Il Mondiale di calcio 2026 inizia in questi giorni tra Stati Uniti, Canada e Messico, e con lui è già partita la stagione delle truffe a tema. L'FBI ha diffuso un avviso pubblico sui siti che imitano il portale ufficiale FIFA, mentre i ricercatori di Group-IB hanno contato circa 19.000 domini contenenti riferimenti a "fifa" registrati da gennaio 2026, di cui diverse migliaia chiaramente fraudolenti o "parcheggiati" in attesa di essere attivati al momento giusto.
Le trappole più diffuse
Lo schema classico resta il sito clone: i criminali registrano domini quasi identici a quelli ufficiali, modificando un carattere o l'estensione, per vendere biglietti inesistenti e raccogliere nome, indirizzo, telefono, email e dati bancari delle vittime. Ma l'ecosistema è molto più ampio e include negozi di merchandising contraffatto, finte lotterie FIFA che promettono premi fino a 2 milioni di dollari e piattaforme di scommesse fasulle che chiedono scansioni del passaporto e selfie, materiale perfetto per i furti di identità.
La minaccia tecnicamente più insidiosa riguarda però lo streaming pirata: app e siti che, dietro un piccolo abbonamento per vedere le partite, installano malware bancario sul dispositivo. Una volta attivo, il malware sfrutta i servizi di accessibilità del telefono per sovrapporre false schermate di login a quelle delle app bancarie reali, registra ciò che viene digitato, intercetta i codici usa e getta via SMS e dalle app di autenticazione e può controllare lo schermo da remoto.
Come difendersi
La regola di base è acquistare biglietti e abbonamenti solo dai canali ufficiali FIFA e dei broadcaster, digitando l'indirizzo manualmente invece di seguire link arrivati via email, social o messaggistica. Diffidare di sconti improbabili e di lotterie mai giocate, evitare app di streaming fuori dagli store ufficiali e attivare l'autenticazione a più fattori sui conti bancari. Per le aziende, il consiglio è monitorare i domini che abusano del proprio marchio e sensibilizzare i dipendenti: durante i grandi eventi sportivi il phishing a tema è tra i vettori più efficaci, e l'ondata durerà per tutta l'estate.
