Mondiali di calcio: fischio d’inizio anche per le truffe

I Mondiali di calcio sono appena iniziati ma i cybercriminali sono già al lavoro da mesi. Come difendersi.

Il Mondiale FIFA 2026 è partito, ma la partita più insidiosa, quella che gioca ogni appassionato e non si vede in TV,  è già cominciata da mesi. Mentre il mondo si preparava ai Mondiali di calcio, la più grande edizione mai organizzata, con 104 squadre (tranne l’Italia, sigh) e 16 città ospitanti tra Canada, Stati Uniti e Messico, i criminali informatici allestivano la loro infrastruttura parallela: siti falsi, profili fasulli, biglietti inesistenti, offerte di lavoro che non esistono… l’elenco delle truffe architettate è lungo. Non che si tratti di una novità assoluta, era accaduto già ai Mondiali 2022 in Qatar e alle Olimpiadi di Parigi 2024. Ma la scala, questa volta, è diversa.

13.000 siti in cinque mesi

Secondo i ricercatori di FortiGuard Labs, il laboratorio di threat intelligence di Fortinet, tra gennaio e maggio 2026 sono stati registrati oltre 13.000 nuovi domini a tema FIFA World Cup. Di questi, l’8,8% è risultato malevolo o sospetto – circa 1.150 siti progettati per ingannare, rubare dati, sottrarre denaro. Gli altri, nella migliore delle ipotesi, sono lì in attesa: registrati con nomi credibili, pronti ad attivarsi nel momento di maggiore traffico. L’obiettivo principale di questi siti è quello che i ricercatori chiamano “card not present fraud”: furto dei dati della carta di pagamento in assenza della carta fisica, attraverso pagine di checkout false che replicano graficamente le piattaforme ufficiali. Il meccanismo è collaudato – lo stesso visto in Qatar e a Parigi – e funziona perché sfrutta una vulnerabilità che non è tecnica ma psicologica: l’urgenza. Chi cerca un biglietto per un quarto di finale non ragiona come un analista di sicurezza: vuole assicurarsi il posto prima che sparisca. Ma quei pochi secondi di distrazione sono tutto ciò di cui i truffatori hanno bisogno.

Su Telegram circolano pacchetti viaggio completi di biglietti, hotel, trasporti, a prezzi allettanti, costruiti per sembrare offerte last minute credibili. Il link rimanda a un sito di biglietteria falso, la pagina di pagamento chiede i dati della carta, e la vittima riceve una fattura. Falsa, ovviamente, ma lo scoprirà solo davanti ai tornelli dello stadio.

Social, lavoro e streaming: le trappole parallele

I siti sono solo una parte del problema. Check Point Research ha identificato oltre 35 app di scommesse fraudolente pubblicate negli store – camuffate da software legittimo, progettate per raccogliere dati o far puntare denaro su piattaforme fantasma. FortiGuard Labs ha mappato 1.700 profili falsi sui social media collegati alla FIFA: il 90% su Facebook e Instagram, usati per diffondere offerte, link di phishing, disinformazione.  Su LinkedIn, i truffatori si fingono recruiter e pubblicano annunci per posizioni temporanee legate all’evento – logistica, ospitalità, supporto media – che rimandano a finti calendari di colloquio con siti di phishing incorporati. Non cercano soldi: cercano dati personali, credenziali, accesso. Su gruppi Telegram e Facebook chiusi compaiono link a servizi di streaming gratuiti, spesso accompagnati da un countdown e dalla richiesta di registrazione rapida o installazione di un player. Il player installa malware e lo streaming non inizia mai (a differenza dei problemi).

I tifosi italiani nel mirino

I numeri italiani aggravano il quadro: secondo un’analisi di NordVPN, il 7% degli utenti italiani è già caduto in trappole a tema calcio tra il 2024 e il 2025. Il 3% ha perso denaro – in media tra i 51 e i 150 euro per episodio – e il 61% di chi è stato colpito è stato raggirato più di una volta. I canali preferiti dai truffatori per raggiungere i tifosi italiani sono Telegram (38%) e Instagram (36%). Il problema non è solo la vulnerabilità tecnica: l’88% degli italiani dichiara di usare strumenti di protezione, ma nella maggior parte dei casi si tratta di antivirus tradizionali,  efficaci contro il malware noto ma molto meno contro il social engineering sofisticato che caratterizza queste campagne. L’autenticazione a due fattori, considerata fondamentale dagli esperti, è ancora largamente sottoutilizzata.

Come difendersi 

Le raccomandazioni dei ricercatori convergono su pochi principi semplici ma spesso ignorati nell’eccitazione del momento.

• Per i biglietti e i pacchetti ospitalità, l’unico canale ufficiale è On Location, partner FIFA per l’ospitalità, oppure direttamente gli hotel
• Il sito ufficiale FIFA usa esclusivamente il dominio fifa.com: qualsiasi variazione – fifa-tickets2026.com, fifaworldcup-official.net, e così via – è un segnale d’allarme immediato
• Se si compra online, meglio una carta di credito che una carta di debito: le tutele contro le frodi sono più solide.

Regola generale: se un’offerta crea urgenza, rallentare. L’urgenza è lo strumento principale del truffatore: un’offerta che scade tra cinque minuti, un link che funziona solo adesso, un posto che “stanno per prendere altri” sono tutti segnali costruiti per disattivare il senso critico. Prendersi trenta secondi per verificare il dominio, cercare recensioni, controllare che la pagina abbia un certificato SSL valido può fare la differenza. Per chi andrà fisicamente ai Mondiali, Check Point raccomanda di aggiornare sistema operativo e applicazioni prima di arrivare allo stadio, per chiudere le vulnerabilità note che gli hacker potrebbero sfruttare sulle reti pubbliche.

Si stima che il torneo più grande della storia del calcio valga circa 11 miliardi di dollari di indotto. È anche, per definizione, il più grande raduno di portafogli distratti dalla passione per la propria squadra e dall’adrenalina. I criminali informatici lo sanno meglio di chiunque altro, la loro partita non prevede mai la possibilità di perdere. Come italiani, abbiamo già mancato l’appuntamento con la gara: cerchiamo di non mancare quello con la tranquillità.