INDICE dei PHISHING

Di seguito riportiamo i tentativi di phishing a mezzo email più comuni, rilevati dal Centro Ricerche Anti-Malware di TG Soft nel mese di gennaio 2026:

30/01/2026 => Account Posta Elettronica
26/01/2026 => Aruba - Sospensione del servizio
22/01/2026 => Account Posta Elettronica
20/01/2026 => TISCALI
20/01/2026 => SumUp
19/01/2026 => Aruba - Rinnova il dominio
14/01/2025 => CUP - Smishing
08/01/2026 => Webmail
07/01/2026 => Aruba - Saldo Fatture
06/01/2026 => Aruba - Sospensione del servizio
02/01/2026 => Nexi
01/01/2026 => Netflix

Queste email hanno lo scopo di ingannare qualche malcapitato inducendolo a fornire dati sensibili, come le informazioni del conto corrente, i codici della carta di credito o credenziali di accesso personali, con tutte le possibili conseguenze facilmente immaginabili.

• Un po' di attenzione e colpo d'occhio, possono far risparmiare parecchi fastidi e grattacapi...

• Prova Vir.IT eXplorer Lite
  

• Ringraziamenti

• Come inviare e-mail sospette per l'analisi

30 Gennaio 2026 ==> Phishing Account di Posta elettronica

OGGETTO: <La tua password “******” scadrà oggi.>

Analizziamo di seguito il tentativo di phishing che ha l'obiettivo di rubare le credenziali dell'account di Posta Elettronica del malcapitato.

Il messaggio informa il destinatario che la password del suo account di posta elettronica scadrà entro 24 ore, lo invita quindi a confermare la password per continuare ad utilizzarla, attraverso il seguente link:

conferma password

Analizzando la mail notiamo che il messaggio proviene da un indirizzo email che sembrerebbe provenire dal dominio di posta elettronica del destinatario <segreteria(at)nift(dot)com>. Questo è decisamente anomalo e dovrebbe quantomai insospettirci.

Chi dovesse malauguratamente cliccare sul link conferma password verrà dirottato su una pagina WEB anomala, che dovrebbe simulare la pagina di accesso all'account di Posta Elettronica che sembra ospitato su Aruba.

In questa pagina l'utente viene invitato ad accedere al suo accoundi Aruba, da cui poi dovrebbe procedere ad aggiornare la su apassword...

La realtà dei fatti è che la pagina su cui si viene dirottati per l'inserimento delle proprie credenziali dell'account di Aruba  è ospitata su un indirizzo/dominio anomalo, che riportiamo di seguito:

 https[:]//[NomeDominioFake*]

Vi invitiamo sempre a far attenzione ad ogni dettaglio, anche banale e a non inserire i vostri dati personali e/o password su form ospitati su pagine web contraffatte, in quanto verranno inviati su un server remoto e utilizzati da cyber-truffatori con tutti i rischi annessi e connessi facilmente immaginabili.

26 Gennaio 2026 ==> Phishing Aruba - Sospensione del servizio

OGGETTO: <Ultimo promemoria di sistema - intervento richiesto entro il 27/01/2026>

Ritroviamo anche questo mese i tentativi di phishing che si spacciano per comunicazioni da parte del brand Aruba. Questa volta iI messaggio informa il ricevente che il suo dominio ospitato su Aruba è "prossimo alla sospensione programmata per il 27/01/2026."
Per evitare la sospensione dei servizi, sono sufficienti pochi minuti, inoltre effettuandola subito l'utente potrà approfittare di un'offerta esclusiva riservata.
Invita quindi l'utente a procedere attraverso il seguente link:

Mantieni attivo il servizio

Chiaramente la nota azienda di servizi di web hosting, e-mail e registrazione domini, Aruba è estranea all'invio massivo di queste mail che sono delle vere e proprie truffe il cui obiettivo resta, come sempre, quello di rubare dati sensibili dell'ignaro ricevente.

Analizzando attentamente il messaggio ci sono alcuni indizi che dovrebbero insospettire. Notiamo subito che l’indirizzo e-mail da cui proviene il messaggio non è riconducibile al dominio ufficiale di Aruba <info+tNB13s[at]tectonicinternational[dot]com>, fatto questo decisamente anomalo, che dovrebbe insospettirci... 

Chi dovesse malauguratamente cliccare sul link Mantieni attivo il servizio verrà dirottato su una pagina WEB che, sebbene simuli graficamente la pagina di accesso all’account di Aruba, in quanto il cybercriminale ha avuto l’accortezza grafica di inserire il logo della nota azienda, notiamo che l’indirizzo/dominio è anomalo:

 https[:]//[NomeDominioFake*]

In questa pagina l'utente viene invitato ad accedere alla sua area cliente inserendo login e password della sua e-mail da cui potrà poi procedere al pagamento della fattura scaduta indicata, prima che i servizi vengano bloccati.

Vi invitiamo sempre a far attenzione ad ogni dettaglio, anche banale, e a non inserire i vostri dati personali e/o password su form ospitati su pagine web contraffatte, in quanto questi saranno recapitati ai cyber-criminali ideatori della truffa che li utilizzeranno per scopi criminali. Ricordiamo che la fretta non è mai una buona consigliera e che, in presenza di questi tentativi di frodi informatiche, è necessario prestare attenzione anche la più piccolo dettaglio.

22 Gennaio 2026 ==> Phishing Account di Posta elettronica

OGGETTO: <***** WARNING: The “******” Email account is almost full.>

Analizziamo di seguito il tentativo di phishing che ha l'obiettivo di rubare le credenziali dell'account di Posta Elettronica del malcapitato.

Il messaggio, in lingua inglese, informa il destinatario che ha 5 nuovi messaggi pendenti, che non è possibile ricevere perchè non ha abbastanza spazio di archiviazione e. se non provvede ad aggiornare lo spazio di archiviazione, potrebbe rischiare la disattivazione del suo account, oltre a perdere le mail in sospeso. Per continuare viene richiesto di aggiornare lo spazio attraverso il seguente link:

Click here to restore pending mails

Analizzando la mail notiamo che il messaggio proviene da un indirizzo email che sembrerebbe provenire dal dominio di posta elettronica del destinatario <no-reply(at)*******>. Questo è decisamente anomalo e dovrebbe quantomai insospettirci.

Chi dovesse malauguratamente cliccare sul link Click here to restore pending mails verrà dirottato su una pagina WEB anomala, che dovrebbe simulare la pagina di accesso all'account di Posta Elettronica.

In questa pagina l'utente viene invitato ad accedere al suo account inserendo, in particolare, la password della sua casella elettronica da cui poi dovrebbe procedere ad aggiornare lo spazio di archiviazione...

La realtà dei fatti è che la pagina su cui si viene dirottati per l'inserimento delle proprie credenziali dell'account di posta elettronica  è ospitata su un indirizzo/dominio anomalo, che riportiamo di seguito:

 https[:]//[NomeDominioFake*]

Vi invitiamo sempre a far attenzione ad ogni dettaglio, anche banale e a non inserire i vostri dati personali e/o password su form ospitati su pagine web contraffatte, in quanto verranno inviati su un server remoto e utilizzati da cyber-truffatori con tutti i rischi annessi e connessi facilmente immaginabili.

20 Gennaio 2026 ==> Phishing Tiscali

OGGETTO: <(Avviso di disattivazione urgente)>

Analizziamo di seguito un tentativo di phishing che ha l'obiettivo di rubare le credenziali di accesso all'account TISCALI

Il messaggio informa il destinatario che la sua mail è scaduta ed è stata disattivata, non è quindi più possibile inviare o ricevere messaggi, almeno fino a che non verrà riattivata. L’e-mail avvisa l’utente che però passato un giorno dalla scadenza tutti i messaggi saranno eliminati.

L’utente viene quindi invitato a riattivare il suo account il prima possibile. Per farlo è sufficiente procedere attraverso il seguente link::

RIATTIVA ORA

Analizzando attentamente il messaggio ci sono alcuni indizi che dovrebbero insospettire. Notiamo subito come l’indirizzo e-mail da cui proviene non è riconducibile al dominio ufficiale di TISCALI <milantns[at]sbb[dot].rs> fatto questo decisamente anomalo. Un altro campanello d’allarme è che per effettuare la conferma venga richiesto di inserire le credenziali del proprio account tramite un link comunicato tramite e-mail. 

Chi dovesse malauguratamente cliccare sul link 
RIATTIVA ORA verrà dirottato su una pagina WEB che, sebbene simuli graficamente la pagina di accesso all’account di TISCALI, in quanto il cybercriminale ha avuto l’accortezza grafica di inserirne il logo, non è per nulla attendibile. Anche in questo caso l’indirizzo è anomalo:

https[:]//[NomeDominioFake*]

In questa pagina l'utente viene invitato ad accedere alla sua area cliente da cui potrà poi procedere alla riattivazione del suo account così da evitare la perdita dei dati.

Vi invitiamo sempre a far attenzione ad ogni dettaglio, anche banale, e a non inserire i vostri dati personali e/o password su form ospitati su pagine web contraffatte, in quanto questi saranno recapitati ai cyber-criminali ideatori della truffa che li utilizzeranno per scopi criminali. Ricordiamo che la fretta non è mai una buona consigliera e che, in presenza di questi tentativi di frodi informatiche, è necessario prestare attenzione ad ogni dettaglio, anche il più banale.

20 Gennaio 2026 ==> Phishing SumUp

OGGETTO: <Importante: Vulnerabilità rilevata – Aggiorna subito>

Analizziamo di seguito un nuovo tentativo di phishing che si spaccia per quella che sembrerebbe una comunicazione ufficiale da parte di SumUp, nota società londinese per i pagamenti digitali.

Il messaggio, che riguarda la sicurezza dell’account dell’utente, avverte: “a causa di una vulnerabilità rilevata nei sistemi di crittografia dei dati, il tuo account richiede l’applicazione manuale della Patch di Sicurezza manuale. Questa procedura è obbligatoria per prevenire accessi non autorizzati.
Il mancato aggiornamento entro il termine della sessione comporterà la sospensione temporanea delle operazioni in uscita per tutelare i tuoi fondi."
Per procedere all'aggiornamento è sufficiente cliccare sul seguente Link:

APPLICA AGGIORNAMENTO ORA

Chiaramente la nota società londinese, è estranea all'invio massivo di queste e-mail che sono delle vere e proprie truffe il cui obiettivo resta, come sempre, quello di rubare i dati sensibili dell'ignaro ricevente.

Analizzando attentamente il messaggio ci sono alcuni indizi che dovrebbero insospettire. Notiamo subito come l’indirizzo e-mail da cui proviene il messaggio non sia riconducibile al dominio ufficiale di SumUp <teamdisumup-noreply-verificationltd[at]highpointlabradors[dot]com>. Questo fatto è decisamente anomalo e dovrebbe quantomai insospettirci. Un altro fatto strano è che l’e-mail non fornisca alcun dato identificativo del cliente e richieda di inserire le credenziali dell'account tramite un link comunicato via mail. 


Chi dovesse malauguratamente cliccare sul link APPLICA AGGIORNAMENTO ORA verrà dirottato su una pagina WEB che, sebbene simuli graficamente la pagina di accesso all’account di SumUp, in quanto il cybercriminale ha avuto l’accortezza grafica di inserire il logo della nota azienda, notiamo che l’indirizzo/dominio è anomalo:

 https[:]//[NomeDominioFake*]

In questa pagina l'utente viene invitato ad accedere alla sua area cliente inserendo login e password della sua e-mail da cui potrà poi procedere all'aggiornamento richiesto.

Vi invitiamo, quindi, a far sempre la massima attenzione anche ai più piccoli dettagli e a non inserire i vostri dati personali e/o password su form ospitati su pagine web contraffatte, in quanto verranno utilizzati da cyber-truffatori per scopi illeciti.

19 Gennaio 2026 ==> Phishing Aruba - Rinnova il dominio

OGGETTO: <Avviso di Scadenza Dominio- Disattivazione prevista per il 19/01/2026­­>

Continuano anche questo mese i tentativi di phishing che si spacciano per comunicazioni da parte del brand Aruba.

II messaggio informa il ricevente che il suo dominio ospitato su Aruba scade il giorno 19 gennaio 2026. Lo avverte quindi che per evitare interruzioni del servizio, blocco delle mail in arrivo o perdita del dominio, deve procedere sin da subito al rinnovo di quest'ultimo, al costo di € 22,57 attraverso il seguente link:

RINNOVA IL DOMINIO

Prestiamo sempre attenzione a richieste di inserimento delle credenziali personali, tramite link sospetti comunicati via mail.
Chiaramente la nota azienda di servizi di web hosting, e-mail e registrazione domini, Aruba è estranea all'invio massivo di queste mail che sono delle vere e proprie truffe il cui obiettivo resta, come sempre, quello di rubare dati sensibili dell'ignaro ricevente.

Notiamo subito come l’indirizzo email da cui proviene non è riconducibile al dominio ufficiale di Aruba <spintowinandgain[at]gmail[dot]com>. Questo fatto è decisamente anomalo e dovrebbe quantomai insospettirci.
Per indurre il malcapitato a procedere tempestivamente il cyber-criminale concede poco tempo per agire. Tale tecnica ha, sicuramente, lo scopo di intimidire l'utente, il quale per il timore di trovarsi impossibilitato ad entrare nel suo account ed utilizzare i servizi ad esso collegati è spinto ad agire senza prestare la dovuta attenzione.  


Chi dovesse malauguratamente cliccare sul link RINNOVA IL DOMINIO verrà dirottato su una pagina WEB che, sebbene simuli graficamente la pagina di accesso all’account di Aruba, in quanto il cybercriminale ha avuto l’accortezza grafica di inserire il logo della nota azienda, notiamo che l’indirizzo/dominio è anomalo:

 https[:]//[NomeDominioFake*]

In questa pagina l'utente viene invitato ad accedere alla sua area cliente inserendo login e password della sua e-mail da cui potrà poi procedere al rinnovo del suo account pagando la somma richiesta. Ovviamente vi invitiamo a non inserire i dati della vostra carta di credito.

Lo scopo dei cyber-criminali ideatori della truffa è infatti chiaramente impossessarsi di essi. Prestate quindi sempre la massima attenzione, e verificate le scadenze dei servizi attivi solo attraverso le pagine ufficiali e non tramite link sospetti.

14 Gennaio 2025 ==> Smishing CUP

Di seguito segnaliamo un nuovo tentativo di truffa che si sta diffondendo in questi giorni, attraverso un SMS giunto apparentemente dal Centro Unico di Prenotazione CUP per visite ed esami medici.

08 Gennaio 2026 ==> Phishing Webmail

OGGETTO: <System Maintenance:***  Authentication Notification>

Analizziamo di seguito il tentativo di phishing che ha l'obiettivo di rubare le credenziali dell'account di Posta Elettronica del malcapitato.

Il messaggio, in lingua inglese, informa il destinatario che la password del suo account di posta scadrà oggi e lo informa che è necessario aggiornarla il prima possibile per continuare ad utilizzare i servizi collegati alla sua casella di posta. Per continuare ad usare la password può procedere attraverso il seguente link:

Use Same Access

Analizzando la mail notiamo che il messaggio proviene da un indirizzo email che sembrerebbe provenire dal dominio di posta elettronica del destinatario <chandinadepo(dot)scm(at)provitagroupbd(dot)com>. Questo è decisamente anomalo e dovrebbe quantomai insospettirci.

Chi dovesse malauguratamente cliccare sul link Use Same Access verrà dirottato su una pagina WEB anomala, che dovrebbe simulare la pagina di accesso all'account di Posta Elettronica.

In questa pagina l'utente viene invitato ad accedere al suo account inserendo, in particolare, la password della sua casella elettronica da cui poi dovrebbe procedere alla conferma o modifica della sua attuale password, che dovrebbe scadere...

La realtà dei fatti è che la pagina su cui si viene dirottati per l'inserimento delle proprie credenziali dell'account di posta elettronica  è ospitata su un indirizzo/dominio anomalo, che riportiamo di seguito:

 https[:]//[NomeDominioFake*]

Vi invitiamo sempre a far attenzione ad ogni dettaglio, anche banale e a non inserire i vostri dati personali e/o password su form ospitati su pagine web contraffatte, in quanto verranno inviati su un server remoto e utilizzati da cyber-truffatori con tutti i rischi annessi e connessi facilmente immaginabili.

07 Gennaio 2026 ==> Phishing Aruba - Saldo Fatture

OGGETTO: <Saldo Fatture>

Continuano i tentativi di phishing che si spacciano per comunicazioni da parte del brand Aruba.  II messaggio informa il ricevente che la password el suo account ospitato su Aruba scadrà tra 24 ore (08 Gennaio 2026). 
Invita quindi l'utente a confermare la password per continuare ad utilizzarla, attraverso il seguente link:

conferma password

Chiaramente la nota azienda di servizi di web hosting, e-mail e registrazione domini, Aruba è estranea all'invio massivo di queste mail che sono delle vere e proprie truffe il cui obiettivo resta, come sempre, quello di rubare dati sensibili dell'ignaro ricevente.

Analizzando attentamente il messaggio ci sono alcuni indizi che dovrebbero insospettire. Notiamo subito che l’indirizzo e-mail da cui proviene il messaggio non è riconducibile al dominio ufficiale di Aruba ma simula quello del destinatario stesso, fatto questo decisamente anomalo, sembra infatti che sia stato inviato dalla casella di posta elettronica del destinatario... 

Chi dovesse malauguratamente cliccare sul link conferma password verrà dirottato su una pagina WEB che, sebbene simuli graficamente la pagina di accesso all’account di Aruba, in quanto il cybercriminale ha avuto l’accortezza grafica di inserire il logo della nota azienda, notiamo che l’indirizzo/dominio è anomalo:

 https[:]//[NomeDominioFake*]

In questa pagina l'utente viene invitato ad accedere alla sua area cliente inserendo login e password della sua e-mail da cui potrà poi procedere al recupero dei messaggi prima che vengano eliminati.

Vi invitiamo sempre a far attenzione ad ogni dettaglio, anche banale, e a non inserire i vostri dati personali e/o password su form ospitati su pagine web contraffatte, in quanto questi saranno recapitati ai cyber-criminali ideatori della truffa che li utilizzeranno per scopi criminali. Ricordiamo che la fretta non è mai una buona consigliera e che, in presenza di questi tentativi di frodi informatiche, è necessario prestare attenzione anche la più piccolo dettaglio.

06 Gennaio 2026 ==> Phishing Aruba - Sospensione del servizio

OGGETTO: <Sospensione del servizio in corso>

Ritroviamo anche questo mese i tentativi di phishing che si spacciano per comunicazioni da parte del brand Aruba. Questa volta iI messaggio informa il ricevente che "una fattura con scadenza 31/12/2025 risulta attualmente non saldata.
Per evitare la sospensione automatica dei servizi, prevista per il 6 gennaio 2026, ti invitiamo a procedere quanto prima con il pagamento. "
Invita quindi l'utente a regolarizzare il pagamento di quanto dovuto per evitare interruzioni del servizio, attraverso il seguente link:

Completa il pagamento

Chiaramente la nota azienda di servizi di web hosting, e-mail e registrazione domini, Aruba è estranea all'invio massivo di queste mail che sono delle vere e proprie truffe il cui obiettivo resta, come sempre, quello di rubare dati sensibili dell'ignaro ricevente.

Analizzando attentamente il messaggio ci sono alcuni indizi che dovrebbero insospettire. Notiamo subito che l’indirizzo e-mail da cui proviene il messaggio non è riconducibile al dominio ufficiale di Aruba <info+KWyRGB[at]bazofo[dot]pt>, fatto questo decisamente anomalo, che dovrebbe insospettirci... 

Chi dovesse malauguratamente cliccare sul link Completa il pagamento verrà dirottato su una pagina WEB che, sebbene simuli graficamente la pagina di accesso all’account di Aruba, in quanto il cybercriminale ha avuto l’accortezza grafica di inserire il logo della nota azienda, notiamo che l’indirizzo/dominio è anomalo:

 https[:]//[NomeDominioFake*]

In questa pagina l'utente viene invitato ad accedere alla sua area cliente inserendo login e password della sua e-mail da cui potrà poi procedere al pagamento della fattura scaduta indicata, prima che i servizi vengano bloccati.

Vi invitiamo sempre a far attenzione ad ogni dettaglio, anche banale, e a non inserire i vostri dati personali e/o password su form ospitati su pagine web contraffatte, in quanto questi saranno recapitati ai cyber-criminali ideatori della truffa che li utilizzeranno per scopi criminali. Ricordiamo che la fretta non è mai una buona consigliera e che, in presenza di questi tentativi di frodi informatiche, è necessario prestare attenzione anche la più piccolo dettaglio.

02 Gennaio 2026 ==> Phishing Nexi

OGGETTO: <Proteggi la Tua Carta: Completa la Verifica Ora>
 

Questo nuovo tentativo di phishing si spaccia per una falsa comunicazione da parte di Nexi, nota azienda che offre servizi per il pagamento digitale.

Il messaggio informa il ricevente che è stata rilevat un'anomalia nei sistemi di verifica della sua carta. Il messaggio prosegue segnalando che "Per garantire la massima sicurezza e prevenire utilizzi non autorizzati, l'accesso ai servizi associati alla tua carta è stato temporaneamente limitato.", per continuare ad utilizzare la carta è necessario effettuare una verifica, attraverso il link indicato, viene inoltre segnalato che verrà inviato anche un codice di verifica di 6 cifre tramite SMS per completare la procedura, attraverso il seguente link:

Conferma i tuoi dati

Chiaramente la nota società, è estranea all'invio massivo di queste mail che sono delle vere e proprie truffe il cui obiettivo resta, come sempre, quello di rubare i dati sensibili dell'ignaro ricevente.

Nonostante il cyber-truffatore abbia avuto l’accortezza di inserire il logo di Nexi notiamo che il messaggio proviene da un indirizzo email che non sembra riconducibile al dominio ufficiale di Nexi <marc[at]oscarbuffon[dot]it>. Questo è decisamente anomalo e dovrebbe quantomai insospettirci.

Chi dovesse malauguratamente cliccare sul link verrà dirottato su una pagina WEB anomala, che l'obiettivo di rubare l'accesso all'account della carta di credito ma che è già stata segnalata come pagina /SITO INGANNEVOLE.... in quanto gestito da cyber-criminali il cui obiettivo è quello di entrare in possesso dei vostri dati più preziosi per poterli utilizzare a scopi criminali..

Alla luce di queste considerazioni segnaliamo di NON inserire mai le proprie credenziali su siti di cui non si conosce la provenienza, in quanto verranno inviati su un server remoto e utilizzati da cyber-truffatori con tutti i rischi annessi e connessi facilmente immaginabili.

01 Gennaio 2026 ==> Phishing NETFLIX

«OGGETTO: <­Avviso di scadenza: Aggiorna il tuo metodo di pagamento Netflix>

Analizziamo il seguente tentativo di phishing che sembra provenire da una falsa comunicazione di NETFLIX, la nota piattaforma di distribuzione streaming di film, serie tv e altri contenuti a pagamento, e che ha l'obiettivo di rubare i dati della carta di credito del malcapitato.

Il messaggio, che sembra provenire da NETFLIX, informa l'utente che è stato riscontrato un problema nell'elaborazione del pagamento di €6,99 relativo al suo abbonamento che scade il 02/01/2026. Per continuare a usufruire del servizio senza interruzioni, ti invitiamo ad aggiornare le tue informazioni di pagamento entro il 02/01/2026viene richiesto di entrare nell'account ed aggiornare i dati di pagamento, attraverso il seguente link:

AGGIORNA I DATI 

Analizzando la mail notiamo che il messaggio proviene da un indirizzo email che non sembra riconducibile al dominio ufficiale di NETFLIX <ara(at)frmoto(dot)it>. Questo è decisamente anomalo e dovrebbe quantomai insospettirci.

Chi dovesse malauguratamente cliccare sul link AGGIORNA I DATI  verrà dirottato su una pagina WEB che non ha nulla a che vedere con NETFLIX... ma che ha l'obiettivo di entrare in possesso dei vostri dati più preziosi per poterli utilizzare a scopi criminali.