Ottobre 2026 ha portato con sé due ondate di frodi digitali che stanno colpendo gli utenti italiani su fronti inaspettati: non più solo la casella email, ma anche il calendario del telefono e del computer. Capire come funzionano queste truffe e come proteggersi dalle truffe online è diventato oggi un’esigenza concreta, non un esercizio di prudenza astratta. I dati parlano chiaro: secondo quanto riportato da fonti di sicurezza informatica, la Polizia Postale ha gestito oltre 18.000 casi di frode online nel 2025, con perdite complessive dichiarate superiori a 600 milioni di euro. Il 2026 non sta andando meglio.
Il calendar phishing: quando la truffa entra nel tuo calendario
Il calendar phishing — chiamato anche calphishing — è una tecnica relativamente recente che sfrutta un canale a cui quasi nessuno presta attenzione in chiave di sicurezza: Google Calendar e Microsoft Outlook. Il meccanismo è semplice ma efficace. La vittima riceve un invito a un appuntamento o un promemoria di rinnovo che compare direttamente nel proprio calendario, come se fosse stato inserito da un contatto legittimo o da un servizio reale.
L’evento contiene un link che rimanda a una pagina contraffatta: una copia visivamente convincente di un portale Google, Microsoft o PayPal. Chi ci clicca viene invitato a inserire le proprie credenziali di accesso, che vengono immediatamente catturate dai truffatori. La forza di questa tecnica sta nel contesto: un evento nel calendario trasmette un senso di urgenza e legittimità che un’email di phishing classica fatica a imitare. Il cervello associa il calendario alla propria agenda personale, abbassando automaticamente la guardia.
→ Leggi anche: Calendar Phishing, la truffa che nessuno vede arrivare: come i falsi inviti svuotano il conto
A differenza delle email di spam, gli inviti di calendario non vengono filtrati dagli stessi sistemi di sicurezza. In molti casi vengono accettati automaticamente dalle impostazioni predefinite delle app, finendo direttamente nella vista giornaliera o settimanale dell’utente senza alcun avviso visibile.
Come riconoscere un invito falso
- Il mittente dell’invito è un indirizzo sconosciuto o con un dominio strano, anche se il nome visualizzato sembra ufficiale.
- L’evento contiene un link nel corpo della descrizione che punta a un URL diverso dal dominio ufficiale del servizio citato.
- Il contenuto è vago ma urgente: rinnovi imminenti, verifiche necessarie, accessi sospetti — tutti elementi progettati per spingere ad agire senza ragionare.
- Non hai mai sottoscritto alcun servizio con quella piattaforma, eppure ricevi un promemoria di scadenza.
La contromisura principale è semplice: non cliccare mai su link contenuti in inviti di calendario non richiesti. Se un servizio che usi davvero ti invia un promemoria, accedi al sito ufficiale digitando l’indirizzo direttamente nel browser, senza passare per il link dell’evento. Nelle impostazioni di Google Calendar è inoltre possibile disabilitare l’aggiunta automatica degli inviti al calendario.
La truffa PostePay: email false di Poste Italiane
Poste Italiane è il principale operatore postale italiano e offre servizi finanziari attraverso BancoPosta e PostePay, strumenti usati da milioni di persone ogni giorno. Proprio questa diffusione capillare li rende un bersaglio privilegiato per i truffatori. La frode PostePay è considerata una delle più persistenti e radicate in Italia: i danni stimati per singolo episodio vanno da 500 a 4.000 euro, con casi in cui si superano i 10.000 euro quando la truffa si ripete nel tempo.
Il meccanismo classico prevede l’invio di un’email apparentemente proveniente da Poste Italiane. Il messaggio avvisa l’utente di un problema urgente: una carta PostePay bloccata, una transazione sospetta su BancoPosta, un pacco non consegnato che richiede una verifica. Il tono è formale, il logo è quello giusto, la grafica imita fedelmente quella ufficiale. Tutto è costruito per sembrare reale.
→ Leggi anche: Truffa PostePay: la finta email di Poste Italiane che svuota il conto, ecco come proteggerti
Il link contenuto nell’email porta a una pagina clone del sito di Poste Italiane, dove viene chiesto di inserire credenziali di accesso, numero di carta, codice PIN o OTP (il codice temporaneo inviato via SMS per autorizzare le operazioni). Una volta ottenuti questi dati, i truffatori possono svuotare il conto o effettuare ricariche e acquisti a danno della vittima.
Su questo punto Poste Italiane è esplicita: l’azienda non chiede mai password, dati completi della carta o codici OTP tramite email, SMS o telefonate. Mai. Nessuna eccezione. Se un messaggio chiede queste informazioni, è una truffa, indipendentemente da quanto sembri autentico.
I segnali d’allarme da non ignorare
- L’indirizzo email del mittente non è un dominio ufficiale di Poste Italiane (ad esempio termina con varianti come poste-italiane.net o simili).
- Il messaggio contiene errori grammaticali o formule vaghe come “gentile cliente” senza il tuo nome.
- Viene richiesto di inserire dati sensibili — PIN, OTP, password completa — attraverso un link esterno.
- L’urgenza è costruita artificialmente: “agisci entro 24 ore” è una leva psicologica tipica del phishing.
Truffe online, come proteggersi: le regole fondamentali
Conoscere i meccanismi delle truffe è il primo passo, ma la protezione reale richiede abitudini concrete. Ecco i comportamenti che fanno davvero la differenza.
- Verifica sempre l’URL prima di inserire qualsiasi dato. Un sito contraffatto può avere un indirizzo quasi identico all’originale, con una lettera cambiata o un dominio diverso.
- Attiva l’autenticazione a due fattori su tutti gli account che la supportano. Anche se un truffatore ottiene la tua password, senza il secondo fattore non può accedere.
- Non condividere mai OTP o codici temporanei con nessuno, nemmeno con chi si presenta come operatore del servizio clienti.
- Aggiorna regolarmente il software del dispositivo e usa un buon antivirus: molte pagine di phishing vengono bloccate automaticamente dai browser aggiornati.
- In caso di dubbio su una comunicazione apparentemente proveniente da Poste Italiane, contatta direttamente il servizio clienti ufficiale tramite il numero presente sul retro della carta o sul sito ufficiale.
- Segnala le truffe alla Polizia Postale attraverso il portale commissariatodips.it: ogni segnalazione aiuta a bloccare i siti fraudolenti e a costruire un quadro investigativo più completo.
Le truffe online evolvono continuamente, adattandosi ai nuovi strumenti digitali che usiamo ogni giorno. Il calendar phishing dimostra che nessun canale è immune: quando i filtri antispam migliorano, i truffatori trovano un’altra porta d’ingresso. La consapevolezza resta lo strumento di difesa più efficace — non perché la tecnologia non possa aiutare, ma perché nessun sistema di sicurezza può sostituire un momento di attenzione critica prima di cliccare su un link.
Questo articolo è stato realizzato con il supporto dell'AI e sottoposto a revisione editoriale.
