INDICE dei PHISHING

Di seguito riportiamo i tentativi di phishing a mezzo email più comuni, rilevati dal Centro Ricerche Anti-Malware di TG Soft nel mese di ottobre 2025:

16/10/2025 => PayPal
15/10/2025 => Webmail
10/10/2025 => Account Posta Elettronica
08/10/2025 => Scam Polizia Giudiziaria
07/10/2025 => Sondaggio - Esselunga / Telepass
07/10/2025 => Netflix
06/10/2025 => SexTortion
06/10/2025 => WeTransfer
05/10/2025 => SumUp
03/10/2025 => Aruba - Dominio scaduto
01/10/2025 => Google Cloud

Queste email hanno lo scopo di ingannare qualche malcapitato inducendolo a fornire dati sensibili, come le informazioni del conto corrente, i codici della carta di credito o credenziali di accesso personali, con tutte le possibili conseguenze facilmente immaginabili.

• Un po' di attenzione e colpo d'occhio, possono far risparmiare parecchi fastidi e grattacapi...

• Prova Vir.IT eXplorer Lite

• Ora disponibile VirIT Mobile Security
  

• Ringraziamenti

• Come inviare e-mail sospette per l'analisi

16 Ottobre 2025 ==> Phishing PayPal

OGGETTO: <Identificazione richiesta entro il 16 Ottobre.>

Analizziamo di seguito un nuovo tentativo di phishing che ha l'obiettivo di rubare le credenziali di accesso all'account di PayPal, la nota società statunitense di pagamenti digitali.

Il messaggio informa il destinatario che è necessario identificarsi online mediante l'accesso all'account Paypal per evitare il blocco dei servizi di online banking. Viene fornito un codice da inserire per l'identificazione che ha una validità di 24 ore, dopo le quali l'account verrà bloccato. Per procedere all'identificazione l'utente viene invitato a cliccare sul seguente link:

https://www[dot]paypal[dot]com/id[=]672300648776

Analizzando la mail notiamo che il messaggio proviene da un indirizzo email che non è chiaramente riconducibile al dominio ufficiale di PayPal <postmaster[at]06fd44e6c9[dot]nxcli[dot]io>. Questo è decisamente anomalo e dovrebbe quantomai insospettirci.
Chi dovesse malauguratamente cliccare sul link si ritroverà di fronte alla videata riportata nell'immagine a lato.
Come possiamo vedere si viene dirottati su un sito che simula graficamente la pagina di accesso di PayPal. Quest'ultima è ospitata però su un indirizzo/dominio anomalo.

Alla luce di queste considerazioni segnaliamo di NON inserire mai le proprie credenziali su siti di cui non si conosce la provenienza, in quanto verranno inviati su un server remoto e utilizzati da cyber-truffatori con tutti i rischi annessi e connessi facilmente immaginabili.

15 Ottobre 2025 ==> Phishing Webmail

OGGETTO: <Y­ou­r P­as­sw­o­rd i­s A­b­out t­o E­x­p­ir­e>

Analizziamo di seguito un altro tentativo di phishing che ha l'obiettivo di rubare le credenziali dell'account della Webmail del malcapitato.

Il messaggio, in lingua inglese, informa il destinatario che la password del suo account di posta sta per scadere. Lo invita quindi ad aggiornare la sua password prima della scadenza, per evitare interruzioni del servizio, attraverso il seguente link:

Keep My Password o Modify My Password

Analizzando la mail notiamo che il messaggio sembra provenire proprio dalla casella di posta elettronica del destinatario, questo trucco viene utilizzato dai cyber criminali per indurre l'utente a inserire le sue vere credenziali che verrebbero poi utilizzate per scopi criminali. Questo è decisamente anomalo e dovrebbe quantomai insospettirci.

Chi dovesse malauguratamente cliccare sul link verrà dirottato su una pagina WEB anomala, che dovrebbe simulare la pagina di accesso alla Webmail.

In questa pagina l'utente viene invitato ad accedere al suo account inserendo in particolare la password della sua casella elettronica da cui poi dovrebbe procedere alla conferma o modifica della sua attuale password, che dovrebbe scadere...

La realtà dei fatti è che la pagina su cui si viene dirottati per l'inserimento delle proprie credenziali dell'account di posta elettronica  è ospitata su un indirizzo/dominio anomalo, che riportiamo di seguito:

 https[:]//[NomeDominioFake*].com/.....

Vi invitiamo sempre a far attenzione ad ogni dettaglio, anche banale e a non inserire i vostri dati personali e/o password su form ospitati su pagine web contraffatte, in quanto verranno inviati su un server remoto e utilizzati da cyber-truffatori con tutti i rischi annessi e connessi facilmente immaginabili.

10 Ottobre 2025 ==> Phishing Account di Posta elettronica

OGGETTO: <Azione richiesta: ***** La password è impostata per scadere oggi.>

Analizziamo di seguito il tentativo di phishing che ha l'obiettivo di rubare le credenziali dell'account di Posta Elettronica del malcapitato.

Il messaggio informa il destinatario che la password del suo account di posta scade oggi, lo invita quindi ad aggiornare la sua password prima della scadenza, per evitare interruzioni del servizio, attraverso il seguente link:

Mantieni la password attuale

Analizzando la mail notiamo che il messaggio proviene da un indirizzo email che non sembra riconducibile al server di posta elettronica <marie(dot)trnkova(at)techlib(dot)cz>. Questo è decisamente anomalo e dovrebbe quantomai insospettirci.

Chi dovesse malauguratamente cliccare sul link verrà dirottato su una pagina WEB anomala, che dovrebbe simulare la pagina di accesso all'account di Posta Elettronica.

In questa pagina l'utente viene invitato ad accedere al suo account inserendo in particolare la password della sua casella elettronica da cui poi dovrebbe procedere alla conferma o modifica della sua attuale password, che dovrebbe scadere...

La realtà dei fatti è che la pagina su cui si viene dirottati per l'inserimento delle proprie credenziali dell'account di posta elettronica  è ospitata su un indirizzo/dominio anomalo, che riportiamo di seguito:

 https[:]//[NomeDominioFake*].com/.....

Vi invitiamo sempre a far attenzione ad ogni dettaglio, anche banale e a non inserire i vostri dati personali e/o password su form ospitati su pagine web contraffatte, in quanto verranno inviati su un server remoto e utilizzati da cyber-truffatori con tutti i rischi annessi e connessi facilmente immaginabili.

08 Ottobre 2025 ==> SCAM Polizia Giudiziaria

«OGGETTO: <LETTERA DI CONVOCAZIONE DELLA POLIZIA>

Di seguito un tentativo di SCAM, si tratta di una falsa citazione per pedopornografia che arriva via mail e sembrerebbe provenire dalla Direzione Centrale della Polizia Criminale.

II messaggio che arriva attraverso una mail quantomai sospetta <boboy08993672[at]gmail[dot]com>, riporta il seguente messaggio "ATTENZIONE: IL FILE ALLEGATO È UN RAPPORTO DI POLIZIA. SI PREGA DI LEGGERE IL FILE ALLEGATO E DI RISPONDERE IMMEDIATAMENTE."
Aprendo l'allegato in .pdf denominato <Polizia di Stato>, che vediamo di seguito, notiamo che è impostato in modo graficamente ingannevole, e sembrerebbe  provenire da Mauro Falesiedi della Direzione Centrale della Polizia Criminale. La denuncia oggetto del messaggio sembra far riferimento ad un caso di pornografia infantile, pedofilia, esibizionismo e pornografia informatica e che sembrerebbe interessare il malcapitato poichè, da come riportato nella FALSA denuncia, avrebbe visitato un sito di pornografia infantile.

Si tratta di un tentativo di truffa da parte di cybercriminali, il cui obbiettivo è quello di estorcere una somma di denaro, in questo caso sotto forma di sanzione pecuniaria. Infatti nel messaggio viene riportato quanto segue:

" [...[ con la presente chiediamo di rispondere a questi (tre) capi di imputazione entro un rigoroso limite di tempo di 48 ore."

Se il malcapitato non dovesse dare riscontro entro 48 ore, si procederà ad un mandato di arresto pena la reclusione da sei a dodici anni e una multa da 78.000 a 250.000 euro.
Capire che si tratta di una falsa denuncia è abbastanza semplice, infatti notiamo che innanzittutto la denuncia non è personale.

Chiaramente si tratta di un tentativo di truffa allo scopo di rubare dati sensibili dell'utente e di estorcere somme di denaro...

4-7 Ottobre 2025 ==> Phishing sondaggio clienti: ESSELUNGA / TELEPASS

Ritroviamo anche questo mese le campagne di phishing a tema sondaggio clienti che sfruttano il marchio di note aziende, nei due casi di seguito riportati, sono aziende specializzate nella grande distribuzione e nei trasporti.
Chiaramente i marchi sfruttati in queste campagne sono estranee all'invio massivo di queste e-mail malevole che sono delle vere e proprie truffe il cui obiettivo resta, come sempre, quello di rubare dati sensibili dell'ignaro ricevente.
Nei due esempi riportati notiamo che le mail provengono chiaramente da indirizzi estranei al dominio ufficiale di TELEPASS <it004passa[at]leggiparrucchieri[dot]it>,  o di ESSELUNGA <solina[at]villaronche[dot]it>. Questo è decisamente anomalo e dovrebbe senz'altro insospettirci.

Cliccando sui link presenti nella mail, si viene dirottati su una pagina di ''atterraggio'' che, può sembrare graficamente ingannevole (con immagini fuorvianti e il logo autentico del marchio), ma prestando più attenzione in queste campagne la pagina di atterraggio è sempre ospitata su un indirizzo/dominio anomalo che non sembra per nulla attendibile o riconducibile al marchio sfruttato.

I Cyber-criminali ideatori della truffa, per raggiungere il loro scopo, attraverso vari stratagemmi, come ad esempio riportare le false testimonianze di clienti che hanno vinto il premio in questione, cercano di indurre l'utente a concludere velocemente il sondaggio facendogli credere che vi sono solo pochi fortunati e che l'offerta scade in giornata.
Di certo se così tanti utenti sono stati fortunati perchè non tentare la fortuna?!

Al termine del sondaggio si viene solitamente reindirizzati su una pagina per l'inserimento dell’indirizzo di spedizione e il contestuale pagamento delle spese di spedizione.

In conclusione vi invitiamo sempre a diffidare da messaggi pubblicitari/promozionali che milantano di "regalare" oggetti di valore, evitando di cliccare su link sospetti, i cui collegamenti potrebbero condurre ad un sito contraffatto, mettendo i vostri dati più preziosi nelle mani di cyber-truffatori per usi di loro maggiore interesse e profitto.

07 Ottobre 2025 ==> Phishing NETFLIX

«OGGETTO: <­I­­l­­ ­­t­­u­­o­­ p­­a­­g­­a­­m­­e­­n­­t­­o­­ n­­o­­n­­ è ­­a­­n­­d­­a­­t­­o­­ a ­­b­­u­­o­­n­­ f­­i­­n­­e — a­­g­­g­­i­­o­­r­­n­­a i­­ t­­u­­o­­i d­­a­­t­­i>

Analizziamo un altro tentativo di phishing che sembra provenire da una falsa comunicazione di NETFLIX, la nota piattaforma di distribuzione streaming di film, serie tv e altri contenuti a pagamento, e che ha l'obiettivo di rubare i dati della carta di credito del malcapitato.

Il messaggio, che sembra provenire da NETFLIX, informa l'utente che è stato riscontrato un problema nell'elaborazione del pagamento di €6,99 relativo al suo abbonamento. Per continuare a usufruire del servizio senza interruzioni, viene richiesto di entrare nellì'account ed aggiornare i dati di pagamento entro 48 ore, attraverso il seguente link:

Aggiorna il pagamento

Analizzando la mail notiamo che il messaggio proviene da un indirizzo email che non sembra riconducibile al dominio ufficiale di NETFLIX <alp(at)fidelfatti-impianti(dot)it>. Questo è decisamente anomalo e dovrebbe quantomai insospettirci.

Chi dovesse malauguratamente cliccare sul link Aggiorna il pagamento verrà dirottato su una pagina WEB che non ha nulla a che vedere con NETFLIX... ma che ha l'obiettivo di entrare in possesso dei vostri dati più preziosi per poterli utilizzare a scopi criminali.

06 Ottobre 2025 ==> SexTortion

Ritorna la campagna SCAM a tema SexTortion. L'e-mail sembrerebbe far desumere che il truffatore abbia avuto accesso al dispositivo della vittima, che ha utilizzato per raccogliere dati e i video personali, per poi ricattare l'utente richiedendo il pagamento di una somma di denaro, sottoforma di Bitcoin, per non divulgare tra i suoi contatti mail e social un suo video privato mentre guarda siti per adulti.

Di seguito Vi riportiamo un estratto del testo della mail di lato:

"Buongiorno. Sono un programmatore esperto che ha hackerato il sistema operativo del vostro dispositivo. Vi ho osservato da alcuni mesi ormai. Il mio virus ha infettato il vostro dispositivo tramite un sito web per adulti che avete visitato di recente. Se non sapete come lo funziona, legga le informazioni qui di seguito. Il virus Trojan mi dà il pieno accesso ed un controllo del dispositivo che state utilizzando. Di conseguenza, posso vedere l’intero schermo,cosi come accendere la camera e il microfono in modo che voi non lo saprete mai. Inoltre, ho anche un pieno accesso al vostro intero elenco di contatti nei reti soziali e al vostro catalogo. Allora, perché il vostro antivirus non poteva rilevare il malware dannoso? • Il malware utilizza un driver speciale , aggiornato ogni 4 ore, pertanto il vostro antivirus non può rilevarlo. Ho montato un video che vi mostra mentre vi masturbi sul lato sinistro dello schermo, e in lato destro e visualizzato il video che stavi guardando in quel momento. Posso inviare direttamente con un solo clic del mouse il vostro video privato in elenco dei contatti della vostra E-mail e nei vostri rete sociale. Inoltre, posso anche condividere i dettagli di accesso alla vostra posta elettronica e ai vostri messaggeri."

A questo punto il patto, per non divulgare il video, è di inviare 1.200 USD in Bitcoin sul portafoglio di seguito indicato: "bc1XXXXXXXXXXXXXxXXXXXXXXmkz'. Dopo aver ricevuto la transazione tutti i dati verranno cancellati, altrimenti in caso contrario un video che ritrae l'utente, verrà mandato a tutti i colleghi, amici e parenti, il malcapitato ha 50 ore di tempo per effettuare il pagamento!

Analizzando i pagamenti effettuati sul wallet riportato alla data del 08/10/2025, non risultano transazioni.

In questi casi vi invitiamo sempre a:

1. non rispondere a questo genere di e-mail e a non aprire allegati o a cliccare righe contenenti link non sicuri, e certamente a NON inviare alcuna somma di denaro, si possono tranquillamente ignorare o eliminare.
2. Nel caso in cui il criminale dovesse riportare una password effettiva utilizzata dall'utente -la tecnica è quella di sfruttare le password provenienti da Leak (furto di dati compromessi) pubblici di siti ufficiali avvenuti in passato (es. LinkedIn, Yahoo ecc.)- è consigliabile cambiarla e attivare l'autenticazione a due fattori su quel servizio.

06 Ottobre 2025 ==> Phishing WeTransfer

OGGETTO: < I tuoi file non sono ancora stati scaricati...>

Analizziamo di seguito il tentativo di phishing che ha l'obiettivo di rubare le credenziali dell'account di WeTransfer. Il messaggio informa il destinatario che ci sono dei file che non sono ancora stati scaricati e che ha tempo fino al 7 ottobre per procedere al download, dopo tale data solo gli utenti Ultimate potranno accedere ai documenti, entro un certo numero di giorni. Lo invita quindi ad effettuare l'upgrade dell'account per posticipare la data di scadenza dei file in sospeso, attraverso il seguente link:

Upgrade now

Analizzando la mail notiamo che il messaggio proviene da un indirizzo email che non è riconducibile al dominio di WeTransfer <merry(at)merryriana(dot)com>. Questo è decisamente anomalo e dovrebbe quantomai insospettirci.

Chi dovesse malauguratamente cliccare sul link Upgrade now verrà dirottato su una pagina WEB anomala... che è già stata segnalata come pagina /SITO INGANNEVOLE.... in quanto gestito da cyber-criminali il cui obiettivo è quello di entrare in possesso dei vostri dati più preziosi per poterli utilizzare a scopi criminali.

05 Ottobre 2025 ==> Phishing SumUp

OGGETTO: <Convalida la tua e-mail per non perdere nessuna comunicazione da SumUp>

Analizziamo di seguito un nuovo tentativo di phishing che si spaccia per una comunicazione ufficiale da parte di SumUp, nota società londinese per i pagamenti digitali.

Il messaggio richiede al destinatario di verificare subito l’indirizzo e-mail, in questo modo sarà garantita la sicurezza e il corretto funzionamento dell’account SumUp.
Per procedere alla conferma è sufficiente cliccare sul seguente Link:

Verifica Subito

Chiaramente la nota società londinese, è estranea all'invio massivo di queste e-mail che sono delle vere e proprie truffe il cui obiettivo resta, come sempre, quello di rubare i dati sensibili dell'ignaro ricevente.

Analizzando attentamente il messaggio ci sono alcuni indizi che dovrebbero insospettire. Notiamo subito come l’indirizzo e-mail da cui proviene il messaggio non sia riconducibile al dominio ufficiale di SumUp <danysamyue[at]myt[dot]mu>. Questo fatto è decisamente anomalo e dovrebbe quantomai insospettirci. Un altro fatto strano è che l’e-mail non fornisca alcun dato identificativo del cliente e richieda di inserire le credenziali dell'account tramite un link comunicato via mail. 

Chi dovesse malauguratamente cliccare sul link Verifica Subito verrà dirottato su una pagina WEB anomala, che è già stata segnalata come pagina /SITO INGANNEVOLE... in quanto gestito da cyber-criminali il cui obiettivo è quello di entrare in possesso dei vostri dati più preziosi per poterli utilizzare a scopi criminali.

Vi invitiamo, quindi, a far sempre la massima attenzione anche ai più piccoli dettagli e a non inserire i vostri dati personali e/o password su form ospitati su pagine web contraffatte, in quanto verranno utilizzati da cyber-truffatori per scopi illeciti.

03 Ottobre 2025 ==> Phishing Aruba - Dominio scaduto

OGGETTO: <Dominio scaduto: rischio sospensione imminente­­>

Continuano anche questo mese i tentativi di phishing che si spacciano per comunicazioni da parte del brand Aruba.

II messaggio informa il ricevente che il suo dominio ospitato su Aruba è scaduto. Lo informa quindi che per evitare interruzioni del servizio, può procedere sin da subito al rinnovo del dominio attraverso il seguente link:

Rinnova il tuo dominio

Prestiamo sempre attenzione a richieste di inserimento delle credenziali personali, tramite link sospetti comunicati via mail.
Chiaramente la nota azienda di servizi di web hosting, e-mail e registrazione domini, Aruba è estranea all'invio massivo di queste mail che sono delle vere e proprie truffe il cui obiettivo resta, come sempre, quello di rubare dati sensibili dell'ignaro ricevente.

Notiamo subito come l’indirizzo email da cui proviene non è riconducibile al dominio ufficiale di Aruba <postmaster[at]vmt[dot]alicornaqua[dot]com>. Questo fatto è decisamente anomalo e dovrebbe quantomai insospettirci.
Per indurre il malcapitato a procedere tempestivamente il cyber-criminale concede poco tempo per agire. Tale tecnica ha, sicuramente, lo scopo di intimidire l'utente, il quale per il timore di trovarsi impossibilitato ad entrare nel suo account ed utilizzare i servizi ad esso collegati è spinto ad agire senza prestare la dovuta attenzione.  

Chi dovesse malauguratamente cliccare sul link verrà dirottato su una pagina WEB anomala, che è già stata segnalata come pagina /SITO INGANNEVOLE.... in quanto gestito da cyber-criminali il cui obiettivo è quello di entrare in possesso dei vostri dati più preziosi per poterli utilizzare a scopi criminali..

01 Ottobre 2025 ==> Google Cloud

OGGETTO: <"La vostra offerta di 50 GB di cloud è in attesa" >

Di seguito analizziamo il tentativo di truffa che si cela dietro ad una falsa comunicazione che sfrutta Google Cloud, servizio che permette di conservare foto, video e documenti. Si tratta, nello specifico, di un messaggio che avverte gli utenti che il loro documenti saranno presto eliminati.

Come vediamo nell'immagine di lato, il messaggio avverte l'utente che il suo spazio di archiviazione su Google Cloud è pieno, e che se non interverrà al più presto, le sue foto, i video, i contatti, i file e dati  andranno persi. L'utente viene quindi invitato a comprare dello spazio aggiuntivo al fine di scongiurare la perdita di tutti i dati.

Chiaramente Google Cloud è estranea all'invio di queste campagne malevole che sono delle vere e proprie truffe il cui obiettivo resta, come sempre, quello di rubare dati sensibili dell'ignaro ricevente.
Si tratta, infatti, di un tentativo di phishing volto a carpire i dati personali degli ignari utenti.
Quindi occhi aperti... per evitare spiacevoli inconvenienti basta un po' di attenzione e colpo d'occhio.

Già analizzando l'e-mail notiamo che il mittente del messaggio è <service[at]sk[dot]tapajosdepremios[dot]com[dot]br> chiaramente non è riconducibile al dominio ufficiale di Google Cloud, fatto questo, decisamente anomalo che dovrebbe quantomai insospettirci.

Tuttavia, se dovessimo cliccare su AGGIORNA SPAZIO verremo dirottati su una pagina di ''atterraggio'' che, sebbene graficamente ben fatta, non sembra per nulla attendibile. Notiamo infatti che è ospitata su un indirizzo/dominio anomalo che non ha nulla a che fare col dominio ufficiale di Google Cloud.


Una volta risposto a tutte le domande, finalmente sarà possibile richiedere lo spazio di archiviazione in più che ci permetterà di salvare tutti i dati finora archiviati.


Ci siamo: cliccando su Continua, si verrà rimandati all'ultima schermata dove viene richiesto di inserire i nostri dati personali e di procedere al pagamento di 1,95$ dollari per ottenere i 50 Gb di spazio di archiviazione aggiuntivi.

Lo scopo dei cyber criminali infatti è proprio quello di indurre l'utente  ad inserire i suoi dati sensibili!

La pagina su cui si viene rimandati, per l'inserimento dei propri dati personali, è ospitata sul seguente indirizzo/dominio anomalo, che riportiamo di seguito:

https[:]//gryoulucky[.]com/it/....

In conclusione vi invitiamo sempre a prestare attenzione, evitando di cliccare su link sospetti, i cui collegamenti potrebbero condurre ad un sito contraffatto, mettendo i vostri dati più preziosi nelle mani di cyber-truffatori per usi di loro maggiore interesse e profitto.