Truffe Black Friday 2026: come riconoscerle e proteggere anche l'azienda

Il Black Friday 2026 cade venerdì 27 novembre, ma le truffe Black Friday iniziano settimane prima: offerte troppo belle, finti avvisi di consegna, rimborsi inesistenti e pagine di pagamento clonate. In questo articolo spiego come riconoscerle con una checklist pratica, cosa fare se hai già cliccato e perché il problema non riguarda solo chi fa acquisti personali, ma anche le aziende, i loro dipendenti e le loro carte di pagamento.

Perché novembre è il mese preferito dai truffatori

Le truffe online seguono il calendario: quando aumentano acquisti, consegne e notifiche, aumenta anche la probabilità che un messaggio falso venga preso per vero. I numeri italiani dicono che il fenomeno è strutturale. Nel report sulle campagne malevole del 2025 del CERT-AGID sono censite 3.620 campagne malevole in un anno, con alcuni andamenti che si ritrovano puntuali nei periodi di saldi:

• 328 campagne a tema pagoPA, cioè false richieste di pagamento che imitano un servizio che tutti conoscono;
• abuso della PEC quasi raddoppiato, con circa 103 eventi: un canale percepito come sicuro usato per phishing e malware;
• smishing sempre più orientato al malware, con SMS che spingono a installare app malevole su Android;
• circa 70 campagne con la tecnica ClickFix, che chiede alla vittima di eseguire da sola un comando sul proprio computer.

Non sono dati specifici del Black Friday, ma descrivono gli strumenti che i truffatori useranno anche quest'anno.

Le truffe Black Friday più comuni

Nel mio lavoro di responsabile della sicurezza vedo ripetersi sempre gli stessi schemi, aggiornati nella grafica e nei testi.

Falsi negozi e offerte impossibili

Siti nuovi, spesso con un nome simile a un marchio noto, prezzi scontati del 70-80% su prodotti molto richiesti, recensioni tutte uguali. L'obiettivo è incassare il pagamento o, peggio, raccogliere i dati della carta.

Finti avvisi di consegna

SMS o email che segnalano un pacco in giacenza e chiedono un piccolo pagamento per lo svincolo. Funzionano perché a fine novembre quasi tutti aspettano una consegna.

Conferme d'ordine e rimborsi inesistenti

Una «conferma» di un acquisto mai fatto, con un link per annullarlo. Chi clicca per bloccare l'ordine finisce su una pagina che chiede credenziali o dati bancari.

App da installare e falsi assistenti

Messaggi che invitano a scaricare l'app del negozio o a chattare con un finto servizio clienti. Su Android un'app installata fuori dagli store ufficiali può leggere SMS e codici di accesso.

La finta verifica «non sono un robot»

È la tecnica ClickFix: una pagina chiede di premere alcuni tasti e incollare un testo per «verificare» che sei umano. In realtà stai eseguendo un comando che installa malware. Nessun sito legittimo ti chiederà mai di farlo.

Come riconoscere le truffe Black Friday: la checklist

Tre abitudini riducono il rischio più di qualsiasi software: usare una carta virtuale o prepagata per gli acquisti online, attivare le notifiche di ogni addebito e proteggere email e negozi con l'autenticazione a più fattori.

Perché è anche un problema aziendale

Le truffe Black Friday arrivano soprattutto sui dispositivi di lavoro, nelle ore di lavoro. Per un'azienda i rischi concreti sono quattro:

1. Credenziali riutilizzate: chi usa la stessa password per il negozio online e per l'email aziendale regala all'attaccante un accesso alla rete.
2. Malware su PC aziendali: un'installazione da un finto sito di offerte può essere il primo passo di un attacco più grave, fino al ransomware.
3. Carte aziendali e ufficio acquisti: offerte su materiali, licenze o hardware arrivano anche a chi compra per l'azienda, spesso con fornitori sconosciuti.
4. Falsi fornitori e cambi IBAN: nei periodi di carico di lavoro aumentano le richieste fraudolente di modificare le coordinate di pagamento.

Le contromisure sono semplici e vanno decise prima di fine mese: un breve messaggio a tutto il personale con gli esempi di quest'anno, la regola di non usare la casella aziendale per acquisti personali, la verifica telefonica di ogni cambio IBAN su un numero già noto e l'autenticazione a più fattori su tutti gli accessi esterni. E se il malware dovesse passare comunque, conta la qualità dei backup: ne ho parlato in backup contro il ransomware.

Se vendi online: proteggi anche i tuoi clienti

Le truffe Black Friday colpiscono anche chi vende, perché i truffatori sfruttano nomi e grafiche di negozi reali per rendere credibili i loro messaggi. Se la tua azienda ha un e-commerce o comunica promozioni ai clienti, alcune misure semplici riducono il danno per te e per chi compra:

• Comunica i canali ufficiali. Indica sul sito e nelle email quali indirizzi, numeri e domini usi, e che non chiederai mai pagamenti via SMS o dati della carta per telefono.
• Proteggi il dominio di posta. Configura correttamente SPF, DKIM e DMARC: rendono molto più difficile inviare email a nome tuo.
• Sorveglia i domini simili al tuo. Registrazioni con il tuo marchio e una lettera in più, o con un'estensione diversa, sono spesso il primo segnale di una campagna in preparazione.
• Prepara una risposta. Un messaggio pronto per avvisare i clienti e una persona incaricata di segnalare i siti clonati fanno risparmiare ore preziose quando la truffa parte.

Sono attività che richiedono poco tempo e che, nei giorni di picco, proteggono la reputazione oltre che i clienti.

Cosa fare se hai già cliccato

• Non inserire altri dati e chiudi la pagina.
• Blocca la carta dall'app della banca o chiamando il numero ufficiale, se hai inserito i dati di pagamento.
• Cambia le password dell'account colpito e di quelli con la stessa password, usando un altro dispositivo.
• Se hai installato un'app o incollato un comando, scollega il dispositivo dalla rete e, se è aziendale, avvisa subito l'IT.
• Segnala: le email sospette possono essere inoltrate al CERT-AGID all'indirizzo malware@cert-agid.gov.it; le truffe subite si denunciano alla Polizia Postale.

Per un'azienda soggetta alla NIS2 un'infezione partita da una truffa può diventare un incidente da notificare: in quel caso valgono i tempi descritti in incidente informatico, cosa fare nelle prime 24 ore.

Cosa fare adesso

Prima del 27 novembre fai tre cose: manda al personale un avviso con gli esempi di questo articolo, controlla che l'autenticazione a più fattori sia attiva sulle caselle email e verifica chi può modificare i dati bancari dei fornitori. Se vuoi capire in cinque minuti quanto è solida la tua organizzazione, puoi fare l'autovalutazione NIS2; per un piano di sicurezza proporzionato alla tua realtà trovi il mio approccio nella pagina dedicata al consulente NIS2.