Riconoscere il phishing: cos'è e come individuarlo
Cos'è il phishing?
Il phishing (si pronuncia come “fishing”) è una forma di truffa via email, SMS o chat. Il mittente “pesca” qualcosa di tuo: una password di accesso, un pagamento, i tuoi dati bancari o l'accesso ai tuoi sistemi. Il messaggio si presenta come proveniente da qualcuno di cui ti fidi, così clicchi o rispondi senza pensarci.
La maggior parte del phishing è un lavoro di massa: lo stesso messaggio falso va a migliaia di persone contemporaneamente, nella speranza che una parte ci caschi. Esiste anche il phishing mirato (a volte chiamato “spear phishing”), in cui un aggressore adatta un messaggio a te o alla tua azienda, con il tuo vero nome o quello di un collega. È più difficile da riconoscere, perché sembra personale.
Riconoscere il phishing: i segnali
Raramente è un solo dettaglio a tradire un'email falsa; è la somma a far suonare il campanello d'allarme. Passa in rassegna questi segnali:
- Il mittente non torna del tutto. Il nome visualizzato può sembrare vero, ma l'indirizzo email dietro è diverso: un dominio strano, caratteri in più o il nome di un'azienda scritto in modo leggermente sbagliato. Clicca sul nome del mittente per vedere l'indirizzo completo.
- Il link porta da un'altra parte. Passa con il mouse su un link (senza cliccare) e guarda dove porta davvero. Se è diverso dal testo, o se è un indirizzo web strano, stai in guardia.
- Ti mettono fretta. “Il tuo account verrà bloccato entro 24 ore”, “paga ora o riceverai una sanzione”. Pressione e minacce servono a farti agire in fretta e senza pensare.
- La richiesta è inattesa. Una fattura che non aspettavi, un reset della password che non hai chiesto, un capo che all'improvviso chiede per email un pagamento urgente. L'inatteso è un motivo per ricontrollare.
- Il contenuto “non torna” del tutto. Un saluto strano (“Gentile cliente” senza il tuo nome), un linguaggio impacciato, errori di ortografia o un logo leggermente fuori posto.
- Ti chiedono informazioni sensibili. Una vera banca o un vero servizio non ti chiede mai per email la password completa o il PIN.
Altri esempi di email di phishing spiegati nel dettaglio ti aiutano a riconoscere lo schema ancora più in fretta.
Come funziona il phishing
Un attacco di phishing di solito si svolge in tre fasi. Prima l'esca: un messaggio credibile che imita un mittente fidato. Poi l'amo: un link a un sito falso identico alla vera schermata di accesso, oppure un allegato che contiene malware. Infine il bottino: se inserisci i tuoi dati sul sito falso, finiscono direttamente all'aggressore.
Per sembrare affidabili, i truffatori sfruttano spesso il nome di un'azienda vera. Possono anche falsificare il nome del mittente, così un'email sembra arrivare da qualcuno che conosci: si chiama spoofing. Come evitare che qualcuno invii email a nome del tuo dominio lo leggi in prevenire lo spoofing.
Negli ultimi anni colpisce quanto il phishing possa sembrare curato. Se un tempo un'email falsa era piena di errori, oggi spesso sembra professionale, con loghi corretti e un linguaggio scorrevole. Non fidarti quindi ciecamente del fatto che “sembra vera”. Conta la somma dei segnali e il buon senso: mi aspetto questo messaggio, il mittente torna, mi stanno mettendo sotto pressione? Queste domande ti proteggono meglio dell'aspetto di un'email.
A cosa fare attenzione
Oltre al saperlo riconoscere, contano le tue abitudini. Alcune regole pratiche che ti risparmiano tante seccature:
- Non cliccare, vai tu. Non ti fidi di un messaggio della tua banca o di un servizio? Allora non passare dal link, ma digita tu l'indirizzo nel browser o usa l'app ufficiale.
- Verifica tramite un altro canale. Un collega o un fornitore ti chiede per email un pagamento urgente o un IBAN modificato? Fai una telefonata. Una sola chiamata evita la maggior parte dei danni.
- Non aprire allegati inattesi. Soprattutto file zip o documenti che “devi abilitare”. Se hai dubbi, non aprirli.
- Non inserire mai le credenziali dopo aver cliccato un link in un'email. Nemmeno il codice 2FA. Un servizio vero non ti obbliga a farlo tramite un'email.
- Ci sei cascato comunque? Cambia subito la password interessata (e ovunque usavi quella stessa password), attiva l'autenticazione a due fattori (2FA) e segnalalo al responsabile IT o all'ente coinvolto. Agire in fretta limita il danno.
E con Mailflux
Non devi fermare il phishing da solo. Con Mailflux un filtro basato sul machine learning contro spam, phishing e malware è incluso di serie in ogni piano: molti messaggi falsi vengono fermati prima di arrivare nella tua posta in arrivo. Il sistema continua a imparare, quindi cresce insieme ai nuovi trucchi.
In più ogni piano include antivirus e antimalware; con Pro e Premium ottieni l'antimalware premium per uno strato di protezione in più contro gli allegati dannosi. E dato che invii email con il tuo dominio, con alcuni accordi tecnici (SPF, DKIM, DMARC) puoi contribuire a evitare che i truffatori abusino del tuo nome. Di più in email con il tuo dominio. Un filtro intercetta molto. La tua attenzione fa il resto.
FAQ
Domande frequenti
Qual è la differenza tra phishing e spam?
Lo spam è pubblicità non richiesta o posta di massa: fastidioso, ma di solito non direttamente dannoso. Il phishing è un inganno mirato che vuole rubarti dati, denaro o accessi. Un filtro antispam intercetta entrambi, ma il phishing è più pericoloso perché cerca deliberatamente di indurti a compiere un'azione.
Ho cliccato su un link di phishing. E adesso?
Niente panico, ma agisci in fretta. Se non hai ancora inserito nulla, di solito non è successo niente di grave. Chiudi la pagina. Se invece hai inserito dei dati, cambia subito quella password (e ovunque l'hai riutilizzata), attiva la 2FA e avvisa il responsabile IT o il servizio interessato.
Un filtro antispam può bloccare tutto il phishing?
No, nessun filtro intercetta tutto. Un buon filtro basato sul machine learning ferma la grande maggioranza, ma il phishing mirato o nuovo a volte passa. Per questo la tua attenzione resta indispensabile: controlla mittente e link e sii critico con le richieste inattese o urgenti.