Le truffe più diffuse

• Negozi clone. Copiano logo, grafica e prodotti di marchi famosi, con un indirizzo web quasi identico. Paghi, la merce non arriva e i dati della carta finiscono nelle mani sbagliate.
• Finti corrieri e finti marketplace. SMS ed email avvisano di un pacco bloccato, di una piccola tassa da pagare o di un problema di consegna. Il link porta a una pagina falsa che chiede i dati della carta o le credenziali dell’account.
• Offerte sui social. Pubblicità sponsorizzate e profili nati da poco, con foto perfette e prezzi impossibili, che chiedono di pagare con bonifico o ricarica.
• Venditori che ti portano “fuori” dalla piattaforma. Sui marketplace, chi ti chiede di chiudere l’affare via WhatsApp o con un pagamento diretto ti sta togliendo tutte le tutele.

Sei controlli da fare prima di pagare

1. Arriva al sito da solo. Scrivi l’indirizzo nel browser o usa l’app ufficiale, invece di cliccare su link ricevuti per SMS, email o social.
2. Leggi l’indirizzo lettera per lettera. Diffida di trattini e parole in più, errori di battitura e domini insoliti. Il lucchetto accanto all’indirizzo indica solo che la connessione è cifrata: anche i siti truffa ce l’hanno.
3. Cerca chi c’è dietro. Un negozio serio mostra ragione sociale, partita IVA, indirizzo, contatti e condizioni di vendita. Puoi verificare la partita IVA sul sito dell’Agenzia delle Entrate. Se queste informazioni mancano, lascia perdere.
4. Leggi le recensioni altrove. Cerca il nome del negozio su un motore di ricerca insieme a parole come “truffa” o “recensioni”. Quelle pubblicate sul sito stesso non contano.
5. Diffida dei prezzi impossibili. Uno sconto del 70% su un prodotto appena uscito è quasi sempre un’esca. Confronta il prezzo su più negozi e, quando puoi, controlla come è cambiato nelle settimane precedenti.
6. Scegli un pagamento che ti protegge. Mai bonifico o ricarica a sconosciuti. Usa una carta di credito o una prepagata da ricaricare solo con l’importo che serve, PayPal o il sistema di pagamento protetto del marketplace. Attiva le notifiche della banca per ogni addebito.

Gli SMS dei finti corrieri

Nei giorni degli sconti molti di noi aspettano davvero un pacco, ed è proprio quello che i truffatori sfruttano. Tre regole bastano:

• i corrieri non chiedono piccoli pagamenti tramite link via SMS;
• controlla lo stato della spedizione solo dal sito o dall’app ufficiale del corriere, inserendo tu il numero di tracciamento che trovi nella conferma d’ordine;
• allarmati quando c’è urgenza (“entro 24 ore il pacco tornerà al mittente”) e quando il link è accorciato o ha un indirizzo strano.

Se hai già pagato o inserito i dati

1. Blocca subito la carta chiamando il numero della tua banca o dall’app.
2. Cambia la password dell’account che hai inserito nella pagina falsa e di quelli che usano la stessa password.
3. Conserva le prove: screenshot, email, SMS, ricevute di pagamento.
4. Contesta l’addebito con la banca o con PayPal: per i pagamenti con carta e con PayPal esistono procedure di rimborso.
5. Segnala e denuncia alla Polizia Postale, anche online dal portale commissariatodips.it.

La lista da salvare

• Niente link da SMS, email o pubblicità: arrivi al sito da solo.
• Indirizzo controllato, dati del venditore presenti, recensioni cercate fuori dal sito.
• Prezzo credibile.
• Pagamento con carta, prepagata o PayPal, mai con bonifico o ricarica.
• Nel dubbio, aspetta: le offerte vere ci sono anche domani.

Fonti

• Punto Informatico – Black Friday in sicurezza: i consigli della Polizia
• CyberSecurity360 – Black Friday, la guida completa anti truffe

The post Black Friday 2026: come riconoscere siti falsi e SMS truffa prima di comprare appeared first on Sitissimo.com.

Ecco come funzionano, perché conviene attivarle e come farlo sui servizi che usi di più.

Cos’è una passkey, in parole semplici

Quando crei una passkey per un sito, il tuo dispositivo genera una coppia di chiavi crittografiche collegate tra loro:

• la chiave pubblica viene consegnata al sito;
• la chiave privata resta sul tuo telefono o computer e non viene mai inviata.

Quando accedi, il sito manda una “sfida” al tuo dispositivo. Tu sblocchi con Face ID, impronta o PIN, e il dispositivo risponde usando la chiave privata. Il sito verifica la risposta con la chiave pubblica e ti fa entrare. Nessuna password viaggia in rete, e il sito non conserva nulla che possa servire a un ladro.

Le passkey seguono gli standard della FIDO Alliance, un consorzio di cui fanno parte Apple, Google e Microsoft: per questo funzionano in tutti i principali browser e sistemi operativi.

Perché sono più sicure delle password

• Non si possono indovinare né riutilizzare: ogni passkey è unica per ogni sito.
• Resistono al phishing: la passkey è legata all’indirizzo esatto del sito per cui è stata creata. Su una pagina falsa che imita la tua banca o la tua email semplicemente non funziona.
• Un furto di dati dal sito non ti espone: sul server c’è solo la chiave pubblica, inutile senza quella privata.
• Niente codici via SMS da intercettare: lo sblocco con biometria o PIN avviene sul tuo dispositivo.

Chi le supporta già

Secondo la FIDO Alliance, oltre 15 miliardi di account online possono già usare le passkey. Tra i servizi più diffusi ci sono:

• Google, per Gmail, YouTube e tutto l’account;
• Microsoft, che dal maggio 2025 crea i nuovi account senza password e propone una passkey al primo accesso;
• Apple, che le salva e sincronizza tra i tuoi dispositivi con il Portachiavi iCloud;
• molti servizi di acquisti, pagamenti e lavoro, come Amazon, PayPal e GitHub.

Quando un sito le supporta, di solito te lo propone da solo dopo l’accesso, con un messaggio del tipo “Crea una passkey”.

Come attivarle

Account Google

1. Vai su g.co/passkeys e accedi al tuo account.
2. Tocca Crea una passkey.
3. Conferma con impronta, volto o PIN del dispositivo che stai usando.

Da quel momento puoi entrare con la passkey invece che con la password. Se usi più dispositivi, puoi crearne una per ciascuno.

Account Microsoft

Accedi su account.microsoft.com, apri la sezione Sicurezza e cerca le opzioni di accesso: lì puoi aggiungere una passkey e, se vuoi, rimuovere del tutto la password. Su Windows la passkey si sblocca con Windows Hello (volto, impronta o PIN).

iPhone, iPad e Mac

Assicurati che il Portachiavi iCloud sia attivo. Quando un sito o un’app ti propone di creare una passkey, conferma con Face ID o Touch ID: verrà salvata e sincronizzata su tutti i tuoi dispositivi Apple. Le ritrovi nell’app Password (sulle versioni meno recenti, in Impostazioni › Password).

Android

Le passkey vengono salvate nel Gestore delle password di Google e sincronizzate sugli altri dispositivi collegati allo stesso account Google.

Se perdi o cambi telefono

• Le passkey sincronizzate (Portachiavi iCloud, Gestore delle password di Google) tornano sul nuovo dispositivo appena accedi con il tuo account.
• Tieni sempre attivi altri metodi di recupero: email o numero di telefono di emergenza, codici di backup.
• Se il telefono viene rubato, entra nelle impostazioni di sicurezza dei tuoi account da un altro dispositivo e revoca le sue passkey.
• Per usare un account da un computer che non è tuo, molti siti mostrano un codice QR: lo inquadri con il telefono, sblocchi e sei dentro, senza lasciare la passkey su quel computer.

I limiti, per essere onesti

• Non tutti i siti le supportano ancora: per un po’ conviverai con passkey e password.
• Passare da un ecosistema all’altro, per esempio da iPhone ad Android, può richiedere qualche passaggio in più. Alcuni gestori di password indipendenti salvano le passkey su tutti i sistemi.
• Un buon gestore di password resta utile per gli account che non le offrono.

Da dove cominciare

1. L’email principale, Google o Microsoft: chi controlla la tua email può reimpostare quasi tutte le altre password.
2. Gli account con pagamenti: negozi online, PayPal.
3. I social e gli strumenti di lavoro.

Bastano dieci minuti, e ogni account che passi alle passkey è un account in meno esposto al phishing.

Fonti

• BleepingComputer – Microsoft rende senza password tutti i nuovi account
• Punto Informatico – Passkey: cos’è, come funziona e quanto è sicura

The post Passkey: cosa sono, perché sostituiscono le password e come attivarle appeared first on Sitissimo.com.

Lo ricostruiamo passo per passo, con i dati pubblicati dai ricercatori di sicurezza di Sucuri. In fondo trovi i controlli da fare sul tuo sito e le regole per non correre lo stesso rischio.

Il protagonista: Balada Injector

Balada Injector è una campagna di attacchi che da anni colpisce i siti WordPress sfruttando plugin e temi non aggiornati. Secondo Sucuri, nel solo settembre 2023 il suo scanner SiteCheck ha trovato varianti di Balada Injector su oltre 17.000 siti, quasi il doppio rispetto ad agosto. Più di 9.000 di questi casi erano legati alla falla che raccontiamo qui.

La porta d’ingresso: tagDiv Composer

• tagDiv Composer è un plugin per costruire le pagine (un page builder) distribuito insieme ad alcuni temi commerciali molto usati dai siti di notizie e dai blog.
• La falla, identificata come CVE-2023-3169, permetteva a chiunque, senza nemmeno essere registrato, di salvare codice JavaScript nelle impostazioni del sito. È stata resa pubblica a metà settembre 2023 e corretta con la versione 4.2 del plugin.
• Gli attacchi sono partiti subito dopo. Molti siti, però, sono rimasti scoperti a lungo: i plugin inclusi nei temi a pagamento spesso si aggiornano solo insieme al tema, e per questo restano indietro più facilmente.

Come si sviluppa un’infezione

1. L’ingresso. Il codice malevolo viene salvato in un’impostazione del database chiamata td_live_css_local_storage, dentro un blocco che comincia con <style id="tdw-css-placeholder">. Da lì viene stampato in tutte le pagine pubbliche del sito.
2. I visitatori. Lo script carica altro codice da domini controllati dagli attaccanti e può dirottare chi visita il sito verso pagine truffa.
3. Gli amministratori. Se a visitare il sito è un amministratore collegato, lo script agisce con i suoi permessi e crea un nuovo account amministratore. Nelle prime ondate si chiamava “greeceman”; poi i nomi sono diventati le prime quattro lettere del dominio seguite da “mann”, per esempio “exammann” per example.com. La password viene inviata agli attaccanti.
4. Le porte di servizio. Per sopravvivere alla pulizia, il malware installa un plugin che si nasconde dall’elenco in bacheca (i nomi trovati da Sucuri sono wp-zexit e wp-swamp), inserisce una backdoor nel file 404.php del tema e aggiunge codice in cima ad alcuni file JavaScript di WordPress, come jquery-migrate.min.js.

Il risultato è un sito che a vista sembra normale, ma che lavora per qualcun altro. E cancellare solo la prima iniezione non basta: le porte di servizio rimettono tutto com’era.

Come accorgersene

Di solito non ci sono segnali evidenti. Questi controlli richiedono pochi minuti:

• Guarda il codice delle pagine. Apri il sito da una finestra privata, premi Ctrl+U (su Mac Cmd+Opzione+U) e cerca script che non riconosci, soprattutto quelli offuscati, cioè scritti apposta per essere illeggibili, o con indirizzi strani.
• Controlla gli utenti. Cerca amministratori che non hai creato, in particolare con i nomi visti sopra.
• Guarda i plugin dal server, via FTP o dal pannello dell’hosting, e non solo dalla bacheca: alcuni plugin malevoli lì non compaiono.
• Usa uno scanner online come SiteCheck di Sucuri per una prima diagnosi.
• Leggi i log del server, se puoi: secondo Sucuri, richieste POST che ricevono una risposta 404 possono indicare che qualcuno sta usando la backdoor.

Come si ripulisce, passo per passo

Una regola prima di cominciare: finché lo script è attivo, ogni visita al sito da amministratore può reinfettarlo. Per questo la rimozione del malware va fatta per prima, e nel frattempo il sito non va navigato da collegati.

1. Backup completo prima di toccare qualsiasi cosa. File e database, salvati fuori dalla cartella pubblica del sito. Anche una copia del sito infetto serve: per tornare indietro se qualcosa va storto e per capire cosa è successo.
2. Rimuovi l’iniezione dal database. Trova il codice nell’impostazione td_live_css_local_storage, salvane una copia a parte e cancellalo.
3. Elimina gli amministratori sconosciuti.
4. Cerca plugin nascosti e backdoor: la cartella dei plugin sul server, il file 404.php del tema, i file JavaScript di WordPress modificati. Verifica che i file di WordPress siano quelli originali, per esempio con il comando wp core verify-checksums di WP-CLI.
5. Svuota la cache. È il passaggio che si dimentica più spesso: le pagine salvate in cache continuano a servire il codice infetto anche dopo la pulizia.
6. Controlla gli altri siti sullo stesso hosting. Quando più siti condividono lo spazio, un’infezione può spostarsi dall’uno all’altro.
7. Togli la causa, non solo il sintomo. Aggiorna tagDiv Composer almeno alla versione 4.2 oppure, se non ti serve più, disattivalo ed eliminalo insieme al tema che lo richiede. Poi aggiorna WordPress, i temi e tutti i plugin.
8. Cambia tutte le password (WordPress, pannello dell’hosting, database) e rigenera le chiavi di sicurezza di WordPress, così le sessioni eventualmente rubate smettono di funzionare.

Perché il malware punta agli amministratori

Questi script si attivano nel browser di chi visita il sito. Se il visitatore è un amministratore collegato, il codice può agire con i suoi permessi: creare utenti, installare plugin, modificare file. Per questo Sucuri consiglia di non navigare il proprio sito mentre si è collegati come amministratore: per vederlo come un lettore usa una finestra privata o un altro browser.

Le regole per non correre lo stesso rischio

• Aggiorna subito WordPress, temi e plugin, soprattutto quando l’aggiornamento corregge una falla di sicurezza. Vale doppio per i plugin inclusi nei temi a pagamento, che non sempre si aggiornano dalla bacheca.
• Meno plugin possibile. Ogni plugin è codice in più da tenere aggiornato. Quelli che non usi vanno disattivati e cancellati.
• Solo fonti ufficiali. Temi e plugin “premium” scaricati gratis da siti non ufficiali sono una delle porte d’ingresso più comuni.
• Backup automatici fuori dal server, e ogni tanto prova a ripristinarne uno.
• Disattiva l’editor di file in bacheca aggiungendo define('DISALLOW_FILE_EDIT', true); al file wp-config.php: se qualcuno ruba un accesso, non può modificare il codice da lì.
• Un account editor per scrivere. Usa l’account amministratore solo quando serve davvero.

Pensi che il tuo sito sia infetto?

1. Non cancellare niente di getto: prima fai un backup, anche del sito infetto.
2. Passa il sito in uno scanner online per una prima diagnosi.
3. Se il sito usa tagDiv Composer, controlla subito la versione del plugin e l’impostazione td_live_css_local_storage nel database.
4. Controlla utenti amministratori, plugin installati e file modificati di recente.
5. Dopo la pulizia aggiorna tutto, svuota la cache e cambia tutte le password.

Se non te la senti di mettere mano al database, fatti aiutare da chi lo fa di mestiere: un intervento sbagliato può fare più danni dell’infezione.

Fonti

• Sucuri – Balada Injector e la falla di tagDiv Composer (ottobre 2023)
• Rapid7 – tagDiv Composer, CVE-2023-3169

The post Malware su WordPress, un caso studio: la falla di tagDiv Composer appeared first on Sitissimo.com.

La proposta è arrivata da Leonardo Metalli, redattore del TG1, che oltre all’utilizzo dei ponti radio per la diffusione dei segnali TV, vorrebbe sfruttarli per la diffusione della connettività Internet da parte della RAI, creando una rete pubblica chiamata “Wi-Fi RAI Way”, accessibile pubblicamente da tutti senza il bisogno di sottoscrivere un abbonamento, in quanto pagando il canone RAI gli utenti hanno diritto ad accedere gratuitamente al servizio Wi-Fi.

Il problema di base è: chi dovrà sostenere la spesa per l’aggiornamento dei ripetitori? D’accordo che siamo ormai arrivati al punto che, per dare un senso al Canone RAI, la diffusione di una connessione Wi-Fi che sia usufruibile gratuitamente da tutti, non sarebbe affatto una brutta idea, anzi, certo bisognerà capire, quanto questo sia fattibile, di che velocità di connessione si parla, e altri fattori di non poca importanza.

Al momento la spesa dovrebbe essere pagata dallo Stato, ma di questi tempi, si sa che è altamente improbabile un’apertura in questo senso. Si pensa quindi a un possibile coinvolgimento dell’ANCI (Associazione Nazionale dei Comuni Italiani) che potrebbe consentire una strategia low-cost per ottenere lo sviluppo del servizio di connettività.

The post Collegamento Wi-Fi tramite i ripetitori RAI, chi paga? appeared first on Sitissimo.com.

Sappiamo benissimo la situazione disastrosa in cui versa il panorama delle connessioni ADSL in Italia. Almeno possiamo un pò consolarci con questo primato, stabilito si, in Australia dal gestore Telstra, ma che è stato reso possibile dall’importante collaborazione con la Scuola Superiore Sant’Anna di Pisa, Consorzio Nazionale Interuniversitario per le Telecomunicazioni (Cnit) e l’azienda Ericsson.

E’ stato battuto il record mondiale di velocita’ su Internet, con la trasmissione di dati al ritmo di mille miliardi di bit (un terabit) al secondo (di media la velocità delle connessioni internet a banda larga, in Italia è di 6-7 megabit, sette milioni di bit).

Il test e’ avvenuto in Australia,  nel collegamento fra Sydney e Melbourne. Speriamo che il prossimo governo punti molto sul potenziamento della nostra banda larga, davvero ridicola se confrontata con il resto dei paesi industrializzati, con ampie aree di Digital Divide e, come se non bastasse, con costi tra i più alti in Europa.

The post La connessione internet più veloce è australiana appeared first on Sitissimo.com.

Facebook, dopo un’iniziale periodo di test in Canada, è pronta a lanciare il suo nuovo servizio di chiamate VoIp direttamente dall’applicazione Messenger per iOS e successivamente Android.

Il servizio è stato implementato dopo un’aggiornamento dell’applicazione ed è facilmente utilizzabile, direttamente cliccando su uno dei propri contatti e selezionando l’opzione per la chiamata.

I primi feedback parlano di una qualità complessiva della chiamata, molto buona, al pari di servizi simili offerti da altre compagnie come Viber.

Il servizio sarà disponibile sia sotto copertura WiFi che 3G, ed inizialmente sarà solo per gli utenti USA, ma si presume che non ci vorrà molto tempo per l’ampliamento a tutti gli utenti mondiali, Italia compresa.

The post Facebook implementa le chiamate VoIP gratuite appeared first on Sitissimo.com.

Sta per avvenire ciò che ormai sembrava scontato, con l’intenzione di Microsoft di puntare fortemente su Skype. Il big di Redmond ha deciso di mandare in pensione Windows Live Messenger.

Il termine ultimo e data in cui verrà ufficialmente tolta la spina al celebre servizio di instant messaging è il prossimo 15 Marzo 2013. E così oltre 100 milioni di utenti saranno forzati a migrare su Skype, in cui, già oggi è possibile accedere con il proprio account di Messenger (hotmail.com o live.it che sia) e la possibilità di sincronizzare i propri account con quelli di Live Messenger.

Per unificare il proprio account di Windows Live Messenger (una volta MSN) con quello di Skype (nel caso se ne possedesse già uno)  basta semplicemente loggarsi a Skype con l’account Microsoft e scegliere di unificare i due profili, senza perdere alcun contatto, sia dell’uno che dell’altro.

Messenger cesserà di funzionare nello stesso giorno in tutto il mondo, eccetto che in Cina dove continuerà ad essere disponibile, almeno inizialmente.

The post Addio a Windows Live Messenger dal 15 Marzo 2013 appeared first on Sitissimo.com.

Per il prossimo 15 Gennaio, Facebook ha annunciato un’evento in cui probabilmente presenterà il suo nuovo smartphone. “Come and see what we’re building.” questo l’invito, ma ovviamente nessuna anticipazione sui contenuti di tale evento.

Un’altra possibilità, che però non esclude lo smartphone, potrebbe essere la presentazione di un nuovo software per foto e video prodotto grazie all’acquisizione recente di Instagram.Molte ipotesi sono state fatte in questi mesi per quel che riguarda il possibile Facebook Phone, ma nessuna indiscrezione è finora venuta fuori, nè sul sistema operativo che potrebbe montare, nè sull’azienda che produrrà tali smartphone. Men che meno su tutte le caratteristiche tecniche e di design, solo mere supposizioni dovute alla “moda” del momento.

Comunque sia, manca meno di una settimana e sapremo con più precisione di cosa si tratta.

The post Evento Facebook il prossimo 15 Gennaio appeared first on Sitissimo.com.

Tutti gli utenti di internet potranno presto decidere in maniera libera e consapevole se far usare o no le informazioni sui siti visitati per ricevere pubblicità mirata. 

L’Authority ha avviato una consultazione pubblica diretta a tutti i gestori, grandi e piccoli, dei siti e alle associazioni maggiormente rappresentative dei consumatori con l’obiettivo di acquisire contributi e suggerimenti.

La consultazione avviata dal Garante della privacy, si concluderà entro 90 giorni dalla pubblicazione del provvedimento sulla Gazzetta Ufficiale. Le proposte relative all’informativa semplificata potranno essere inviate all’Autorità per posta o in via telematica alla e-mail consultazionecookie@gpdp.it. Il Garante si è riservato di valutare anche eventuali proposte che potrebbero pervenire da università e centri di ricerca.

I cookie sono quei piccoli file di testo che i siti visitati inviano al terminale dell’utente e dove vengono memorizzati per essere poi ritrasmessi agli stessi siti alla visita successiva. Sono spesso usati per eseguire autenticazioni informatiche, monitoraggio di sessioni e memorizzazione di informazioni riguardanti la navigazione on line, ma anche per archiviare e studiare le abitudini di navigazione degli utenti.

Con le nuove regole europee – spiega l’Autorità – i cookie “tecnici” possono essere utilizzati anche senza consenso, ma rimane naturalmente fermo per i gestori dei siti l’obbligo di informare gli utenti della loro presenza in maniera il più possibile semplice, chiara e comprensibile.

É obbligatorio invece – sottolinea l’Autorità – il consenso preventivo e informato dell’utente per tutti i cookie “non tecnici”, quelli cioè che, monitorando i siti visitati, raccolgono dati personali che consentono la costruzione di un dettagliato profilo del consumatore.

I gestori dei siti non potranno più, dunque, installare cookie per finalità di marketing sui terminali degli utenti senza averli prima adeguatamente informati e aver acquisito un valido consenso.

The post Il Garante per la privacy, avvia una consultazione sull’uso dei cookie appeared first on Sitissimo.com.

Con la nuova ricerca di Google immagini è possibile ricercare direttamente tra tutte le immagini del proprio (o qualunque altro) sito web / blog , catalogate dal motore di ricerca di Mountain View.

In un solo attimo vi ritroverete davanti l’intero archivio immagini indicizzato da Google nel tempo, aiutandovi a indirizzare traffico al proprio blog.

Per ricercare tutte le immagini del proprio sito con Google, basterà scrivere nel campo di ricerca “site:nomedeldominio.it” e cliccare su Immagini, in un attimo vi ritroverete l’intero archivio del vostro sito, in perfetto ordine. Scommetto che farete fatica a ricordarvi di immagini caricate qualche anno fa.

Ovviamente potremo poi effettuare anche ricerche più specifiche, come cercare immagini solo di grandi dimensioni o con una componente particolare di colore, oltre ovviamente a visualizzare in quale pagina/articolo avete caricato una determinata foto.

Via

The post Ricercare tutte le immagini di un sito specifico appeared first on Sitissimo.com.