tecniche comuni e difese pratiche per non cadere in trappola

Truffe nei DM, annunci sospetti e giveaway finti: come riconoscerli, quali impostazioni attivare e come recuperare l’account se qualcosa va storto.

di
Edoardo Marchesi

Pubblicato il 28 Giugno 2026 alle 12:10

I social network sono un terreno fertile per phishing e truffe sempre più credibili. Messaggi diretti, annunci sponsorizzati e giveaway lampeggiano nella timeline con la promessa di sconti, premi o collaborazione rapide. Bastano pochi tocchi per fornire dati sensibili o consegnare l’accesso all’account. Capire gli schemi ricorrenti e impostare barriere difensive robuste riduce drasticamente il rischio.

Questa guida va al punto: come riconoscere i pattern più usati nei DM negli annunci e nei finti giveaway quali impostazioni attivare subito per blindare i profili; cosa fare, passo dopo passo, se l’account è stato compromesso, dal ripristino alla segnalazione agli intermediari coinvolti.

Schemi ricorrenti nei DM: segnali da non ignorare

I messaggi diretti truffaldini puntano sulla urgenza e su un’apparente autorevolezza.

Segnali tipici: richieste di “verifica urgente” dell’account, link a “contestazioni copyright”, inviti a “confermare l’identità” o “sbloccare pagamenti”. Spesso l’account mittente ha pochi follower, una username con caratteri insoliti o lievi varianti del nome ufficiale. Il linguaggio mescola formalità e errori grammaticali; i link sono accorciati o mascherati, e rimandano a pagine di login che imitano perfettamente l’interfaccia della piattaforma.

Ricordare: nessun supporto serio chiede password via DM.

Altri schemi mirano alla fiducia tra contatti: un amico chiede “voto a un contest”, inoltra un codice OTP o propone un investimento “garantito”. In questi casi l’account dell’amico potrebbe essere già compromesso. Verifica su un canale alternativo prima di interagire. Diffidare di richieste che includono link e sollecitano azioni immediate; la fretta è lo strumento principale del truffatore.

Annunci e finti giveaway: come smascherarli in pochi passaggi

Gli annunci sponsorizzati e i giveaway falsi capitalizzano su scarsità e premi elevati. Red flag ricorrenti: prodotti high-end “gratis” pagando solo “spese di spedizione”, sconti irreali (70–90%), countdown aggressivi e domande banali per “qualificarsi”. I finti brand usano loghi sgranati, pagine appena create, domini web con aggiunte sospette (trattini, numeri, TLD insoliti). Prima di cliccare, controllare il profilo inserzionista la data di creazione della pagina, i commenti reali (non solo reazioni), e ispezionare il dominio passando il mouse sul link o tenendo premuto sullo smartphone.

Per i giveaway: richiedere la carta di credito “per verificare l’identità” è un segnale da stop immediato. Nessun concorso legittimo chiede la password del social o codici di autenticazione. Verificare sempre il regolamento ufficiale la presenza di termini e condizioni, l’indirizzo dell’organizzatore e i riferimenti a canali istituzionali. Se il premio è troppo bello per essere vero, probabilmente non lo è.

Impostazioni di sicurezza: cosa attivare subito su ogni piattaforma

Ogni profilo dovrebbe avere una baseline minima. Attivare la autenticazione a due fattori (meglio con app di autenticazione o security key evitando SMS quando possibile), impostare avvisi di accesso da nuovi dispositivi e rivedere le sessioni attive disconnettendo quelle sconosciute. Limitare chi può inviare DM e taggare l’account; filtrare le richieste di messaggi e attivare i filtri anti-spam. Nelle impostazioni privacy, disabilitare la visibilità di e-mail e telefono, spesso usati per attacchi mirati.

Controllare periodicamente le app collegate e revocare i permessi superflui. Se la piattaforma offre codici di recupero generarli e custodirli offline. Valutare il blocco del download dei contenuti e l’approvazione preventiva dei tag, per ridurre le superfici di attacco basate su menzioni fraudolente. Un calendario di audit trimestrale delle impostazioni mantiene alta la soglia di sicurezza.

Password manager e autenticazione: pratiche che alzano la soglia

Una buona igiene delle credenziali parte da un password manager affidabile: genera stringhe uniche e robuste, sincronizza in modo cifrato e avvisa in caso di credenziali esposte. La regola: una password diversa per ogni servizio, con lunghezza adeguata e componenti casuali. Evitare il riuso tra e-mail principale e social: se cade la casella, cadono i profili. Abbinare il manager a una 2FA forte, preferendo TOTP o chiavi fisiche FIDO2 rispetto agli SMS, più esposti a SIM swap e intercettazioni.

Abilitare funzioni come autofill solo su domini attesi, disattivandolo sui campi sensibili in pagine sospette. Verificare sempre l’URL prima di inserire le credenziali; i manager di qualità compilano solo su domini esatti, ed è un ulteriore segnale di allerta se rifiutano l’autofill. Per gli account di amministrazione o con ruoli aziendali, adottare chiavi hardware e separare gli ambienti di navigazione per ridurre il rischio di session hijacking.

Se l’account è compromesso: ripristino, prove e segnalazioni

Se sospetta una violazione, agire in sequenza: 1) disconnettere tutte le sessioni da un dispositivo sicuro; 2) reimpostare la password dell’e-mail associata e poi del social compromesso; 3) revocare le app terze e rigenerare i codici di recupero; 4) riattivare o rafforzare la 2FA con app o chiave fisica. Controllare impostazioni critiche (e-mail di recupero, numero di telefono, username) e invertire eventuali modifiche. Se l’accesso è perso, avviare la procedura di account recovery prevista dalla piattaforma, fornendo documenti e prove richieste.

Documentare l’incidente con screenshot URL, orari e indirizzi dei messaggi ricevuti; servono per le segnalazioni a piattaforme, istituti di pagamento e, se coinvolto denaro, per la denuncia alle autorità competenti. Contattare l’emittente della carta o il provider di pagamento per bloccare addebiti e attivare eventuali rimborsi. Informare i contatti con un messaggio pubblico sobrio, invitandoli a ignorare link ricevuti di recente. Infine, impostare un monitoraggio: avvisi su login, controlli periodici del manager password e verifica di eventuali data breach collegati all’indirizzo e-mail.