In breve: circola un'email che si finge un avviso di sicurezza di Facebook, con un accesso sospetto segnalato vicino a Paris e un pulsante "Non ero io" da cliccare. Il mittente reale non è Facebook ma un dominio civetta, e il link dietro il pulsante passa per un accorciatore di URL che nasconde la destinazione finale, quasi certamente una pagina costruita per rubare le credenziali. Non contiene nessuna prova che l'account sia stato compromesso.
Un'email con oggetto "Hai appena effettuato l'accesso vicino a Paris su un nuovo dispositivo?" sta arrivando nelle caselle di posta imitando la grafica e il tono delle notifiche di sicurezza di Facebook. Segnala un accesso da Mobile Safari su iPhone, mostra una mappa con la posizione stimata e invita a cliccare su un pulsante blu con la scritta "Non ero io" se non si riconosce l'accesso. È una truffa di phishing, e gli indizi per riconoscerla sono tutti verificabili leggendo con attenzione l'intestazione tecnica del messaggio.
Guarda l'esempio: prova a cliccare gli elementi cerchiati
Qui sotto trovi una ricostruzione fedele della mail ricevuta, con gli stessi campi e lo stesso testo, ma senza nessun link reale attivo. Prima di cliccare qualsiasi cosa, c'è un'abitudine che vale più di mille controlli: appoggia il mouse sul pulsante senza cliccare, e guarda in basso a sinistra della finestra del browser. Lì compare in anteprima l'indirizzo di destinazione reale del link. Se vedi un accorciatore come bit.ly, tinyurl o simili, invece di un dominio riconducibile a Facebook, hai già la conferma che si tratta di un tentativo di truffa, senza nemmeno bisogno di cliccare. Prova a farlo anche qui sotto, in versione simulata. Tieni presente che su smartphone questa anteprima spesso non è disponibile allo stesso modo: è una verifica particolarmente utile quando controlli la posta da computer.
Avviso di sicurezza: accesso vicino a Paris da un nuovo dispositivo
Ciao,
Qualcuno ha appena effettuato l'accesso al tuo account Facebook vicino a Paris, France su Mobile Safari su Apple iPhone 16 Pro Max. Se non sei stato tu, siamo qui per aiutarti a seguire alcuni semplici passaggi per proteggere il tuo account.
Sei stato tu?
Se sei stato tu, puoi ignorare questa email.
Per migliorare la sicurezza del tuo account, abbiamo attivato gli avvisi di accesso. Continueremo a inviarti notifiche ogni volta che il tuo nome utente e la tua password verranno utilizzati per accedere da un nuovo browser o dispositivo.
Grazie,
Sicurezza di Facebook (falso)
© Facebook. Meta Platforms, Inc., All'attenzione di: Community Support, 1 Meta Way, Menlo Park, CA 94025 — Questo messaggio ti è stato inviato. Per aiutarti a mantenere sicuro il tuo account, ti preghiamo di non inoltrare questa email.
Come funziona la truffa
Il meccanismo sfrutta un'emozione precisa, la paura di aver subito un accesso non autorizzatoTecnica di ingegneria sociale che induce una reazione istintiva, riducendo il tempo dedicato a verificare l'autenticità del messaggio prima di agire.. Il messaggio arriva con un mittente che nel campo visualizzato dal client di posta appare come "Facebook", una data e un'ora precise, una posizione geografica plausibile e un dispositivo verosimile, tutti dettagli pensati per apparire credibili a un primo sguardo distratto. La richiesta di azione, cliccare per confermare che non si tratta di un accesso autorizzato, è studiata per generare una risposta rapida e poco riflessiva.
La stessa struttura, con variazioni minime nel testo e nel brand imitato, circola da anni: cambia il servizio citato, ma il copione resta identico, un presunto accesso sospetto e un pulsante da cliccare per "mettere in sicurezza" l'account.
Gli indizi tecnici che tradiscono la truffa
Analizzando l'intestazione completa del messaggio, non solo il testo visibile, emergono discrepanze che un client di posta normalmente nasconde all'utente.
Mittente reale: l'indirizzo effettivo del mittente non è un dominio Facebook o Meta, ma un dominio generico registrato di recente, del tutto scollegato dall'azienda che il messaggio dichiara di rappresentare.
Campo Rispondi a: è impostato su un indirizzo che sembra ufficiale, una tecnica comune per rassicurare chi controlla rapidamente il mittente senza guardare l'header completo.
SPF e DKIMProtocolli di autenticazione email che verificano se un messaggio è stato inviato da un server autorizzato per quel dominio. Risultano "validi" quando lo sono per il dominio del mittente reale, non necessariamente per il brand impersonato nel testo. risultano validi: questo non prova affatto l'autenticità del messaggio, perché quei controlli certificano solo che il server ha il permesso di inviare per il dominio civetta, non per Facebook.
Pixel di tracciamento nascostoUn'immagine invisibile di 1x1 pixel inserita nel codice HTML, usata per registrare quando e da dove viene aperta un'email, senza che il destinatario se ne accorga.: nel corpo HTML è presente un'immagine invisibile di 1x1 pixel che punta a un dominio esterno, usata per verificare quando e se l'email viene aperta.
Il pulsante "Non ero io": dove porta davvero
L'elemento più pericoloso del messaggio è il link dietro al pulsante principale. Non punta a facebook.com o a un qualunque sottodominio di Meta, ma a un servizio di accorciamento URLServizio che trasforma un indirizzo lungo in uno breve, nascondendo la destinazione reale finché non si clicca. Legittimo per usi comuni, ma spesso abusato nel phishing proprio per questa caratteristica. generico, del tutto estraneo a Meta.
Gli accorciatori di URL sono strumenti legittimi, ma vengono sfruttati sistematicamente nel phishing proprio perché nascondono la destinazione finale del link fino al clic: chi riceve il messaggio non ha modo di sapere, guardando l'indirizzo, se porterà a una pagina sicura o a un clone del login Facebook costruito per raccogliere credenziali. È una delle tecniche più diffuse e documentate nel panorama attuale delle campagne di phishing via email, insieme allo spoofing del dominio e agli attacchi omografi che imitano visivamente indirizzi legittimi.
Non è possibile sapere con certezza cosa compaia esattamente dopo il clic senza esporsi al rischio in prima persona, ma lo schema osservato è coerente con le pagine di raccolta credenziali più comuni, un finto modulo di login che replica la grafica di Facebook e invia username e password direttamente ai truffatori.
Truffa vs notifica reale di Facebook: come distinguerle
| Elemento | Email truffa | Notifica reale Facebook |
|---|---|---|
| Dominio del mittente | Dominio generico non riconducibile a Meta | facebookmail.com o facebook.com |
| Link nel pulsante | Accorciatore URL esterno | Dominio facebook.com verificabile passando il mouse sul link |
| Verifica accessi | Solo tramite il link ricevuto via email | Anche autonomamente da Impostazioni > Sicurezza e accesso |
| Pixel di tracciamento nascosto | Presente, verso dominio esterno | Non punta a domini estranei a Meta |
| Urgenza nel messaggio | Invito a cliccare per "proteggere" l'account | Nessuna scadenza forzata |
Cosa fare se ricevi questa email
Il primo passo è non cliccare nessun link presente nel messaggio, nemmeno per curiosità. Se vuoi verificare gli accessi reali al tuo account, il percorso sicuro è aprire Facebook autonomamente e andare su Impostazioni e privacy, poi Impostazioni, poi Sicurezza e accesso, nella sezione "Dove hai eseguito l'accesso": lì trovi dispositivi e località realmente collegati all'account, senza passare da nessun link ricevuto via email.
Se hai già cliccato sul link ma non hai inserito nessuna credenziale, chiudi semplicemente la pagina senza digitare nulla. Se invece hai inserito username e password su quella pagina, cambia subito la password del tuo account Facebook e di qualsiasi altro servizio in cui la usi anche parzialmente, e attiva l'autenticazione a due fattoriUn secondo livello di verifica, oltre alla password, di solito un codice temporaneo generato da un'app o inviato via SMS. Anche se qualcuno ruba la password, senza quel codice non può accedere all'account. se non è già attiva.
Vale la pena segnalare il messaggio come phishing tramite la funzione di segnalazione del proprio client di posta, ed eliminarlo. Se gestisci anche account business o professionali collegati allo stesso indirizzo email, come spesso accade a chi lavora nella comunicazione digitale, conviene inoltre monitorare con attenzione eventuali attività anomale nei giorni successivi.
Perché è ancora più rischioso per chi lavora con i social
Per chi gestisce pagine, campagne pubblicitarie o account business per lavoro, un profilo Facebook non è solo uno spazio personale: è uno strumento di lavoro collegato a pagine aziendali, ruoli amministrativi, account pubblicitari e a volte anni di relazioni con community e clienti. Perdere il controllo di quel profilo, anche solo temporaneamente, significa perdere l'accesso a tutto ciò che vi è collegato nello stesso momento.
⚠️ Il punto che nessuno dice abbastanza chiaramente
Il recupero dell'account in sé non dipende da un perito informatico ma dalle procedure di Meta, e non è mai garantito: verifiche d'identità, blocchi temporanei che si allungano a ogni tentativo, in molti casi l'assenza di un vero supporto umano a cui rivolgersi in tempi brevi. Per chi ha impostato parte dell'attività lavorativa su quell'account, la prevenzione resta l'unica leva davvero nelle proprie mani, perché una volta perso l'accesso il tempo di recupero non dipende più da te.
C'è però un aspetto tecnico distinto, ed è quello su cui un intervento forense può davvero fare la differenza: se hai cliccato un link come questo, o hai il sospetto che il tentativo sia andato oltre il semplice tentativo di phishing, la domanda da porsi non è solo "riavrò l'account", ma "da quel varco è entrato qualcuno nei miei dispositivi, e sta osservando o sottraendo dati in questo momento?". Sono due problemi diversi, e richiedono risposte diverse.
Cambiare telefono o computer non risolve automaticamente la seconda domanda: se un dispositivo è già stato compromesso, un malware può sopravvivere a un ripristino di fabbrica se si reinstalla da un backup infetto, e in ogni caso sostituire l'hardware non dice nulla su cosa sia già stato copiato o osservato prima del cambio. Serve una verifica tecnica mirata, non un cambio di dispositivo fatto per prudenza.
Dati aggregati da analisi indipendenti sulle compromissioni di account Facebook nel 2026.
C'è anche un effetto meno evidente ma altrettanto concreto: chi gestisce community o pagine con un pubblico consolidato, come capita a chi anima gruppi tematici o pagine seguite da centinaia o migliaia di persone, rischia che l'account compromesso venga usato per pubblicare contenuti a nome proprio prima ancora di accorgersene, con un danno di fiducia difficile da recuperare quanto l'account stesso.
Richiede pochi minuti, ed è interamente sotto il tuo controllo.
Il recupero dell'account dipende da Meta, non da un perito informatico. La verifica su cosa sia successo ai tuoi dispositivi, invece, si può fare subito.
Le persone chiedono anche
Se il link SPF e DKIM sono validi, l'email non è più affidabile?
No. SPF e DKIM verificano solo che il messaggio provenga da un server autorizzato a inviare per il dominio del mittente reale, che nei casi di phishing è quasi sempre un dominio civetta registrato appositamente, non il dominio del brand impersonato nel testo. Un'email può avere SPF e DKIM perfettamente validi ed essere comunque una truffa al 100%.
Perché i truffatori usano un accorciatore di URL invece di un link diretto?
Perché nasconde la destinazione reale fino al clic, rendendo più difficile riconoscere a colpo d'occhio che il link non porta a un dominio Facebook o Meta. È una delle tecniche di occultamento più diffuse nel phishing via email, insieme allo spoofing del dominio del mittente.
Come faccio a controllare dove porta un link accorciato senza cliccarci?
Esistono servizi di espansione URL che mostrano la destinazione finale di un link accorciato senza doverlo aprire nel browser. In generale però, quando un link del genere arriva in un'email non richiesta che genera urgenza, la scelta più sicura resta non cliccarlo affatto e verificare la situazione direttamente dal sito o dall'app ufficiale.
Domande frequenti
Il mio account Facebook è stato violato solo perché ho ricevuto questa email?
No. Ricevere l'email non è di per sé una prova che l'account sia stato compromesso: è un messaggio inviato in massa da un dominio esterno del tutto scollegato da Facebook, progettato per generare allarme. L'unico modo per sapere con certezza se ci sono accessi anomali è controllare direttamente dalle impostazioni di sicurezza di Facebook.
Ho cliccato sul pulsante "Non ero io" ma non ho inserito dati, rischio qualcosa?
Il rischio principale del phishing di questo tipo riguarda l'inserimento di credenziali o dati sensibili nella pagina di destinazione. Se ti sei limitato ad aprire la pagina senza digitare nulla, il rischio diretto è ridotto, ma è comunque buona norma non proseguire oltre e chiudere la pagina.
Posso segnalare questa email a qualcuno?
Sì. Puoi segnalarla come phishing tramite la funzione dedicata del tuo client di posta, che aiuta a migliorare i filtri antispam per te e per altri utenti dello stesso servizio.
Perché queste email sembrano sempre più curate rispetto al passato?
Le campagne di phishing si sono affinate nel tempo, replicando con precisione crescente grafica, tono e struttura delle comunicazioni reali dei grandi servizi online. La qualità grafica di un'email non è più un indicatore affidabile: gli elementi tecnici come mittente reale, header e destinazione dei link restano i segnali più solidi.
Non ci occupiamo del recupero dell'account, quella parte dipende dalle procedure di Meta. Ma se hai cliccato su un link come questo, o hai il dubbio che dal tuo account o dalla tua email qualcuno sia arrivato a osservare o sottrarre dati dai tuoi dispositivi, questo è un accertamento tecnico che possiamo fare noi, con strumenti forensi e non con un semplice reset.
Contattaci per una valutazione