Il phishing paypal è oggi una delle truffe digitali più redditizie per chi la organizza e più insidiose per chi la subisce, perché non attacca un sistema informatico ma la fiducia che riponi in un marchio che usi ogni settimana. Ti arriva un messaggio con il logo giusto, il tono giusto e una richiesta apparentemente banale: confermare un pagamento, sbloccare un conto, verificare un accesso. In pochi secondi decidi se cliccare oppure no, e in quei pochi secondi si gioca tutto. In questa guida trovi i segnali concreti per smascherare i messaggi falsi, il protocollo da seguire nelle prime ore se hai già inserito i dati, e le contromisure che riducono davvero il rischio per te e per la tua azienda.
Che cos’è il phishing paypal e perché funziona così bene
Con phishing si indica l’invio di comunicazioni false che imitano un mittente legittimo per convincere la vittima a consegnare spontaneamente credenziali, dati della carta o denaro. Nel caso di PayPal l’imitazione è particolarmente efficace per tre motivi: il servizio gestisce denaro, invia già di suo molte notifiche automatiche, e viene usato tanto dai privati quanto dalle partite IVA. Un messaggio che parla di un pagamento sospeso non sembra strano, sembra ordinario.
I numeri raccontano un fenomeno tutt’altro che marginale. Nel 2025 il CERT-AGID ha censito 3.620 campagne malevole rivolte all’Italia, di cui 1.922 di phishing, sfruttando complessivamente 153 marchi diversi come esca, come si legge nel report annuale sulle campagne malevole analizzate dal CERT-AGID. I marchi finanziari e quelli legati ai pagamenti occupano stabilmente le prime posizioni di questa classifica, e PayPal rientra proprio in quella categoria.
C’è poi un fattore che spiega la crescita degli ultimi anni: l’automazione. Scrivere mille email credibili in italiano corretto una volta richiedeva tempo e competenza linguistica. Oggi non più. Il risultato è che il vecchio metodo di riconoscimento basato sugli errori di grammatica ha perso gran parte della sua utilità, e serve imparare a leggere altri indizi.
Vale la pena chiarire subito una cosa, perché è la fonte di equivoci più frequente che incontro parlando con imprenditori e liberi professionisti. Il phishing non è un attacco al sistema di PayPal. I server di PayPal non vengono violati. Viene violata la tua attenzione, e questo cambia radicalmente il tipo di difesa che serve mettere in campo.
I sette segnali che smascherano una falsa email paypal
Nella mia pratica di analisi degli incidenti ho imparato che quasi tutti i tentativi di phishing paypal tradiscono almeno due di questi sette indizi. Imparare a cercarli richiede una decina di secondi e vale molto più di qualunque software.
Il saluto impersonale. PayPal conosce il tuo nome e cognome e li usa. Un messaggio che si apre con “Gentile utente”, “Gentile cliente” oppure “Ciao membro PayPal” è sospetto per definizione, perché tradisce un invio di massa a una lista di indirizzi anonimi.
L’urgenza artificiale. “Il tuo conto sarà chiuso entro 24 ore”, “Verifica immediatamente o perderai l’accesso”. La fretta è lo strumento principale del truffatore, perché impedisce il controllo. Un istituto di pagamento serio ti concede il tempo di verificare.
L’indirizzo del mittente. Va letto per intero, non solo il nome visualizzato. I domini legittimi terminano con paypal.com o paypal.it. Attenzione alle varianti che sembrano quasi corrette, come paypal-sicurezza.com, paypal.support-it.net oppure paypa1.com con il numero uno al posto della elle.
La destinazione reale del link. Passa il puntatore sul pulsante senza cliccare, oppure tieni premuto il dito sul link se sei da smartphone: l’indirizzo di destinazione compare in basso o in una finestra di anteprima. Se non inizia con https://www.paypal.com, fermati.
La richiesta di dati sensibili. PayPal non chiede mai via email o SMS la password completa, il PIN, il codice di sicurezza della carta o i codici di autenticazione a due fattori. Nessuna eccezione, nessuna procedura speciale, nessuna verifica straordinaria.
Gli allegati inattesi. Una notifica di pagamento non ha bisogno di un PDF, di uno ZIP o di un file di testo allegato. Quando l’allegato c’è, spesso il vero obiettivo non è più rubare le credenziali ma installare un programma malevolo sul dispositivo.
Il tono che non torna. Frasi tradotte male, formattazione sbilanciata, logo leggermente sfocato o di una tonalità di blu diversa da quella che ricordi. Questo segnale è diventato meno affidabile degli altri sei, ma quando appare è quasi sempre decisivo.
Un mito da smontare riguarda il lucchetto nella barra degli indirizzi. Il lucchetto certifica solo che la connessione è cifrata, non che il sito sia onesto: oggi anche i siti clone usano abitualmente un certificato valido, quindi il lucchetto non dice nulla sull’affidabilità di chi sta dall’altra parte. Ne ho parlato in modo esteso a proposito di HTTPS come fattore di posizionamento, dove spiego perché il protocollo cifrato è diventato uno standard di base e non un marchio di garanzia.
Le varianti di phishing paypal più diffuse in italia: email, sms e telefonate
Il canale cambia, lo schema resta identico. Riconoscere la variante aiuta a capire in fretta cosa sta succedendo.
La notifica di sospensione del conto resta la più comune: ti avvisa che l’account è stato limitato per attività insolite e ti invita a verificare l’identità su una pagina che riproduce fedelmente il modulo di accesso. La falsa fattura o richiesta di pagamento è più sofisticata perché a volte parte da un’infrastruttura autentica: ti arriva la notifica di un acquisto che non hai mai fatto e un numero di assistenza da chiamare, dove un finto operatore ti guida passo passo a svuotare il conto. Lo smishing, cioè la versione via SMS o messaggistica, sfrutta il fatto che sullo schermo del telefono l’URL è troncato e quindi molto più difficile da verificare. Il vishing, la variante telefonica, gioca sull’autorevolezza della voce umana e sulla facilità con cui oggi si falsifica un numero chiamante.
Il volume di questi tentativi non è costante: si muove a ondate, in coincidenza con periodi di acquisti intensi. McAfee Labs ha documentato un’impennata significativa, rilevando che le email truffaldine a tema PayPal a febbraio 2025 sono aumentate di sette volte rispetto al mese precedente, come riportato nell’analisi dedicata al boom delle truffe legate a PayPal. In pratica significa che nei periodi caldi la probabilità di ricevere un messaggio falso si moltiplica, ed è proprio quando l’attenzione tende a calare per l’abitudine.
Distinguere questi messaggi dalla posta indesiderata ordinaria è utile perché il livello di rischio è completamente diverso. Un messaggio commerciale non richiesto ti fa perdere tempo, un messaggio di phishing ti fa perdere denaro: se vuoi approfondire la differenza e i meccanismi di filtraggio, ho dedicato una guida a che cosa significa spam e come difendersi.
Phishing paypal: cosa fare nelle prime due ore se hai cliccato
Capita, e capita anche a persone competenti in un momento di distrazione. Quello che fa la differenza tra un guaio contenuto e un danno serio è la rapidità della reazione. Questo è l’ordine delle operazioni che consiglio, ed è pensato per essere eseguito nell’esatta sequenza in cui lo trovi.
Primo, cambia la password di PayPal. Non dal link del messaggio, ma digitando a mano paypal.com nella barra degli indirizzi oppure aprendo l’app ufficiale. Se non riesci più ad accedere perché la password è già stata modificata, avvia subito la procedura di recupero e contatta l’assistenza.
Secondo, cambia la password della casella email associata. È il passaggio che quasi tutti dimenticano ed è il più importante, perché chi controlla la tua email può reimpostare le credenziali di qualunque altro servizio. Se hai riutilizzato la stessa password altrove, cambiala anche là.
Terzo, attiva o verifica l’autenticazione a due fattori su PayPal e sulla casella email, e controlla che il numero di telefono e l’indirizzo di recupero registrati siano ancora i tuoi e non siano stati sostituiti.
Quarto, avvisa la banca o l’emittente della carta collegata al conto, chiedendo il blocco preventivo se hai inserito i dati della carta. Tempestività e prova documentale della segnalazione contano molto in questa fase.
Quinto, controlla il registro delle attività nel tuo profilo: accessi da dispositivi o paesi che non riconosci, indirizzi di spedizione aggiunti, autorizzazioni a pagamenti ricorrenti che non hai attivato. Sono le tracce tipiche di un account compromesso.
Sesto, conserva le prove. Salva il messaggio originale, fai uno screenshot della pagina falsa se è ancora online e annota data e ora. Serviranno per la segnalazione e per l’eventuale denuncia.
Sul tema delle credenziali già circolanti, un controllo preventivo periodico cambia molto la prospettiva. Molti attacchi mirati partono da indirizzi email finiti in una violazione avvenuta anni prima su un servizio del tutto diverso, e la maggior parte delle persone non ne è al corrente: ho spiegato come fare questa verifica nella guida su come capire se la tua email è stata compromessa.
Come segnalare il phishing a paypal e alle autorità
La segnalazione non serve solo a chi la fa, serve a far chiudere l’infrastruttura fraudolenta e a proteggere chi riceverà lo stesso messaggio domani. La procedura ufficiale è semplice: inoltra il messaggio integrale, senza modificarlo e senza inoltrarlo come screenshot, all’indirizzo dedicato indicato da PayPal, poi eliminalo dalla posta in arrivo. Le istruzioni complete e l’indirizzo aggiornato sono pubblicati nella pagina in cui PayPal spiega come segnalare i messaggi sospetti.
In parallelo, se hai subito un danno economico o hai consegnato dati personali, la strada è la denuncia alla Polizia Postale, che si può avviare anche dal portale del Commissariato di PS online. Per la parte relativa al trattamento illecito dei dati personali il riferimento istituzionale è il Garante, che mantiene una sezione informativa e un vademecum operativo dedicati al phishing e alla protezione dei dati personali.
Sul recupero delle somme serve onestà: dipende dal tipo di operazione, dalla rapidità della segnalazione e dalla valutazione dell’intermediario. La normativa europea sui servizi di pagamento prevede tutele in caso di operazioni non autorizzate, ma l’esito concreto varia caso per caso e va discusso con la propria banca e, dove opportuno, con un legale. Chi ti promette il recupero garantito del denaro, spesso a fronte di un anticipo, sta con ogni probabilità costruendo la seconda truffa sulla prima. È un fenomeno che ho visto ripetersi molte volte e di cui ho scritto parlando delle truffe di chi promette guadagni online.
Perché le pmi sono il bersaglio preferito
Nella percezione comune il phishing paypal è un problema del singolo consumatore. Nei fatti, il bersaglio che rende di più è la piccola impresa, per una ragione strutturale: ha volumi di pagamento interessanti e, al tempo stesso, raramente ha procedure formalizzate su chi può autorizzare un movimento e con quali verifiche.
Un caso che seguo spesso come schema ricorrente, nella sua forma anonima e ricostruita, è questo. Una società di servizi con una decina di dipendenti usa un conto PayPal aziendale per incassare acconti dai clienti. Arriva alla casella dell’amministrazione una notifica di contestazione su un pagamento ricevuto, con l’invito a fornire documentazione entro un termine breve. L’addetto, in buona fede e sotto la pressione della scadenza, accede dal link e inserisce le credenziali del conto aziendale. Il conto non viene svuotato subito: per alcuni giorni chi è entrato osserva, legge lo storico delle transazioni e impara i nomi dei fornitori abituali. Solo dopo parte la richiesta di pagamento verso un fornitore apparentemente noto, con un IBAN sostituito. Il danno, in questi casi, non nasce dal clic ma dall’assenza di un secondo controllo sull’autorizzazione dei pagamenti.
D’altra parte, il rimedio non è tecnologico ma organizzativo, e costa poco. Una regola scritta che impone la verifica telefonica su un numero già noto in archivio prima di modificare qualunque coordinata bancaria neutralizza da sola la maggior parte di questi schemi. La certificazione CPEH che ho conseguito come Certified Professional Ethical Hacker mi ha insegnato una cosa che vale più di qualunque strumento: nei test di intrusione l’anello che cede quasi sempre è la procedura mancante, non il firewall.
C’è poi il rischio a valle, quello che si manifesta mesi dopo. Le credenziali raccolte con il phishing alimentano il mercato del furto di identità, dove vengono combinate con altri dati per aprire posizioni a nome della vittima. Ho descritto le principali tecniche usate per il furto di identità in un approfondimento dedicato, perché capire dove finiscono i dati aiuta a valutare correttamente la gravità di un incidente che sul momento sembra minore.
Difese tecniche che riducono davvero il rischio
Detto questo, alcune misure tecniche riducono l’esposizione al phishing paypal in modo misurabile e conviene metterle in ordine di efficacia reale, non di complessità.
Al primo posto metto le passkey o, dove non disponibili, l’autenticazione a due fattori basata su app di autenticazione anziché su SMS. Una passkey non è digitabile e quindi non è consegnabile a un sito clone: è la misura che, da sola, rende inutile la maggior parte delle pagine false. Al secondo posto un gestore di password, che oltre a generare credenziali diverse per ogni servizio ha un effetto collaterale prezioso: non compila automaticamente il modulo su un dominio che non riconosce, e quel mancato riempimento è un allarme silenzioso ma molto affidabile.
Sul fronte aziendale contano la corretta configurazione dei record SPF, DKIM e DMARC del proprio dominio, che impedisce a terzi di spedire email a nome della tua azienda, e un filtro antispam che analizzi anche la reputazione dei link contenuti nei messaggi. Infine la formazione periodica del personale, che funziona molto meglio se prende la forma di simulazioni concrete anziché di una circolare informativa. Se vuoi capire come strutturare questo tipo di intervento nella tua organizzazione, la mia attività di consulenza in sicurezza informatica parte proprio dalla valutazione delle procedure esistenti prima di proporre qualunque strumento.
Risorse utili per approfondire
Per chi vuole andare oltre la singola truffa e mettere ordine nella sicurezza del proprio ecosistema digitale, il punto di partenza più concreto è capire quanto sia fragile l’infrastruttura su cui poggia il proprio business online. Ho raccolto anni di casi reali nel libro “Siti da Incubo”, disponibile gratuitamente, che affronta anche il legame tra manutenzione trascurata, vulnerabilità e attacchi opportunistici. Sul fronte più tecnico, chi gestisce un sito WordPress compromesso può partire dalla procedura che ho descritto per rimuovere un malware da WordPress, perché un sito infetto è spesso il trampolino usato per ospitare le pagine di phishing che poi colpiscono altri.
Riepilogo dei punti chiave
Il phishing paypal è una truffa basata su messaggi falsi che imitano le comunicazioni ufficiali del servizio per farsi consegnare credenziali, dati della carta o denaro. Non è un attacco ai sistemi di PayPal, è un attacco all’attenzione dell’utente. I segnali più affidabili sono il saluto impersonale, l’urgenza artificiale, il dominio del mittente non esattamente paypal.com o paypal.it, la destinazione reale del link, la richiesta di password o codici e la presenza di allegati inattesi. Il lucchetto nella barra degli indirizzi non è una garanzia di affidabilità, perché certifica solo la cifratura della connessione. Se hai già cliccato, la sequenza corretta è cambiare la password di PayPal digitando l’indirizzo a mano, cambiare quella della casella email associata, attivare l’autenticazione a due fattori, avvisare la banca, controllare il registro delle attività e conservare le prove. La segnalazione va inoltrata all’indirizzo ufficiale indicato da PayPal, con eventuale denuncia alla Polizia Postale in caso di danno. Le difese più efficaci sono le passkey, un gestore di password, la corretta configurazione di SPF, DKIM e DMARC per le aziende e una procedura scritta che imponga la verifica telefonica prima di modificare qualunque coordinata bancaria. Per le PMI il rischio maggiore non è il clic ma l’assenza di un secondo controllo sull’autorizzazione dei pagamenti.
Domande frequenti su phishing paypal
Come vengono truffati gli utenti di PayPal?
Gli utenti vengono truffati con messaggi che imitano le notifiche ufficiali del servizio. Gli schemi più diffusi sono la finta sospensione del conto, che invita a verificare l’identità su una pagina clone del modulo di accesso, la falsa fattura o richiesta di pagamento per un acquisto mai effettuato con un numero di assistenza da chiamare, l’SMS che avvisa di un accesso sospetto e la telefonata di un finto operatore che chiede i codici di sicurezza. In tutti i casi la vittima consegna spontaneamente credenziali o codici, convinta di parlare con PayPal.
Come riconoscere il phishing?
Controlla sette elementi. Il saluto: se è impersonale è sospetto, perché PayPal usa il tuo nome. Il tono: l’urgenza con minacce di chiusura entro poche ore è tipica della truffa. Il dominio del mittente per intero, non il nome visualizzato: deve terminare con paypal.com o paypal.it. La destinazione reale del link, visibile passando il puntatore sopra senza cliccare. La richiesta di password, PIN o codici a due fattori, che PayPal non fa mai via email. La presenza di allegati inattesi. Infine incoerenze grafiche o traduzioni approssimative, indizio ormai meno frequente ma quando presente decisivo.
Come posso segnalare un phishing a PayPal?
Inoltra il messaggio integrale, senza modificarlo e senza convertirlo in immagine, all’indirizzo di segnalazione indicato da PayPal nella propria pagina dedicata ai messaggi sospetti, poi elimina il messaggio dalla posta in arrivo. Non rispondere al mittente e non cliccare su nessun collegamento contenuto nel testo. Se il messaggio riguardava un pagamento, verifica lo stato reale delle transazioni accedendo al tuo profilo dall’app ufficiale o digitando l’indirizzo del sito a mano.
Come recuperare soldi truffati da PayPal?
Il primo passo è segnalare l’operazione non autorizzata a PayPal e alla banca o all’emittente della carta collegata, il più rapidamente possibile e conservando prova scritta della segnalazione. In parallelo va presentata denuncia alla Polizia Postale, allegando il messaggio originale e gli screenshot della pagina fraudolenta. La normativa europea sui servizi di pagamento prevede tutele per le operazioni non autorizzate, ma l’esito dipende dal tipo di operazione, dalla tempestività e dalla valutazione dell’intermediario, quindi va verificato caso per caso con la propria banca e, dove opportuno, con un legale. Diffida di chiunque prometta il recupero garantito delle somme a fronte di un pagamento anticipato.
Quali sono i tre segnali che indicano che questa è un’email di phishing?
Se devi limitarti a tre controlli rapidi, scegli questi. Il primo è il dominio del mittente letto per intero, perché le varianti quasi corrette come paypal-sicurezza.com sono la firma della truffa. Il secondo è la destinazione reale del link, che deve iniziare con https://www.paypal.com e non con un dominio diverso o un accorciatore di URL. Il terzo è la natura della richiesta: qualunque messaggio che chieda password, PIN, codice di sicurezza della carta o codici di autenticazione è fraudolento per definizione, indipendentemente da quanto sia curato l’aspetto grafico.
Mi hanno rubato l’account PayPal, cosa devo fare subito?
Avvia immediatamente la procedura di recupero delle credenziali dal sito ufficiale digitando l’indirizzo a mano e contatta l’assistenza se l’accesso è bloccato. Subito dopo cambia la password della casella email associata, perché è la chiave che consente di reimpostare tutto il resto. Attiva l’autenticazione a due fattori, controlla che numero di telefono e indirizzo di recupero registrati siano ancora i tuoi, verifica nel registro delle attività eventuali dispositivi, indirizzi o pagamenti ricorrenti non riconosciuti e chiedi alla banca il blocco preventivo degli strumenti di pagamento collegati.
Il prossimo passo per mettere in sicurezza i tuoi pagamenti
Riconoscere un tentativo di phishing paypal è una competenza che si acquisisce in mezz’ora e che resta utile per anni, perché lo schema psicologico dietro queste truffe cambia molto meno della loro veste grafica. Chi si ferma a leggere il dominio del mittente e la destinazione reale del link prima di cliccare ha già eliminato la maggior parte del rischio. Se poi aggiunge una passkey e un gestore di password, rende inutile anche la pagina clone più curata.
Per un’azienda il ragionamento va un passo oltre. Non si tratta di formare le persone a non sbagliare mai, perché prima o poi qualcuno sbaglierà, ma di costruire procedure in cui un singolo errore non basta a causare un danno. Doppia autorizzazione sui pagamenti, verifica telefonica obbligatoria prima di modificare un IBAN, registro degli accessi controllato con regolarità: sono misure semplici che si scrivono in un pomeriggio e che spostano concretamente il livello di esposizione.
Richiedi una consulenza gratuita: se vuoi capire dove sono i punti deboli nella gestione dei pagamenti e delle credenziali della tua azienda, parliamone insieme partendo dalla tua situazione reale.
