Che cosa cerca davvero di ottenere il phishing
Ogni email di phishing ha uno di tre obiettivi. Vuole che tu digiti una credenziale in una pagina controllata dal mittente, che tu esegua un file che gli dia un punto d'appoggio sul tuo dispositivo, oppure che tu compia un'azione: autorizzare un pagamento, modificare le coordinate bancarie di una fattura, dettare un codice dell'app di autenticazione.
Conoscere l'obiettivo aiuta, perché ti dice dove concentrarti. Il testo del messaggio è la parte che l'attaccante controlla completamente, quindi è l'elemento meno utile da giudicare. La destinazione di un link, il dominio reale del mittente e le istruzioni di pagamento sono molto più difficili da falsificare in modo convincente. Leggi prima quelli e lascia la prosa per ultima.
Il phishing moderno raramente contiene errori di ortografia. Il consiglio degli «errori evidenti» è superato. I gruppi organizzati scrivono in modo pulito, copiano le email transazionali autentiche parola per parola e rispondono perfino all'interno di conversazioni reali sottratte in precedenza. Giudica la struttura, non lo stile.
I dodici segnali
1. Il dominio dopo la @ non è esattamente quello giusto
Guarda la parte dell'indirizzo del mittente dopo l'ultima @ e confrontala con il dominio che digiteresti tu. Gli attaccanti registrano domini «vicini»: una parola in più (sicurezza-latuabanca-avvisi.com), un carattere sostituito (rn al posto di m), un'estensione diversa (.co invece di .com) o un sottodominio dall'aria legittima su un dominio che possiedono loro (latuabanca.supporto-clienti.net). La regola che regge in tutti i casi: leggi l'etichetta immediatamente prima dell'estensione finale e considera tutto ciò che sta alla sua sinistra come decorazione scelta dal mittente.
2. Il nome visualizzato e l'indirizzo non coincidono
I programmi di posta mostrano un nome amichevole che il mittente scrive liberamente. «Assistenza clienti» può stare davanti a qualsiasi indirizzo. Sul telefono l'indirizzo è spesso nascosto del tutto finché non tocchi il nome. Fai diventare un riflesso l'espansione dell'indirizzo reale prima di agire su qualunque cosa riguardi denaro.
3. Il Reply-To punta altrove
Un messaggio può essere inviato da un indirizzo e configurato silenziosamente in modo che la tua risposta finisca a un altro. È il cuore della frode sulle fatture: la mail sembra provenire da un fornitore, ma la risposta arriva in una casella controllata dall'attaccante. Quasi tutti i client desktop mostrano il Reply-To nei dettagli del messaggio o nelle intestazioni.
4. Il testo del link e la sua destinazione sono due cose diverse
Il testo visibile in un'email è solo testo. «www.latuabanca.it» può puntare ovunque. Passa il mouse sopra il link su computer, oppure tienilo premuto su telefono, per vedere l'anteprima della destinazione reale prima di impegnarti — i dettagli sono nella sezione successiva.
5. Impone una scadenza
Ventiquattro ore per confermare. Chiusura del conto oggi stesso. Un rimborso che scade. L'urgenza da sola non è prova di frode, ma è l'ingrediente più diffuso in assoluto, perché chi ha fretta non verifica. Quando percepisci pressione, tratta quella sensazione stessa come l'allarme.
6. Chiede qualcosa che nessuna organizzazione dovrebbe chiedere
Password complete, PIN della carta, codici usa e getta, screenshot dell'app di autenticazione, frasi di recupero di un portafoglio di criptovalute o il controllo remoto del tuo schermo. Non esiste alcuno scenario legittimo in cui il personale di assistenza abbia bisogno di queste cose. Una richiesta del genere chiude la conversazione.
7. Il saluto è generico in un contesto in cui non dovrebbe esserlo
La tua banca conosce il tuo nome. Un generico «Gentile Cliente» da un servizio che ti chiama sempre per nome è un'incongruenza che vale la pena notare. Il contrario però non rassicura: un saluto personalizzato dimostra solo che il mittente aveva il tuo nome, spesso pubblico o proveniente da una violazione di dati.
8. Il messaggio è interamente un'immagine
Alcune email di phishing sono un'unica immagine con un'area cliccabile, così da aggirare i filtri basati sul testo. Se non riesci a selezionare nessuna parola con il cursore, insospettisciti.
9. Arriva fuori contesto
Un avviso di consegna per un pacco che non hai ordinato. Un codice di reimpostazione password che non hai richiesto. Una fattura da un'azienda con cui non hai mai avuto rapporti. La posta fuori contesto è un tentativo di phishing oppure il segnale che qualcuno sta già sondando uno dei tuoi account — e il secondo caso richiede un cambio di password, non un clic.
10. Modifica le coordinate di pagamento
«Abbiamo cambiato conto corrente, per questa fattura usa i dati qui sotto.» Questa singola frase è responsabile di perdite enormi nelle piccole imprese. I cambi di coordinate bancarie si verificano al telefono, su un numero che avevi già, con una persona che conosci già. Mai solo via email.
11. Il piè di pagina è sottilmente sbagliato
Numeri di partita IVA, indirizzi fisici e link di disiscrizione sono di solito copiati da un modello autentico, ma controlla se l'indirizzo corrisponde all'azienda che conosci e se i link interni puntano allo stesso dominio del resto del messaggio.
12. Semplicemente, qualcosa non torna
Un fornitore che non scrive mai di domenica. Un responsabile che di solito usa frasi complete e all'improvviso non ne usa nessuna. Una conversazione che salta i saluti abituali. La familiarità è una prova reale. Se un messaggio ti dà una sensazione strana, quell'istinto vale dieci minuti di verifiche.
Come ispezionare un link in sicurezza
Guardare dove porta un link non equivale a visitarlo. Fallo prima di ogni clic che comporti un accesso.
- Su computer: appoggia il cursore sul link senza cliccare e leggi l'indirizzo che compare in basso nella finestra.
- Su telefono: tieni premuto il link finché non compare il pannello di anteprima, leggi l'indirizzo e poi chiudilo.
- Leggi da destra a sinistra: individua l'estensione finale e poi la parola immediatamente precedente. Quella coppia è il vero proprietario del sito. Tutto ciò che viene prima, per quanto rassicurante, è stato scelto da chi ha registrato il dominio.
- Diffida degli accorciatori di link: un link accorciato nasconde la destinazione per costruzione. In un messaggio che ti chiede di accedere a un account, è già motivo sufficiente per fermarsi.
L'abitudine più sicura non è l'ispezione, è la sostituzione. Non cliccare affatto. Apri l'app o digita tu l'indirizzo. Se il tuo account ha davvero bisogno di attenzione, l'avviso ti aspetterà lì dentro. Questa singola abitudine neutralizza la maggior parte del phishing, comprese le imitazioni ben fatte che superano ogni controllo visivo.
Allegati: quali meritano sospetto
| Allegato | Perché piace agli attaccanti | Risposta sensata |
|---|---|---|
| .zip, .rar, .7z, .iso, .img | Nasconde il vero tipo di file agli antivirus e a te | Non aprirlo se non stavi aspettando esattamente quel file |
| .exe, .msi, .scr, .bat, .cmd, .js | Esegue codice direttamente sul tuo computer | Mai aprirli da un'email, senza eccezioni |
| File Office che chiedono di «Abilitare il contenuto» | Quel pulsante attiva le macro, che possono eseguire codice | Non abilitarle; verifica con il mittente per telefono |
| .html o .htm | Apre una finta pagina di login salvata in locale, così non compare nessun dominio sospetto | Elimina e accedi invece dal sito vero |
| PDF con un grande pulsante «Visualizza documento» | Il pulsante è un link a una pagina che raccoglie credenziali | Leggi la destinazione del link prima di cliccare |
La domanda di fondo è più semplice dell'estensione del file: me lo aspettavo? Un allegato inatteso da un contatto conosciuto merita un messaggio su un altro canale: le caselle compromesse scrivono a tutta la propria rubrica.
Quando l'email conosce il tuo nome
Il phishing mirato — spesso chiamato spear phishing — usa dettagli presi da profili pubblici, siti aziendali e vecchie violazioni di dati. Può citare il tuo responsabile, fare riferimento a un progetto reale o arrivare nel momento più plausibile, per esempio durante un vero acquisto immobiliare. Poiché il contesto è corretto, il consiglio generico di «stare attenti» non basta. Usa una regola invece di un giudizio:
- Qualsiasi richiesta di spostare denaro, cambiare coordinate di pagamento o condividere credenziali si verifica su un secondo canale, chiunque sembri chiederlo.
- Il secondo canale usa recapiti che avevi già, mai quelli contenuti nel messaggio.
- Le richieste insolite da persone di vertice sono proprio quelle da controllare. I dirigenti veri se lo aspettano. La pressione a «non fargli perdere tempo» è costruita ad arte.
Una routine che funziona sempre
Non puoi analizzare ogni messaggio come un perito. Non serve. Dividi la posta in due gruppi: i messaggi che non ti chiedono nulla e i messaggi che vogliono un clic, un file, un codice o un pagamento. Solo il secondo gruppo va esaminato, e con tre sole domande:
- L'ho iniziato io? Se no, l'onere della prova sta al mittente.
- Che cosa vuole che io faccia? Dillo ad alta voce. «Vuole che scriva la mia password in una pagina che non ho scelto io» suona diverso da «conferma i tuoi dati».
- Posso compiere quell'azione per la mia strada? Se sì — e quasi sempre lo è — prendi la tua strada e ignora del tutto il messaggio.
Se hai già cliccato
Agire in fretta conta molto più che sentirsi in imbarazzo. Nell'ordine:
- Se hai inserito una password, cambiala subito sul sito vero — e cambiala ovunque l'avessi riutilizzata. È il riutilizzo che trasforma un errore in cinque.
- Attiva l'autenticazione a due fattori su quell'account se non è già attiva, poi controlla sessioni e dispositivi collegati e disconnetti tutto ciò che non riconosci.
- Se hai approvato un codice o una notifica, dai per scontato che l'attaccante sia entrato. Controlla indirizzi email di recupero, numeri di telefono e regole di inoltro: gli attaccanti li aggiungono per mantenere l'accesso anche dopo il cambio password.
- Se hai inserito i dati della carta, chiama il numero antifrode della banca usando il recapito stampato sulla carta e chiedi il blocco e la riemissione.
- Se hai aperto un allegato, scollega il dispositivo dalla rete, esegui una scansione completa con un software di sicurezza affidabile e fatti aiutare prima di accedere da quel dispositivo a qualcosa di importante.
La nostra checklist di recupero riporta gli stessi passaggi in modo più dettagliato, incluso come e dove segnalare.
Non interagire mai «per capire meglio». Rispondere, chiamare il numero indicato o cliccare «disiscriviti» comunica al mittente che il tuo indirizzo è seguito da una persona reale: questo ne aumenta il valore e la quantità di messaggi che riceverai. Segnala il messaggio tramite il tuo provider di posta ed eliminalo.