine in famiglia: difenditi dalle truffe con l’IA
• Impostazioni privacy social: il controllo in 10 minuti

Scopri altre risorse aggiuntive dei corsi online del Programma Proteggi la Tua Privacy Digitale.