{"id":57713,"date":"2026-04-21T12:05:43","date_gmt":"2026-04-21T10:05:43","guid":{"rendered":"https:\/\/aboutsignal.com\/?p=57713"},"modified":"2026-05-27T08:27:56","modified_gmt":"2026-05-27T06:27:56","slug":"tentativi-di-phishing-su-signal","status":"publish","type":"post","link":"https:\/\/aboutsignal.com\/it\/blog\/phishing-attempts-on-signal\/","title":{"rendered":"Tentativi di phishing su Signal \u2013 come funzionano e come proteggersi"},"content":{"rendered":"

Potresti aver gi\u00e0 ricevuto su Signal un messaggio di phishing che sembra provenire dal team di Signal e che ti ha chiesto il codice di verifica. Innanzitutto, questi messaggi sono falsi, quindi non<\/strong> rispondere o condividere nessuna informazione. Invece segnala e blocca<\/a> il contatto che ha inviato questo messaggio nella tua app.<\/p>\n\n\n\n

I messaggi inviati tramite Signal sono crittografati end-to-end. Ci\u00f2 significa che i messaggi possono essere letti solo da te e dal destinatario. Sebbene Signal disponga di un sistema avanzato per il rilevamento dello spam, il server non \u00e8 in grado di controllare o bloccare il contenuto dei messaggi. \u00c8 quindi possibile che, prima o poi, tu riceva un messaggio di phishing.<\/p>\n\n\n\n

In questo articolo vedremo come funzionano questi attacchi di phishing, cosa puoi fare per proteggerti su Signal e cosa fare se un hacker \u00e8 riuscito a prendere il controllo del tuo account.<\/p>\n\n\n\n

Contenuti<\/strong><\/h2>\n\n\n\n

1. Come funzionano i tentativi di phishing su Signal?<\/a><\/strong><\/p>\n\n\n\n

2. Cosa succede se un hacker prende il controllo del tuo account?<\/a><\/strong><\/p>\n\n\n\n

3. Come puoi proteggerti?<\/a><\/strong><\/p>\n\n\n\n

<\/p>\n\n\n\n

<\/p>\n\n\n\n

1. Come funzionano i tentativi di phishing su Signal?<\/h2>\n\n\n\n

Due diversi tipi di phishing<\/h3>\n\n\n\n

Gli attacchi di phishing sono una tecnica di ingegneria sociale<\/a> con cui gli hacker cercano di ottenere informazioni riservate dalle loro vittime fingendo di essere qualcun altro. Queste informazioni riservate possono essere credenziali di accesso, password, dati bancari o, nel caso di Signal, un codice di registrazione, un PIN o una chiave di recupero.<\/p>\n\n\n\n

\u00c8 importante sottolineare che questi attacchi di phishing NON compromettono l'elevata crittografia di Signal n\u00e9 sfruttano alcuna vulnerabilit\u00e0 nel codice dell'app. Al contrario, cercano di indurre gli utenti a rivelare involontariamente informazioni importanti.<\/p>\n\n\n\n

Su Signal esistono due diversi tipi di tentativi di phishing:<\/p>\n\n\n\n

    \n
  1. I classici tentativi di truffa in cui gli aggressori cercano di indurre le vittime a inviare loro denaro, dati della carta di credito o altre informazioni che non sono direttamente collegate a Signal.<\/li>\n\n\n\n
  2. Tentativi di phishing volti a impossessarsi di un account Signal inducendo le vittime a fornire il codice di verifica di registrazione e, in alcuni casi, anche il PIN o la chiave di recupero di Signal.<\/li>\n<\/ol>\n\n\n\n

    In questo articolo ci concentreremo sul secondo tipo di attacchi di phishing, poich\u00e9 sono specificamente rivolti a Signal e richiedono precauzioni e contromisure specifiche. Per consigli su come proteggersi dal primo tipo di tentativi generici di phishing e truffa presenti su tutte le app e piattaforme di social, potete consultare queste linee guida generali su come riconoscere ed evitare le truffe di phishing<\/a>.<\/p>\n\n\n\n

    Come funziona la registrazione di un account Signal<\/h3>\n\n\n\n

    Ma vediamo pi\u00f9 da vicino in che modo gli attacchi di phishing potrebbero tentare di prendere il controllo del tuo account Signal. Per capirlo, dobbiamo prima comprendere come funziona in generale la registrazione di un nuovo account Signal.<\/p>\n\n\n\n

    Su Signal tu crei un account con il tuo numero di telefono<\/a>. Ogni account Signal \u00e8 quindi associato a un determinato numero di telefono (da notare che, poich\u00e9 su Signal tutto \u00e8 crittografato end-to-end, i server di Signal rilevano solo che un numero di telefono \u00e8 registrato, ma non possono vedere il contenuto dei messaggi n\u00e9 con chi stai comunicando).<\/p>\n\n\n\n

    Per verificare che tu sia effettivamente il proprietario e abbia il controllo di questo numero di telefono, riceverai un \"codice di verifica\" al momento della registrazione su Signal. Per impostazione predefinita, questo codice di verifica ti verr\u00e0 inviato tramite SMS, ma puoi anche scegliere di ricevere invece una chiamata automatica che ti legger\u00e0 il codice di verifica.<\/p>\n\n\n\n

    Ecco come appare l'SMS con il codice di verifica inviato da Signal:<\/p>\n\n\n\n

    \"\"
    Messaggio con codice di verifica da Signal<\/figcaption><\/figure>\n\n\n\n

    Solo dopo aver inserito il codice di verifica corretto potrai registrare il tuo nuovo account su Signal, poich\u00e9 il fatto che tu conosca il codice di verifica dimostra a Signal che sei effettivamente il legittimo proprietario del numero di telefono che vuoi registrare.<\/p>\n\n\n\n

    Durante la procedura di registrazione ti verr\u00e0 chiesto anche di creare un PIN di Signal<\/a>. Questo PIN serve a salvare in modo crittografato le informazioni del tuo profilo (contatti, appartenenza ai gruppi, impostazioni) su Signal e ti permette di recuperarle se necessario (maggiori informazioni in seguito). Puoi scegliere tu stesso un PIN Signal, che pu\u00f2 essere un codice numerico o alfanumerico. Signal non conosce questo PIN e non \u00e8 in grado di ripristinarlo.<\/p>\n\n\n\n

    Come gli hacker cercano di impossessarsi del tuo account Signal<\/h3>\n\n\n\n

    Ora che abbiamo una visione chiara di come funziona la procedura di registrazione su Signal, possiamo esaminare pi\u00f9 da vicino come funzionano effettivamente gli attacchi di phishing che cercano di appropriarsi del tuo account:<\/p>\n\n\n\n

    Per prima cosa, un malintenzionato prenderebbe un telefono, installerebbe l'app Signal e avvierebbe la procedura per registrare un nuovo account. Tuttavia, invece di inserire il proprio numero, inserirebbe il tuo numero di telefono per effettuare la registrazione. Per completare la registrazione, per\u00f2, ha bisogno del codice di verifica, che viene inviato al tuo numero. Il malintenzionato deve quindi trovare un modo per scoprire il codice di verifica, e deve farlo rapidamente affinch\u00e9 la tempistica non sembri sospetta.<\/p>\n\n\n\n

    Ecco perch\u00e9 inviano il messaggio di phishing alla vittima. Questi messaggi spesso fingono di provenire dal \u00abSupporto Signal\u00bb o dal \u00abSignal Security Chatbot\u00bb e di solito hanno un aspetto simile a questo (potrebbero anche essere tradotti nella tua lingua):<\/p>\n\n\n\n

    \"\"
    Messaggio di phishing falso che richiede il tuo codice di verifica<\/figcaption><\/figure>\n\n\n\n

    Questi messaggi di phishing possono variare leggermente, ma hanno pi\u00f9 o meno questo aspetto (esempi tratti dal sito web dell'FBI dedicato agli avvertimenti<\/a>):<\/p>\n\n\n\n

    \n

    \u201cGentile utente,
    Questo \u00e8 il chatbot dell'assistenza di sicurezza di Signal.
    Abbiamo rilevato attivit\u00e0 sospette sul tuo dispositivo che potrebbero aver causato una fuga di dati. Abbiamo inoltre rilevato tentativi di accedere ai tuoi dati privati su Signal. Per evitare che ci\u00f2 accada, devi completare la procedura di verifica inserendo il codice di verifica nel chatbot dell'assistenza di sicurezza di Signal. NON RIVELARE IL CODICE A NESSUNO, NEMMENO AI DIPENDENTI DI SIGNAL.\u201d<\/mark><\/p>\n<\/blockquote>\n\n\n\n

    \n

    \u201cTeam di sicurezza di Signal
    Ultimamente si sono moltiplicati i tentativi di hackerare gli utenti della nostra app di messaggistica tramite il collegamento di dispositivi di terze parti all'account.
    A tal proposito, Signal aggiorna i Termini di servizio e l'Informativa sulla privacy e introduce l'autenticazione a due fattori obbligatoria per gli utenti.
    Restate al sicuro e grazie per aver scelto la pi\u00f9
    sicura app di messaggistica con crittografia end-to-end.\u201d<\/mark><\/p>\n<\/blockquote>\n\n\n\n

    \n

    \u201cIl nostro sistema ha rilevato un recente tentativo di accesso al tuo account da un dispositivo o da una posizione non riconosciuti. Per motivi di sicurezza, abbiamo bloccato tale tentativo e inviato un codice di verifica via SMS al tuo numero di telefono registrato.
    Se NON sei stato tu:
    Per proteggere il tuo account e bloccare questo accesso non autorizzato, ti preghiamo di rispondere a questo messaggio indicando il codice di verifica che hai appena ricevuto.
    Se SEI stato tu:
    Puoi tranquillamente ignorare questo messaggio.
    Il tentativo di accesso verr\u00e0 approvato automaticamente a breve.
    Grazie per aiutarci a proteggere il tuo account.\u201d<\/mark><\/p>\n<\/blockquote>\n\n\n\n

    \n

    \u201cGentile utente,
    Questo \u00e8 il chatbot dell'assistenza di sicurezza di Signal. Un altro dispositivo Samsung Galaxy S10 \u00e8 stato collegato al tuo account.
    Localit\u00e0: Drohobych, Oblast' di Leopoli, Ucraina \u2013 IP: 178.212.97.211
    Se non sei tu, invia: \/Annulla\u201d<\/mark><\/p>\n<\/blockquote>\n\n\n\n

    \n

    \u201cGentile utente,
    Abbiamo rilevato attivit\u00e0 sospette sul tuo dispositivo che hanno causato una fuga di dati. Abbiamo inoltre rilevato tentativi di accedere ai tuoi dati privati su Signal. Per evitare che ci\u00f2 accada, ti chiediamo di completare una procedura di verifica che richieder\u00e0 meno di un minuto. Facci sapere non appena sei pronto. Cordiali saluti,
    Supporto di Signal\u201d<\/mark><\/p>\n<\/blockquote>\n\n\n\n

    A volte questi attacchi ti chiedono di inviare immediatamente il codice di verifica, altre volte invece vogliono prima ricevere una tua risposta generica, in modo che l'autore dell'attacco possa assicurarsi che tu sia online e disponibile prima di chiederti il codice di verifica.<\/p>\n\n\n\n

    A prescindere da come si evolvano gli attacchi, una cosa rimane invariata: non appena invii all'autore dell'attacco il codice di verifica che ricevi via SMS, questi ha tutto ci\u00f2 di cui ha bisogno. Conosceva gi\u00e0 il tuo numero di telefono e lo ha inserito durante la procedura di registrazione. Ma ora possiede anche il codice di verifica associato a quel numero. Signal presume che l'autore dell'attacco sia effettivamente il titolare del tuo numero di telefono (poich\u00e9 \u00e8 in possesso del codice di verifica) e gli consente di registrare il tuo numero.<\/p>\n\n\n\n

    Se la situazione si evolve come descritto, l'autore dell'attacco avr\u00e0 raggiunto il suo obiettivo. A questo punto sar\u00e0 in grado di assumere il controllo del tuo account Signal e potr\u00e0 iniziare a contattare altre persone su Signal fingendo di essere te. Ma c'\u00e8 una buona notizia:<\/p>\n\n\n\n

    1. L'autore dell'attacco non ha accesso ai tuoi vecchi messaggi e alle tue conversazioni. Non ha inoltre accesso alle informazioni del tuo profilo n\u00e9 alla tua rubrica (per ulteriori dettagli, consulta la sezione successiva dedicata al PIN di Signal). \u00c8 stato invece creato un account Signal completamente nuovo, associato al tuo numero di telefono.<\/p>\n\n\n\n

    2. Poich\u00e9 l'autore dell'attacco ha registrato il tuo account su un nuovo dispositivo, il cosiddetto \u201ccodice di sicurezza<\/a>\u201d delle tue conversazioni cambier\u00e0. Questo codice di sicurezza \u00e8 collegato a una chiave presente sul tuo dispositivo fisico e viene utilizzato per rilevare attacchi man in the middle<\/a>. Ci\u00f2 significa che tutti i tuoi contatti riceveranno una breve notifica nelle loro chat che li avviser\u00e0 di una modifica apportata al tuo account. Questo messaggio apparir\u00e0 nelle chat individuali con te e anche nei gruppi di cui entrambi fate parte.<\/p>\n\n\n\n

    \"\"
    Notifica di modifica del codice di sicurezza in una chat di Signal<\/figcaption><\/figure>\n\n\n\n

    Idealmente, noteranno questo cambiamento e inizieranno a insospettirsi. Ancora meglio, ti contatteranno tramite un altro canale (ad esempio via e-mail o per telefono) per chiederti conferma che ci sia una valida ragione per questo cambio di numero di sicurezza (ad esempio, se hai perso il vecchio telefono e ne hai preso uno nuovo).<\/p>\n\n\n\n

    Quello che non dovrebbero fare \u00e8 limitarsi a chiederti nella chat di Signal se va tutto bene. Infatti, dato che il tuo account \u00e8 ora sotto il controllo dell'hacker, questi potrebbe semplicemente rispondere che va tutto bene e inventarsi una scusa plausibile. Per evitare che ci\u00f2 accada, i tuoi amici possono farti una domanda di cui solo tu conosci la risposta giusta (ad esempio: \u00abDove ci siamo conosciuti?\u00bb o \u00abCome si chiama il mio cane?\u00bb).<\/p>\n\n\n\n

    3. Sul tuo telefono verrai immediatamente disconnesso dal tuo account Signal e vedrai un messaggio ben visibile che ti informer\u00e0 che non sei pi\u00f9 registrato su Signal, con un testo simile a questo:<\/p>\n\n\n\n

    \u00abQuesto dispositivo non \u00e8 pi\u00f9 registrato. Probabilmente perch\u00e9 hai registrato il tuo numero di telefono su Signal su un altro dispositivo\u00bb<\/em><\/p>\n\n\n\n

    Ti accorgerai quindi immediatamente di questo attacco e, dato che hai ancora il controllo del tuo numero di telefono, potrai registrarlo nuovamente su Signal, ricevere un nuovo codice di verifica via SMS e riprendere rapidamente il controllo del tuo account. A meno che l'autore dell'attacco non abbia tentato di modificare il numero di telefono associato al tuo account, ma torneremo su questo in un attimo<\/a>.<\/p>\n\n\n\n

    Nella prossima sezione vedremo pi\u00f9 da vicino cosa succede effettivamente quando un hacker riesce a prendere il controllo del tuo account e come i diversi scenari e le impostazioni di Signal contribuiscono a rendere pi\u00f9 difficile il suo compito.<\/p>\n\n\n\n

    2. Cosa succede se un hacker prende il controllo del tuo account?<\/h2>\n\n\n\n

    Lo scenario di attacco che abbiamo descritto nella sezione precedente era solo lo scenario pi\u00f9 semplice, che non comprendeva ancora il ruolo del PIN di Signal.<\/p>\n\n\n\n

    Come abbiamo gi\u00e0 spiegato nella nostra descrizione della procedura di registrazione su Signal, durante la registrazione ti viene chiesto di impostare un PIN Signal numerico o alfanumerico. Sebbene tu possa scegliere di non impostare alcun PIN (facendo clic sul menu con i tre puntini durante la registrazione), \u00e8 consigliabile utilizzare il PIN Signal e, gi\u00e0 che ci sei, impostarne uno sicuro. Ci\u00f2 consente a Signal di archiviare le informazioni del tuo profilo, la tua lista dei contatti, le appartenenze ai gruppi, le tue impostazioni e i contatti bloccati in forma crittografata sul server e di recuperarle per te quando registri nuovamente il tuo account.<\/p>\n\n\n\n

    Ci\u00f2 significa che se non hai impostato alcun PIN di Signal, oppure se un malintenzionato non conosce il tuo PIN di Signal, non potr\u00e0 mai accedere alle informazioni del tuo profilo, alle tue appartenenze ai gruppi o alla tua rubrica.<\/p>\n\n\n\n

    Scegliendo un Pin di Signal puoi anche attivare un efficace livello di protezione contro eventuali attacchi di phishing, abilitando un'impostazione di sicurezza di Signal denominata \u00abblocco registrazione\u00bb. Puoi abilitare il blocco registrazione nelle impostazioni della tua app Signal, nella sezione \u00abAccount\u00bb (se l'opzione non \u00e8 disponibile, dovrai prima impostare un PIN).<\/p>\n\n\n\n

    \"\"
    Impostazioni per il PIN di Signal e il blocco registrazione<\/figcaption><\/figure>\n\n\n\n

    Quando l'impostazione di blocco della registrazione \u00e8 abilitata (da notare che non \u00e8 abilitata di default), un malintenzionato che voglia registrare un account Signal con il tuo numero di telefono deve conoscere due cose:<\/p>\n\n\n\n