Un’email può mostrare un nome familiare — una banca, un corriere, un servizio pubblico — anche quando l’indirizzo che l’ha inviata racconta un’altra storia. Per questo il primo controllo non è leggere il logo o il nome in grande, ma far comparire l’indirizzo completo del mittente. Durante la verifica non aprire link o allegati, non rispondere e non usare i recapiti indicati nel messaggio.
Nome visibile e indirizzo email non sono la stessa cosa
Nel campo del mittente si vedono spesso due elementi: un nome scelto da chi invia, per esempio “Servizio Clienti”, e un indirizzo come avvisi@esempio.it. Il nome può essere scritto liberamente e quindi, da solo, non dimostra chi abbia spedito il messaggio.
Anche un indirizzo credibile non basta per concludere che la richiesta sia sicura. Può contenere una piccola variazione difficile da notare oppure provenire da un account compromesso. Il controllo più utile combina quindi due domande: da quale indirizzo arriva davvero? e la richiesta è confermata da un canale ufficiale aperto da me?
Prima crea una zona sicura di lettura
Aprire un’email per leggerla non significa dover agire subito. Se il messaggio mette fretta, promette un rimborso o minaccia il blocco di un servizio, fermati e annota tre cose: l’organizzazione dichiarata, l’azione richiesta e la scadenza indicata. Non toccare pulsanti, allegati o numeri di telefono presenti nel testo. In questo modo puoi esaminare il mittente senza seguire il percorso preparato da chi ha scritto il messaggio.
Su iPhone: mostra l’indirizzo in Mail
Nell’app Mail apri il messaggio e tocca il nome del mittente nella parte alta. Toccalo di nuovo, se necessario, per aprire i dettagli o la scheda del contatto: qui compare l’indirizzo completo. Apple descrive anche i comandi per contrassegnare come indesiderato o bloccare un mittente. Le etichette possono cambiare leggermente in base alla versione di iOS, ma l’obiettivo resta vedere l’indirizzo, non fidarsi del solo nome.
Se l’email sostiene di provenire da un’organizzazione, non usare il collegamento contenuto nel messaggio per cercarne il sito. Apri il browser separatamente e digita l’indirizzo che già conosci, oppure usa l’app ufficiale installata in precedenza.
Su Android: apri i dettagli in Gmail
Nell’app Gmail apri l’email e cerca la piccola freccia accanto al destinatario o la voce che mostra i dettagli del messaggio. Qui puoi leggere il campo “Da”. Toccando l’immagine del profilo del mittente puoi inoltre vedere le informazioni di contatto disponibili.
Gmail permette anche di consultare i dettagli di sicurezza del messaggio. Le voci “Mailed by” e “Signed by” aiutano a capire se il messaggio è stato autenticato; un punto interrogativo o un avviso invita a maggiore cautela. L’autenticazione è un indizio tecnico utile, non una garanzia che la richiesta sia legittima: un account autentico può essere usato impropriamente.
Leggi il dominio partendo dalla chiocciola
Nell’indirizzo del mittente concentra l’attenzione sulla parte dopo @. Confrontala, carattere per carattere, con il dominio pubblicato sul sito ufficiale dell’organizzazione. Attenzione a lettere aggiunte, trattini inattesi, sostituzioni come “rn” al posto di “m” e domini che contengono il nome corretto solo come esca.
Per esempio, in assistenza@banca-verde.avvisi-esempio.net il dominio da valutare non è “banca-verde”, ma avvisi-esempio.net. Questa lettura evita di scambiare una parola rassicurante per la vera provenienza del messaggio.
Fai due verifiche separate
- Controllo dell’identità: osserva indirizzo completo, dominio e, quando disponibile, autenticazione del messaggio.
- Controllo della richiesta: entra nell’app ufficiale o digita personalmente il sito; in alternativa chiama un numero preso da una fonte indipendente, come una tessera o il sito già verificato.
Se nell’area personale non compare l’avviso promesso dall’email, non significa automaticamente che si tratti di una truffa, ma è un buon motivo per non procedere e chiedere conferma attraverso il canale ufficiale.
Un esempio inventato, passo per passo
Immagina un’email con il nome “Consegne Espresso” che chiede 1,99 euro per sbloccare un pacco. Tocchi il nome del mittente e compare pagamenti@consegne-rapide-support.com. Non apri il pulsante “Paga ora”. Chiudi il messaggio, apri da solo l’app del corriere che usi abitualmente e controlli le spedizioni. Non trovando la richiesta, segnali l’email come phishing. L’esempio è inventato, ma mostra l’ordine corretto: dettagli, confronto indipendente, decisione.
Segnala il messaggio senza interagire
In Gmail puoi aprire il menu del messaggio e scegliere “Segnala phishing” o “Segnala come spam”. In Mail su iPhone puoi spostare il messaggio nella posta indesiderata e, quando opportuno, bloccare il mittente. Evita di inoltrare l’email ad amici “per chiedere se è vera”: potresti diffondere link o allegati pericolosi.
Se hai già cliccato o inserito dati
La priorità dipende da ciò che hai comunicato. Se hai digitato una password nella pagina raggiunta dall’email, chiudi quella pagina e accedi al servizio scrivendo tu l’indirizzo o usando l’app già installata; da lì cambia la password e controlla le impostazioni di sicurezza. Se hai fornito dati di pagamento o confermato un’operazione, chiama subito la banca tramite il numero sulla carta o sul sito ufficiale. Conserva l’email come traccia, ma interrompi ogni scambio con il mittente.
Allenarsi a riconoscere le richieste sospette
La verifica del mittente diventa più semplice quando si applica sempre la stessa sequenza: fermarsi, mostrare i dettagli, confrontare il dominio e passare a un canale indipendente. Il corso Al sicuro, online di Curalune Academy propone esercizi guidati su messaggi, chiamate e decisioni digitali. Puoi iniziare dalla prima lezione gratuita, senza inserire una carta.