Il phishing resta il modo più semplice per entrare nella vita digitale di una persona o di un'azienda. Non serve un attacco sofisticato: basta un messaggio credibile che convinca qualcuno a inserire una password su una pagina falsa o ad aprire un allegato. La buona notizia è che quasi ogni email di phishing lascia tracce riconoscibili, se sai dove guardare.
Perché il phishing funziona ancora
Chi scrive un'email truffa non punta sulla tecnica, ma sul comportamento. Sfrutta tre leve molto umane: la fretta ("il tuo account verrà sospeso entro 24 ore"), l'autorità ("ufficio amministrazione", "banca", "corriere") e la curiosità ("hai ricevuto un documento condiviso"). Quando una di queste leve è attiva, tendiamo a saltare i controlli che faremmo a mente fredda. Il primo consiglio, quindi, è culturale: un'email che mette pressione merita più attenzione, non meno.
I segnali da controllare, uno per uno
1. Il mittente reale
Il nome visualizzato può essere qualsiasi cosa: "Servizio Clienti Poste" non significa nulla. Quello che conta è l'indirizzo completo dopo la chiocciola. Diffida di domini che imitano quelli autentici con piccole variazioni: lettere scambiate, trattini aggiunti, estensioni insolite, parole come "secure" o "verifica" inserite nel dominio. Sullo smartphone l'indirizzo è spesso nascosto: tocca il nome del mittente per vederlo per intero.
2. I link
Prima di cliccare, passa il mouse sopra il link (sul telefono, tieni premuto) e leggi l'indirizzo di destinazione. Il testo del pulsante può dire "Accedi alla tua area riservata" e portare altrove. Leggi il dominio partendo da destra verso sinistra fino al primo punto singolo: in un indirizzo come banca.it.accesso-sicuro.com, il dominio vero è accesso-sicuro.com, non la banca.
3. Gli allegati
File compressi, documenti Office che chiedono di "abilitare il contenuto", file con doppia estensione (per esempio fattura.pdf.exe) o immagini disco sono vettori classici. Una fattura che non aspettavi, da un fornitore che non conosci, non va aperta: va verificata.
4. La richiesta
Nessuna banca, nessun servizio serio ti chiederà via email di comunicare la password, il codice OTP o il PIN della carta. Se il messaggio ti chiede di "confermare i dati" tramite un link, è già un indizio forte.
5. Il contesto
Chiediti: mi aspettavo questa email? Ho davvero un pacco in arrivo? Uso davvero quel servizio? Molte truffe vengono inviate in massa e colpiscono chi, per caso, ha davvero un rapporto con il marchio imitato. Il contesto plausibile non basta a rendere autentico un messaggio.
Errori ortografici: un indizio che sta scomparendo
Per anni si è detto di guardare gli errori di grammatica. Oggi molte campagne sono scritte in un italiano corretto, anche grazie agli strumenti di traduzione e generazione automatica del testo. Gli errori restano un indizio quando ci sono, ma la loro assenza non dimostra nulla. Meglio basarsi su mittente, link e richiesta.
Un esempio concreto
Immagina di ricevere questo messaggio: "Gentile cliente, abbiamo rilevato un accesso anomalo al tuo conto. Per evitare il blocco, verifica la tua identità entro oggi cliccando qui". Il mittente mostra il nome della tua banca, ma l'indirizzo termina con un dominio sconosciuto. Il link punta a una pagina che riproduce perfettamente il sito della banca. Tre segnali insieme: urgenza, richiesta di credenziali, dominio non ufficiale. La mossa giusta è chiudere l'email, aprire l'app della banca o digitare l'indirizzo a mano, e controllare da lì se c'è davvero un avviso.
Cosa fare se hai un dubbio
- Non cliccare e non rispondere. Rispondere conferma che l'indirizzo è attivo.
- Verifica da un canale indipendente: app ufficiale, sito digitato a mano, numero di telefono preso dal retro della carta o dal contratto, non dall'email.
- Segnala il messaggio come phishing nel tuo client di posta: aiuta i filtri a riconoscerlo per tutti.
- In azienda, avvisa chi gestisce l'IT: se il messaggio è arrivato a te, probabilmente è arrivato anche ai colleghi.
E se hai già cliccato?
Non è il momento di vergognarsi, ma di agire in fretta. Se hai inserito una password, cambiala subito dal sito ufficiale e cambiala anche ovunque l'avessi riutilizzata. Se hai dato dati della carta, chiama la banca e fai bloccare la carta. Se hai aperto un allegato, scollega il dispositivo dalla rete e chiedi supporto tecnico prima di continuare a usarlo. Attiva l'autenticazione a due fattori sull'account coinvolto, se non l'avevi già fatto: rende molto più difficile sfruttare una password rubata.
Abitudini che riducono il rischio
- Usa un password manager: compila le credenziali solo sul dominio corretto, quindi su un sito falso non suggerisce nulla. È un ottimo campanello d'allarme.
- Accedi ai servizi importanti dai preferiti o dall'app, mai dai link ricevuti.
- Mantieni attivi i filtri antispam e non spostare automaticamente in arrivo i messaggi segnalati come sospetti.
- Prenditi dieci secondi prima di cliccare quando un messaggio ti mette fretta.
In sintesi
- Il phishing sfrutta fretta, autorità e curiosità: la pressione è già un segnale.
- Controlla sempre l'indirizzo reale del mittente e la destinazione dei link.
- Nessun servizio serio chiede password, OTP o PIN via email.
- Verifica da un canale indipendente, mai dai contatti presenti nel messaggio.
- Se hai cliccato, cambia subito le password e attiva la verifica in due passaggi.