Esempi di email di phishing: 10 casi reali analizzati

Le email di phishing più diffuse oggi imitano servizi che usiamo ogni giorno: la casella di posta aziendale, la PEC, un pagamento da saldare, un documento condiviso, un abbonamento. In Italia, nel 2025, il CERT-AgID ha censito 1.922 campagne di phishing che hanno coinvolto 153 brand diversi, con le false multe a tema PagoPA al primo posto. A livello globale, secondo il Brand Phishing Report di Check Point del secondo trimestre 2026, Microsoft è il marchio più imitato, rappresentando il 23% dei tentativi.

Per educare su questa pratica e garantire strumenti di lettura più consapevoli, abbiamo deciso di raccogliere dieci esempi di email di phishing che descrivono campagne reali e documentate. Per ognuno abbiamo riportato chi finge di essere il mittente, che cosa chiede, dove si nasconde la trappola e il dettaglio che la tradisce. Gli oggetti dei messaggi sono indicati come tipici: le campagne li cambiano di continuo, lo schema resta. Per saperne di più però su questa pratica e verificare qualsiasi messaggio sospetto, consigliamo la lettura del nostro articolo sul Phishing.

Dieci esempi di email di phishing, uno per uno

1. La password della casella in scadenza

• Chi finge di essere: Microsoft 365, Outlook o l’amministratore della webmail aziendale.
• Oggetto tipico: “La tua password scade oggi”, “Casella quasi piena: messaggi in arrivo sospesi”.
• Cosa chiede: cliccare per “mantenere la password attuale” o liberare spazio.
• La trappola: una pagina di accesso identica a quella di Microsoft, che registra email e password. Le versioni più evolute intercettano anche il codice di verifica e rubano la sessione già aperta.
• Il dettaglio che la tradisce: l’indirizzo della pagina non è un dominio Microsoft, e nessun servizio reale chiede di confermare una password per non farla scadere.

È uno degli esempi più frequenti nelle aziende, perché con la casella di posta si ottiene l’accesso a quasi tutto il resto.

2. La falsa fattura via PEC

• Chi finge di essere: l’Agenzia delle Entrate o un fornitore, scrivendo da una casella di posta elettronica certificata.
• Oggetto tipico: “Fattura elettronica in attesa”, “Documento fiscale da scaricare”.
• Cosa chiede: aprire l’allegato o scaricare il documento da un computer, “perché la versione per smartphone è in sviluppo”.
• La trappola: nella campagna segnalata dall’Agenzia delle Entrate a giugno 2026, l’allegato è un archivio compresso con un file HTML che, aperto su Windows, avvia uno script capace di compromettere il computer e rubare credenziali.
• Il dettaglio che la tradisce: un documento fiscale autentico non arriva mai come archivio con una pagina web dentro, e la richiesta di usare “solo il PC” serve ad aggirare i sistemi più protetti.

La PEC non è una garanzia: certifica l’invio, non l’onestà del mittente. Secondo il CERT-AgID le campagne di phishing via PEC sono state 77 nel 2025, circa l’80% in più rispetto all’anno precedente.

3. La multa da pagare su PagoPA

• Chi finge di essere: PagoPA, un comando di polizia locale o un ente di riscossione.
• Oggetto tipico: “Avviso di pagamento per violazione del Codice della strada”.
• Cosa chiede: pagare subito una sanzione di importo modesto per evitare maggiorazioni.
• La trappola: un falso portale di pagamento che raccoglie dati personali e della carta.
• Il dettaglio che la tradisce: le multe vengono notificate per raccomandata, PEC dell’ente o app IO, non con un link generico; e l’importo basso è scelto apposta per non far riflettere.

Nel 2025 il CERT-AgID ha contato 328 campagne a tema PagoPA basate su false sanzioni stradali: è stato il tema più sfruttato dell’anno in Italia.

4. Il documento condiviso

• Chi finge di essere: Google Docs, SharePoint, OneDrive o un servizio di firma elettronica come DocuSign, spesso a nome di un collega o di un cliente reale.
• Oggetto tipico: “Ti è stato condiviso un documento”, “Contratto in attesa di firma”.
• Cosa chiede: aprire il documento.
• La trappola: la pagina chiede di accedere con l’account aziendale prima di mostrare il file, oppure di autorizzare un’applicazione che ottiene l’accesso alla casella. Nel 2017 una campagna a nome di Google Docs si diffuse proprio così, chiedendo di autorizzare una falsa app.
• Il dettaglio che la tradisce: un documento che non aspettavi, una richiesta di login dove di solito sei già connesso, un’app che chiede di leggere e inviare email.

5. La richiesta urgente del capo o del fornitore

• Chi finge di essere: l’amministratore delegato, il direttore finanziario o un fornitore abituale.
• Oggetto tipico: “Urgente e riservato”, “Aggiornamento coordinate bancarie”.
• Cosa chiede: disporre un bonifico entro oggi o registrare un nuovo IBAN per i prossimi pagamenti.
• La trappola: non c’è nessun link né allegato, quindi i filtri spesso non la fermano. L’inganno è tutto nel testo.
• Il dettaglio che la tradisce: un dominio quasi identico a quello vero, l’invito a non coinvolgere altri colleghi, una scadenza che impedisce di verificare.

È lo schema tipico dello spear phishing e delle frodi BEC, le più costose per le aziende.

6. L’abbonamento rinnovato “da annullare al telefono”

• Chi finge di essere: un antivirus, un servizio di streaming, un marketplace o un fornitore di software.
• Oggetto tipico: “Conferma di rinnovo del tuo abbonamento”, “Ordine n. … addebitato”.
• Cosa chiede: chiamare un numero di assistenza se non si riconosce l’addebito, spesso di qualche centinaio di euro.
• La trappola: l’email non contiene link né allegati, solo un numero di telefono. Al telefono un finto operatore guida la vittima a installare un programma di controllo remoto o a fornire i dati della carta “per il rimborso”. È la tecnica nota come TOAD, attacco veicolato dal telefono.
• Il dettaglio che la tradisce: un abbonamento che non hai mai sottoscritto e un numero che non compare sul sito ufficiale del servizio.

7. Il QR code da scansionare

• Chi finge di essere: l’IT aziendale o Microsoft.
• Oggetto tipico: “Aggiorna l’autenticazione a due fattori entro 24 ore”.
• Cosa chiede: inquadrare un QR code con lo smartphone per “riconfigurare” la sicurezza dell’account.
• La trappola: il QR code porta a una pagina di login falsa. Spostando l’azione dal computer al telefono, il truffatore aggira i filtri della posta aziendale e il controllo del link, che sullo smartphone è più difficile.
• Il dettaglio che la tradisce: nessun reparto IT chiede di gestire la sicurezza dell’account inquadrando un codice ricevuto per email.

8. Il pagamento non riuscito dell’abbonamento

• Chi finge di essere: un servizio digitale in abbonamento, dalle piattaforme di streaming agli strumenti di intelligenza artificiale. Nel secondo trimestre 2026 ChatGPT è entrato per la prima volta nella top 10 dei brand più imitati secondo Check Point.
• Oggetto tipico: “Problema con il pagamento: il tuo account sarà sospeso”.
• Cosa chiede: aggiornare il metodo di pagamento.
• La trappola: una pagina che imita quella di fatturazione e raccoglie i dati della carta.
• Il dettaglio che la tradisce: l’avviso non compare quando accedi al servizio dall’app o dal sito digitato a mano.

9. La risposta dentro una conversazione vera

• Chi finge di essere: un collega, un cliente o un fornitore con cui stai davvero scrivendo.
• Oggetto tipico: lo stesso di una conversazione già in corso, preceduto da “R:”.
• Cosa chiede: aprire “la versione aggiornata” di un documento o di una fattura.
• La trappola: il truffatore ha accesso a una casella compromessa, oppure ricopia un’email autentica e la rinvia sostituendo l’allegato. È il cosiddetto clone phishing, e funziona perché arriva nel contesto giusto.
• Il dettaglio che la tradisce: un tono leggermente diverso dal solito, un allegato in un formato insolito, una richiesta che nessuno nel thread aveva annunciato.

10. Il finto controllo “Non sono un robot”

• Chi finge di essere: qualunque servizio, purché l’email porti a una pagina con un finto CAPTCHA.
• Oggetto tipico: una notifica di consegna, un documento da visualizzare, un avviso di sicurezza.
• Cosa chiede: sulla pagina, “verificare di essere umani” premendo una combinazione di tasti e incollando un testo nella finestra di esecuzione del computer.
• La trappola: il testo copiato è un comando che installa un malware. È la tecnica ClickFix, in forte crescita nel 2025 secondo il CERT-AgID, ed è la vittima stessa a lanciarla.
• Il dettaglio che la tradisce: nessun controllo anti-robot legittimo chiede di aprire finestre di sistema o incollare comandi.

Cosa hanno in comune tutte le email di phishing

Messi uno accanto all’altro, i dieci casi mostrano che riconoscere un’email di phishing non significa cercare errori di battitura. Gli elementi che ritornano sono altri:

1. Un servizio che usi davvero. Le email di phishing efficaci non imitano marchi a caso, ma quelli presenti nella tua giornata: la posta aziendale, la PEC, i pagamenti, i documenti condivisi.
2. Un evento che richiede una reazione. Una scadenza, un addebito, una sospensione, un documento in attesa: c’è sempre qualcosa che “succede” se non agisci.
3. Un’azione spostata fuori dal canale normale. Cliccare un link invece di aprire l’app, chiamare un numero indicato nel messaggio, inquadrare un QR code, incollare un comando, usare il computer invece del telefono.
4. Un passaggio che aggira i controlli. Nessun link, quando i filtri controllano i link; un archivio compresso, quando bloccano gli allegati; il telefono, quando proteggono la posta.
5. Una sola richiesta davvero pericolosa. Inserire credenziali, pagare, autorizzare un’app, cambiare un IBAN. Tutto il resto dell’email serve solo a rendere credibile quel momento.

Gli errori di grammatica e i loghi sgranati, che molte guide indicano ancora come il segnale principale, compaiono sempre meno: con l’intelligenza artificiale i messaggi sono scritti in un italiano corretto e impaginati con cura. Il controllo che non perde mai valore resta lo stesso: verificare il mittente reale e la destinazione dei link, e non usare mai i contatti presenti nel messaggio.

Come usare questi esempi per formare il team

Per un’azienda, una raccolta di esempi di email di phishing vale soprattutto come materiale di formazione. Funziona meglio se segue tre criteri:

• Esempi vicini alla realtà dell’azienda. Chi lavora in amministrazione deve vedere false fatture e richieste di cambio IBAN; chi gestisce i sistemi, falsi avvisi Microsoft e documenti condivisi; tutti, i casi PEC e PagoPA.
• Esempi aggiornati. Le campagne cambiano ogni mese: conviene raccogliere i messaggi sospetti ricevuti davvero e segnalati dai colleghi, togliendo i dati personali, e usarli al posto di esempi generici.

Esempi collegati a una prova pratica. Mostrare un caso e poi misurare la reazione con una simulazione rende la formazione concreta. Strumenti e metriche sono descritti nella guida ai test e ai metodi anti-phishing.