Alessandro FerrariTre milioni di utenti di Libero Mail sono nel mirino di una campagna di phishing segnalata dal CERT-AgID nel 2026: email false invitano a pagare fatture inesistenti, mentre messaggi smishing sfruttano i recenti disservizi del provider per sottrarre credenziali di accesso. Se utilizzi un account @libero.it o @virgilio.it, ecco cosa sta succedendo e cosa fare adesso.
Cosa sta succedendo con Libero Mail nel 2026?
Il CERT-AgID — l'agenzia governativa italiana per la cybersicurezza — ha emesso un'allerta formale su una campagna di phishing che colpisce gli utenti di LiberoMail. Le email, scritte in italiano corretto, imitano la grafica di Italiaonline e invitano le vittime a "saldare una fattura arretrata" di importi compresi tra 9,99€ e 49,99€. Il link presente nel messaggio porta a un sito falso che riproduce fedelmente la pagina di login di Libero Mail, pronta a catturare le credenziali di chiunque non noti la differenza nell'URL.
In parallelo, una seconda ondata di smishing sfrutta le interruzioni di servizio già subite da Libero negli ultimi anni. I messaggi SMS, apparentemente inviati dal provider, avvisano che l'account è stato "temporaneamente sospeso per verifica di sicurezza" e richiedono un clic per "sbloccare l'accesso". Il meccanismo è identico: clicchi, inserisci utente e password, i dati raggiungono immediatamente i criminali.
Libero Mail conta oltre 10 milioni di utenti registrati in Italia. Per molti è il punto di raccolta di decenni di comunicazioni: estratti conto bancari, conferme di acquisti online, documenti sanitari, accesso allo SPID. È proprio questa centralità a renderlo un bersaglio primario. Secondo i dati del CERT-AgID, nel 2025 le campagne che imitano provider email italiani sono aumentate del 34% rispetto all'anno precedente.
Come riconoscere un'email di phishing da Libero
Le email fraudolente in circolazione nel 2026 presentano caratteristiche ricorrenti. L'indirizzo del mittente imita il dominio ufficiale con piccole variazioni: noreply@liberomail-assist.it, fatturazione@libero-servizi.net o supporto@libero-account.com. Il link nel corpo del messaggio, pur mostrando un testo apparentemente legittimo, punta a domini registrati di recente come libero-sicurezza2026.com.
Italiaonline ha precisato in più occasioni che Libero Mail non chiede mai di confermare la password né di pagare fatture tramite link. Se ricevi un messaggio di questo tipo, è sempre phishing — indipendentemente da quanto sembri autentico.
Un esperto di sicurezza informatica può aiutarti a configurare filtri antiphishing, analizzare le intestazioni delle email sospette e impostare regole di monitoraggio per il tuo account. Come hanno scoperto molti utenti colpiti dalle truffe via SMS in Italia nel 2026, la prevenzione tecnica è molto più rapida — e molto meno costosa — della gestione del danno a posteriori.
Cosa succede davvero nelle 24 ore dopo aver cliccato
Questa è la domanda che la maggior parte degli utenti si pone solo dopo aver già inserito le credenziali. La risposta è più grave e più rapida di quanto si pensi.
Nel momento in cui inserisci utente e password su una pagina di phishing, i dati vengono trasmessi in tempo reale a un server esterno. Da quel momento trascorrono meno di 90 secondi prima del primo accesso non autorizzato. Gli aggressori procedono sistematicamente: attivano un inoltro silenzioso verso una casella esterna — così continuano a ricevere tutte le email anche se cambi la password — scandagliano l'inbox cercando conferme da banche, PayPal, Amazon e servizi SPID, e infine usano il tuo account per inviare nuovi attacchi a tutti i tuoi contatti.
Il tutto avviene mentre non noti nulla. In molti casi, l'utente si accorge del problema solo giorni dopo, quando arriva una notifica bancaria per un accesso anomalo o quando i contatti segnalano messaggi sospetti ricevuti "da te".
Disclaimer: questo articolo ha scopo puramente informativo. Per emergenze legate a frodi informatiche o accesso non autorizzato a sistemi o conti bancari, contatta immediatamente la Polizia Postale e il tuo istituto bancario.
Giovanna e la falsa fattura da 29,99€: un caso concreto
Giovanna ha 52 anni, abita a Torino e usa il suo account @libero.it da oltre vent'anni. A settembre 2026 riceve un'email con oggetto "Avviso di pagamento — importo in sospeso €29,99" firmata "Servizio Clienti Libero". Il layout è identico alle comunicazioni ufficiali del provider. Clicca sul link, inserisce le credenziali. La pagina si aggiorna a vuoto e Giovanna chiude la finestra pensando a un errore tecnico.
Ecco la proiezione di quanto accade se non interviene nelle successive due ore, basata sul modello d'attacco documentato dal CERT-AgID:
Entro 90 secondi dall'inserimento delle credenziali: accesso effettuato dall'estero. Un inoltro automatico verso un indirizzo esterno viene attivato in silenzio — tutte le email future arriveranno agli aggressori anche dopo un eventuale cambio di password.
Entro 30 minuti: l'inbox di Giovanna contiene la conferma della sua banca principale e una ricevuta Amazon recente. Gli aggressori avviano il processo di reset password su entrambe le piattaforme, con i codici di verifica che arrivano sulla casella Libero che ora controllano.
Entro 2 ore: se il reset del conto Amazon va a buon fine, le carte di credito salvate sono esposte. La Polizia Postale stima che gli ordini fraudolenti in questi scenari ammontano mediamente tra 150€ e 800€ per profili con carta salvata attiva. Se viene compromesso anche l'home banking, l'esposizione può essere significativamente più alta.
Entro 24 ore: tutti e 340 i contatti di Giovanna ricevono un'email "da lei" contenente un link fraudolento. La sua reputazione digitale — costruita in vent'anni di relazioni personali e professionali — viene usata come vettore di attacco.
Se invece Giovanna agisce entro 10 minuti — cambia subito la password da un dispositivo pulito, rimuove gli inoltri non autorizzati nelle impostazioni, cambia le password dei servizi collegati e revoca le sessioni attive — il danno si ferma all'accesso iniziale, senza conseguenze economiche. La finestra critica è quella prima ora. Chi non sa dove cercare il pannello degli inoltri nelle impostazioni Libero rischia di non notarlo mai, rendendo inutile qualsiasi password cambiata in seguito.
Come proteggere il tuo account Libero Mail: 5 azioni concrete
Queste cinque misure richiedono circa 20 minuti e riducono drasticamente la superficie di attacco:
1. Attiva la verifica in due passaggi (2FA): nelle impostazioni di sicurezza di Libero Mail, collega il tuo numero di telefono italiano. Anche con le credenziali in mano, un aggressore esterno non può accedere senza il codice SMS che arriva al tuo dispositivo.
2. Controlla gli indirizzi di inoltro attivi: vai in Impostazioni → Filtri e inoltro. Se trovi un indirizzo che non riconosci, eliminalo immediatamente e cambia la password. Questo passaggio viene saltato dalla grande maggioranza degli utenti — anche da chi ha già subito un attacco.
3. Aggiorna email e numero di recupero: devono essere attuali e accessibili. Se hai cambiato numero di telefono negli ultimi anni e non hai aggiornato il profilo Libero, in caso di blocco dell'account sei bloccato anche tu — senza assistenza rapida possibile.
4. Non riutilizzare la stessa password: il 62% degli italiani utilizza la stessa password per tre o più servizi diversi, secondo l'Osservatorio Cybersecurity del Politecnico di Milano. Se la password di Libero coincide con quella della banca o di PayPal, una singola violazione si moltiplica automaticamente su tutti gli account.
5. Segnala le email sospette al CERT-AgID: il servizio di segnalazione su cert-agid.gov.it è gratuito, richiede meno di due minuti e alimenta il database nazionale dei domini fraudolenti — contribuendo a bloccare la campagna per tutti gli altri utenti italiani.
Quando conviene consultare un esperto informatico?
Per un account strettamente personale, le cinque misure descritte sono sufficienti. Ma esistono situazioni in cui l'intervento di un professionista è necessario:
- Usi la casella Libero per la tua attività professionale o freelance, con contratti, fatture e dati di clienti nell'inbox
- Hai già subito un accesso non autorizzato e vuoi verificare che non esistano vettori di persistenza residui (inoltri nascosti, app collegate, sessioni su dispositivi sconosciuti)
- Il tuo account è collegato a sistemi aziendali o hai deleghe su caselle di terzi
- Ricevi notifiche di accesso da paesi stranieri e non sai come interpretarle o bloccarle
Come mostrano anche le analisi sulla sicurezza digitale in contesto professionale nel 2026, la soglia tra un rischio personale e un'esposizione professionale è spesso più sottile di quanto sembri. Un consulente informatico può analizzare i log di accesso del tuo account, identificare eventuali compromissioni pregresse e aiutarti a valutare se conviene mantenere Libero come provider principale o migrare verso soluzioni con standard di sicurezza più elevati.
Una consulenza preventiva — su Expert Zoom puoi trovare esperti di cybersecurity disponibili in tutta Italia — costa molto meno della gestione di un incidente già avvenuto.
