Arriva un SMS: «Il tuo conto è bloccato, verifica qui». Tocchi il link e si apre la pagina della tua banca. Stesso logo, stessi colori, stesso pulsante Accedi. Serio stava già scrivendo la password. Solo che quella non era la sua banca: era una copia. Oggi l’intelligenza artificiale (AI) aiuta i truffatori a farle in fretta e quasi perfette. Vediamo come accorgersene prima di scrivere qualsiasi cosa.
Il video è su YouTube. Se premi «Guarda il video», il tuo browser si collega a YouTube (Google), che riceve il tuo indirizzo IP e può usare cookie e tecnologie simili, anche per i suoi scopi e con possibili trasferimenti negli Stati Uniti. Informativa cookie · Guardalo su YouTube
Che cosa sono i siti clone
Sono siti falsi che copiano quelli veri. La Polizia Postale ha lanciato l’allarme il 25 settembre 2026: con l’AI si creano siti «graficamente identici o molto simili» a quelli di banche, aziende, enti e servizi online, con gli stessi loghi, le stesse immagini e gli stessi testi.
Lo scopo è uno: farti scrivere le credenziali di accesso, i dati personali o i dati bancari.
Ci arrivi in due modi, sempre secondo la Polizia Postale:
- da un link in un’email, in un SMS, in un messaggio sui social o su WhatsApp;
- dai risultati di una ricerca su internet, che è la strada più insidiosa, perché lì il sito l’hai cercato tu.
E con l’AI spariscono anche i vecchi segnali. I messaggi di phishing oggi sono scritti senza errori di grammatica e cuciti su misura per chi li riceve. Il «si vede che è falso» non funziona più.
Il segnale che conta: l’indirizzo
La grafica si copia. L’indirizzo del sito, no: il truffatore non può usare quello vero. Per questo il primo consiglio della Polizia Postale è controllare sempre l’indirizzo (URL) prima di inserire i dati. Anche una sola lettera diversa o un carattere in più possono nascondere un sito falso.
I trucchi più comuni sono due:
- una parola in più, come «-verifica», «-sicurezza», «-accesso», attaccata al nome vero;
- una lettera cambiata, come una «m» al posto di una «n», o una «l» al posto di una «i». A colpo d’occhio non si vede.
Sul telefono c’è un dettaglio da sapere. In Chrome su Android, almeno su un Pixel con Android 17 come quello su cui abbiamo provato, la barra dell’indirizzo sta in basso e mostra solo il nome del sito. Se tocchi la barra, compare l’indirizzo con il pulsante per vederlo tutto. Leggilo con calma, lettera per lettera, prima di scrivere.
Il lucchetto non basta
Tocca l’icona a sinistra dell’indirizzo e si apre un pannello. La prima riga spesso dice: La connessione è sicura.
Sembra una garanzia. Non lo è. La guida di Google Chrome spiega che quel simbolo dice se il browser ha stabilito una connessione sicura e privata con il sito. Cioè: i dati viaggiano protetti tra te e quel sito. Ma quale sito? Può essere anche quello falso.
È lo stesso concetto del secondo consiglio della Polizia Postale: non fidarti solo dell’aspetto della pagina. Una grafica curata, un logo conosciuto o testi che sembrano autentici non dimostrano che il sito sia quello ufficiale.
Nello stesso pannello c’è anche la voce Informazioni su questa pagina. Secondo la guida di Chrome, quando ci sono, mostra informazioni sulla fonte e da quando Google conosce quel sito. Se la «tua banca» risulta nata da pochi giorni, è un buon motivo per chiudere tutto.
La strada sicura: non il link, ma l’app
Il terzo consiglio della Polizia Postale è il più semplice, e vale più di tutti: nel dubbio, non usare il link che hai ricevuto e non scrivere niente. Raggiungi il servizio da solo:
- apri l’app ufficiale che hai già sul telefono;
- oppure scrivi tu l’indirizzo nel browser, quello che conosci.
Se il conto è davvero bloccato, lo vedi lì. Se non c’è niente, il messaggio era la trappola.
E ricorda: secondo la Banca d’Italia, la tua banca non ti chiederà mai i dati che usi per l’home banking o per i pagamenti online, né per email né per telefono. Se te li chiedono, è una truffa.
Hai un messaggio sospetto e vuoi un secondo parere? Il prompt Questo messaggio è una truffa? Il controllo con calma ti aiuta a ragionarci, senza toccare il link.
Se hai già scritto i tuoi dati
Succede, e non sei l’unico. Muoviti subito, con calma.
- Chiama la tua banca dal numero ufficiale (quello dell’app o del sito che conosci, non quello del messaggio). Se hai scritto i dati della carta, chiedi di bloccarla.
- Cambia la password dall’app o dal sito veri.
- Controlla i movimenti. Se il truffatore ti ha già tolto dei soldi, la Banca d’Italia spiega che puoi disconoscere le operazioni e chiedere il rimborso alla banca.
- Se la banca dice no, o non risponde entro 15 giorni lavorativi, puoi presentare un ricorso all’Arbitro Bancario Finanziario (ABF), e in ogni caso un esposto alla Banca d’Italia.
- Segnala il sito alla Polizia Postale su commissariatodips.it. La Banca d’Italia ricorda che la denuncia non è indispensabile per il rimborso, ma aiuta a fermare le truffe.
Una cosa da sapere: il rimborso spetta se hai agito con diligenza. Per i casi dubbi, la tua banca o un’associazione dei consumatori sanno dirti come muoverti.
Spesso il sito clone arriva da un annuncio con un volto famoso: ecco come riconoscere il finto video che ti consiglia di investire.
In breve
- Con l’AI un sito falso può essere identico a quello vero: la grafica non prova niente.
- Prima di scrivere dati, leggi l’indirizzo lettera per lettera: una parola in più o una lettera cambiata bastano.
- La connessione è sicura vuol dire «dati protetti», non «sito giusto».
- Nel dubbio: niente link, apri tu l’app o scrivi tu l’indirizzo.
- Se hai già scritto i dati: banca, password, movimenti, segnalazione.
Per approfondire, nella stessa serie: La truffa della voce clonata: tre segnali e che cosa fare. E per la famiglia: Il messaggio per proporre in famiglia una parola d’ordine contro le truffe.
Fonti
Lette il 2 ottobre 2026:
- Polizia Postale, Siti clone e intelligenza artificiale: attenzione alle truffe (25 settembre 2026)
- Banca d’Italia, L’economia per tutti, Truffe: come difendersi
- Guida di Google Chrome, Verificare se la connessione di un sito è sicura