Individua le false offerte di brand e ambassador verificando in modo indipendente il mittente e controllando contratto, pagamenti, link e allegati.
Per valutare una proposta sospetta di collaborazione con un brand, verificala tramite un canale che hai trovato autonomamente, non usando link, numeri o contatti forniti nel messaggio. Controlla il dominio completo del mittente e considera segnali d'allarme l'urgenza, le commissioni anticipate, le richieste di carte regalo o criptovalute, le richieste di password o codici di verifica, i download sconosciuti e le promesse di guadagni elevati senza contratto. Finché la verifica non è completa, non cliccare, non aprire allegati, non pagare e non condividere dati.
I truffatori non si spacciano soltanto per aziende piccole o sconosciute. Possono copiare il logo, la foto di un dipendente, il linguaggio di una campagna e un dominio simile a quello di un'azienda conosciuta. Potrebbero anche contattarti da un vero account social che è stato compromesso. Un badge di verifica, una grafica curata o un saluto personalizzato, quindi, non sono di per sé una prova.
La Federal Trade Commission statunitense mette in guardia in particolare i creator dalle false offerte di «brand ambassador manager», che sfruttano un brand noto, prodotti gratuiti e compensi elevati per ottenere dati personali o bancari. Il consiglio principale è verificare la proposta e contattare l'azienda usando informazioni di cui sai, indipendentemente, che sono legittime.
Segnali d'allarme comuni
| Segnale | Perché è rischioso | Risposta più sicura |
|---|---|---|
| Il nome visualizzato è quello di un brand, ma l'indirizzo completo usa un servizio email gratuito o un dominio simile | I nomi visualizzati si copiano facilmente | Controlla ogni carattere e verifica tramite il sito ufficiale del brand |
| «Rispondi oggi o perdi l'opportunità» | Impedisce di fare verifiche | Chiedi tempo e fermati finché la verifica indipendente non è completa |
| Devi pagare prima spedizione, assicurazione, iscrizione o attivazione | In genere un creator non dovrebbe pagare per ricevere un incarico | Non pagare e chiedi conferma all'azienda tramite il suo canale ufficiale |
| Carta regalo, criptovaluta, bonifico o richiesta di restituire una parte di un assegno | Sono pratiche comuni nelle truffe con pagamenti irreversibili e assegni falsi | Interrompi la conversazione e conserva le prove |
| Ti chiedono password, codice di backup, codice di autenticazione a due fattori o approvazione dell'accesso | Tentativo di prendere il controllo dell'account | Non condividere mai dati di autenticazione con un partner |
| Archivio protetto da password, file eseguibile, documento con macro o app sconosciuta | Potrebbe installare malware o rubare una sessione | Non aprirlo; chiedi una pagina verificata o un normale PDF |
| Guadagni straordinari, ma nessuna attività definita | L'entusiasmo prende il posto dei dettagli commerciali | Chiedi per iscritto deliverable, diritti, revisioni e calendario dei pagamenti |
| Ti chiedono di passare subito a una chat esterna alla piattaforma | Potrebbero voler eludere registrazioni e controlli | Completa la verifica tramite email aziendale e un canale ufficiale |
Un singolo segnale d'allarme non dimostra sempre che si tratti di una truffa. Per esempio, un'azienda molto piccola potrebbe usare un servizio email gratuito. Più segnali dovrebbero aumentare il livello di rischio e un'offerta che non può essere verificata in modo indipendente va rifiutata. La paura di perdere un'opportunità conta meno della protezione del tuo account e del tuo denaro.
1. Controlla il mittente completo, non il nome visualizzato
Vedere «GlobalBrand Partnerships» sullo schermo non significa che l'email provenga da GlobalBrand. Leggi l'indirizzo completo dopo il simbolo @. Cerca lettere sostituite, un trattino in più, un'estensione insolita o un indirizzo lungo, costruito per mettere il vero nome del brand prima del dominio di qualcun altro. In brand.example-security.com, il dominio effettivo è example-security.com; «brand» all'inizio non prova nulla.
Google consiglia di verificare che il nome del mittente e l'indirizzo corrispondano, passare il puntatore sui link per confrontare l'URL visualizzato con quello di destinazione e prestare attenzione agli avvisi relativi ai messaggi sospetti. Anche un dominio aziendale non è una prova definitiva, perché una casella email autentica potrebbe essere stata compromessa. Digita tu stesso nel browser l'indirizzo del sito noto del brand e usa i contatti pubblicati.
2. Verifica tramite un canale indipendente del brand
Non usare il numero di telefono, il link o la presunta pagina del manager indicati nel messaggio. Anche gli annunci nei risultati di ricerca e le pagine clonate possono trarre in inganno: preferisci un sito ufficiale noto o un profilo aziendale verificato. Basta un breve messaggio:
«Ho ricevuto un'offerta per [campaign] da [name/address]. Sto verificando in modo indipendente la persona e la campagna prima di aprire qualsiasi link.»
Se l'azienda dichiara di non aver inviato l'offerta, interrompi i contatti. Se nessuno risponde, l'offerta resta non verificata. Se è coinvolta un'agenzia, conferma il rapporto con l'agenzia tramite il brand oppure verifica il dipendente tramite un canale aziendale dell'agenzia che hai trovato autonomamente.
3. Chiedi dettagli concreti sul lavoro
Un'offerta legittima non si limita a complimenti e a una cifra. Deve essere possibile definire:
- Obiettivo della campagna, brand e prodotto,
- Numero e formato dei deliverable,
- Canale e calendario di pubblicazione,
- Limite di revisioni e processo di approvazione,
- Riutilizzo organico, diritti per i media a pagamento, durata e territorio,
- Esclusiva di categoria,
- Compenso, fattura o registrazione del pagamento, valuta e calendario,
- Obblighi di trasparenza pubblicitaria e referente responsabile,
- Condizioni di cancellazione, ritardo e controversie.
Questi dettagli non dimostrano automaticamente che l'offerta sia legittima, ma una richiesta di dati identificativi o bancari prima ancora di definire l'incarico comporta un rischio elevato. Consulta la nostra guida al brief per le collaborazioni con i brand per definire l'incarico e la nostra guida a pagamenti sicuri e imposte per il processo di pagamento.
4. Valuta link e allegati come una decisione di sicurezza a sé
Un file chiamato «brief», «visualizzatore del media kit», «codec video», «risorse del brand» o «contratto» può essere dannoso anche se il messaggio sembra convincente. Non eseguire file eseguibili, non installare estensioni del browser sconosciute, non abilitare macro nei documenti e non aprire archivi protetti da password provenienti da mittenti non verificati. Chiudi qualsiasi pagina che ti chieda di accedere ai social media solo per leggere un contratto.
Chiedi un formato più sicuro: una pagina sul dominio aziendale verificato, un normale PDF o un sistema contrattuale riconosciuto. Anche una pagina autentica di un documento nel cloud può contenere un link esterno dannoso. Non risolvere i dubbi chiedendo a un collega di cliccare: invia l'URL come testo o uno screenshot a chi si occupa della sicurezza.
5. Rifiuta le formule di pagamento che capovolgono l'incarico
In una collaborazione, il creator svolge il lavoro concordato e riceve il pagamento secondo contratto. Fermati se il presunto brand ti chiede di pagare prima per «sbloccare la spedizione», «iscriverti al programma ambassador», acquistare un prodotto scontato o attivare tasse o assicurazione. In una truffa con assegno falso, potrebbero inviarti una somma eccessiva e chiederti di trasferire la differenza; la banca potrebbe mostrare i fondi come provvisori prima di respingere l'assegno in un secondo momento.
La FTC afferma che un potenziale datore di lavoro onesto non ti invierà un assegno chiedendoti di restituirne una parte o di acquistare carte regalo. Gli obblighi fiscali e di fatturazione legittimi non si assolvono inviando denaro per l'attivazione a un portafoglio personale.
6. Non accettare mai che l'accesso al tuo account sia una condizione della collaborazione
Un brand può chiedere dati aggregati di Insights, ma non ha bisogno della tua password. Usa uno screenshot datato, uno strumento ufficiale per le partnership o un accesso con autorizzazioni adeguatamente limitate. Non condividere mai password, codici SMS, codici dell'app di autenticazione, codici di backup, link di recupero o approvazioni sul dispositivo.
Meta afferma che Instagram non invia messaggi diretti nell'app riguardo a problemi relativi all'account e permette agli utenti di consultare nelle impostazioni le email ufficiali di Instagram ricevute negli ultimi 14 giorni. Se una «campagna del brand» ti dice che devi risolvere un problema di copyright, apri le impostazioni della piattaforma direttamente, senza seguire il link ricevuto.
7. Usa un semplice punteggio di rischio in modo coerente
Questo punteggio non dimostra legalmente che si tratti di una truffa; aiuta un creator o un team a prendere decisioni coerenti e ripetibili.
| Controllo | 0 punti | 1 punto | 3 punti |
|---|---|---|---|
| Mittente | Verificato tramite un canale ufficiale | Agenzia o dominio non ancora verificati | Dominio simile o identità incoerente |
| Pressioni | Tempo ragionevole per valutare | Urgenza non necessaria | Minaccia o richiesta di agire immediatamente |
| Denaro | Pagamento contrattualizzato a tuo favore | Calendario poco chiaro | Commissione anticipata, carta regalo, criptovaluta o trasferimento di denaro da restituire |
| Accesso | Nessuna richiesta di password | Richiesta eccessiva di dati | Password, codice 2FA o link di accesso |
| File | Documento standard verificato | Link cloud sconosciuto | File eseguibile, file cifrato o estensione |
- 0–2: Procedi solo dopo aver esaminato l'incarico e il contratto.
- 3–5: Fermati e verifica il brand in modo indipendente.
- 6+ o qualsiasi 3 critico: Non cliccare, pagare o condividere dati; rifiuta e segnala.
Un punteggio basso non è una garanzia, soprattutto se il brand non ha confermato la proposta.
Misura il tuo processo di sicurezza
| Misura mensile | Calcolo | Finalità |
|---|---|---|
| Tasso di verifica indipendente | Offerte confermate in modo indipendente / offerte portate avanti | Ridurre le decisioni affrettate |
| Tasso di interruzione prima delle perdite | Offerte sospette interrotte prima della condivisione di dati o del pagamento / offerte sospette | Verificare che i controlli intervengano in tempo |
| Tempo di segnalazione dell'incidente | Dal primo sospetto alla segnalazione alla piattaforma/autorità | Migliorare il processo di risposta |
| Copertura dell'autenticazione a due fattori | Account critici con 2FA / tutti gli account critici | Ridurre l'impatto della compromissione degli account |
| Completezza delle prove | Incidenti per cui sono conservati intestazione, mittente, URL, data e screenshot / tutti gli incidenti | Migliorare la qualità delle segnalazioni |
Ogni mese, aggiungi a un elenco di avvisi per il team esempi anonimizzati di domini, tipi di file e formule che mettono pressione. Non diffondere dati personali e non condividere URL dannosi come link cliccabili.
Checklist in dieci punti per le offerte
- Ho controllato l'indirizzo email completo e il dominio, non solo il nome visualizzato.
- Ho contattato il brand senza usare il link del messaggio.
- Un canale aziendale indipendente ha confermato la persona e la campagna.
- Deliverable, diritti, revisioni e pagamento sono indicati per iscritto.
- Non ci sono commissioni anticipate, carte regalo, criptovalute o trasferimenti da restituire.
- Non vengono condivisi password, codici 2FA, codici di backup o approvazioni sul dispositivo.
- Non vengono aperti allegati, estensioni o pagine di accesso sconosciuti.
- L'entità contraente e il soggetto che paga sono coerenti.
- Il brief specifica chi è responsabile degli obblighi di trasparenza pubblicitaria.
- Sono conservati la corrispondenza, le intestazioni delle email, il contratto e le registrazioni delle verifiche.
E se hai già cliccato?
Chiudi la pagina, non eseguire i file scaricati e controlla le sessioni attive nelle impostazioni di sicurezza dell'account, anche se non hai inserito una password. Se hai fornito una password o un codice, cambiala usando un dispositivo affidabile, termina le altre sessioni, ripristina l'autenticazione a due fattori e aggiorna ogni altro account che usa la stessa password. Proteggi prima la posta elettronica, perché spesso è la chiave di recupero degli account social.
Se hai fornito denaro o dati bancari, contatta tempestivamente la tua banca usando il numero ufficiale. Prima di eliminare qualsiasi cosa, conserva screenshot, indirizzo completo del mittente, URL, data/ora e informazioni sul pagamento; segnala l'account alla piattaforma. In caso di una perdita concreta in Türkiye, segui le procedure di segnalazione aggiornate pubblicate dalla Divisione per la criminalità informatica della Polizia nazionale turca e dalle autorità competenti. Questi passaggi generali non sostituiscono una consulenza legale o forense specifica per l'incidente.
Nota legale ed etica
Accusare pubblicamente una persona o un'azienda prima di aver verificato i fatti può danneggiare un dipendente innocente o il titolare di un account compromesso. Conserva le prove, informa il brand in modo indipendente e segnala la situazione tramite la piattaforma o l'autorità competente. Non pubblicare dati identificativi, bancari o personali contenuti in un contratto. Se l'offerta è legittima, la relazione commerciale richiede comunque una comunicazione trasparente; la nostra guida di agosto 2026 alle diciture pubblicitarie per influencer illustra le verifiche da effettuare attualmente prima della pubblicazione.
Domande frequenti
Un'email aziendale dimostra che un'offerta è autentica?
No. Un dominio simile può sembrare aziendale e una casella email autentica può essere stata compromessa. Verifica l'offerta separatamente tramite il canale ufficiale dell'azienda.
Il brand vuole che paghi prima la spedizione. È normale?
Consideralo un serio segnale d'allarme. Non inviare mai denaro a un conto personale, a una carta regalo o a un indirizzo di criptovaluta, e non pagare alcuna commissione di «attivazione» prima di una verifica indipendente.
È sicuro inviare un media kit?
Puoi condividere un'email aziendale pubblica e dati aggregati sulle prestazioni. In questa prima fase, non inviare indirizzo di casa, documento d'identità, password, codice 2FA o dati bancari non necessari.