Email phishing: come riconoscerla e prevenirla
Cos'è il phishing?
Il phishing è un messaggio falso che si spaccia per un mittente affidabile, con lo scopo di sottrarti dati, password o denaro. Il mittente finge di essere la tua banca, un tuo fornitore, un corriere o perfino un collega, e cerca di farti fare qualcosa che normalmente non faresti.
La parola viene da “fishing”, pescare: viene lanciata un'esca e l'aggressore spera che tu abbocchi. A volte si tratta di email di massa scritte male; a volte di messaggi imitati con cura e rivolti a una sola persona o azienda. Una spiegazione più ampia del concetto la trovi nella pagina su cos'è il phishing.
Ne incontrerai diverse varianti. Nel phishing classico la stessa email falsa va a migliaia di indirizzi contemporaneamente, nella speranza che qualcuno ci caschi. Nello spear phishing l'email è mirata a te o alla tua azienda, con nomi e dettagli veri, e per questo sembra molto più credibile. E nella truffa del CEO il mittente si spaccia per il capo o per un fornitore noto, con una richiesta urgente di effettuare un pagamento. Più l'attacco è mirato, più è difficile da riconoscere, e quindi più conta una routine di controllo fissa.
Perché è importante riconoscere il phishing
Un solo clic sbagliato può avere grandi conseguenze: un conto in banca svuotato, una casella violata o un ransomware che tiene in ostaggio tutta la tua amministrazione. Per una PMI o uno studio non si tratta solo di soldi, ma anche di fiducia: se la tua casella viene usata in modo illecito, i tuoi clienti ricevono all'improvviso messaggi falsi a tuo nome.
Il phishing, inoltre, è il trampolino verso altri problemi. Con una password rubata gli aggressori possono leggere la tua posta, falsificare fatture o usare il tuo dominio per truffare altri. Per questo riconoscere le email false non è un lusso, ma igiene quotidiana, come chiudere a chiave la porta.
Come riconoscere un'email phishing
Davanti a un messaggio sospetto, passa in rassegna questi segnali. Spesso ne salta subito all'occhio più di uno.
- L'indirizzo del mittente non torna del tutto. Il nome visualizzato sembra vero, ma l'indirizzo dietro è un dominio strano o scritto in modo leggermente sbagliato. Apri sempre l'indirizzo completo.
- Ti mettono fretta. “Il tuo account verrà bloccato entro 24 ore” oppure “paga ora per evitare una sanzione.” L'urgenza serve a farti agire senza pensare.
- Il link porta da un'altra parte. Passa con il mouse sul link (senza cliccare) e guarda dove porta davvero. Se è diverso dal testo, stai in guardia.
- Un saluto impersonale o un po' strano. “Gentile cliente” dove ti aspetteresti il tuo nome, oppure formulazioni bizzarre ed errori di ortografia.
- Un allegato inatteso. Soprattutto i file che devi “abilitare” o eseguire sono sospetti.
- Una richiesta di dati. Le organizzazioni vere raramente ti chiedono via email password, PIN o i dati completi della carta.
- L'offerta è troppo bella. Un rimborso, un premio o un'eredità inattesi sono quasi sempre un'esca.
Hai dubbi? Non passare dall'email, ma accedi direttamente tramite l'indirizzo che digiti tu, oppure chiama l'organizzazione a un numero che cerchi tu stesso.
A cosa fare attenzione
- Guarda oltre il nome visualizzato. Gli aggressori falsificano facilmente il mittente visibile. Ciò che viene inviato a nome del tuo dominio rientra nel tema prevenire lo spoofing.
- Non fidarti di un messaggio solo per il logo. Loghi e grafica aziendale si copiano in un attimo.
- Fai particolare attenzione alle richieste di fatture e pagamenti. Se un fornitore cambia “all'improvviso” il suo IBAN, telefona per verificare.
- Non inserire credenziali tramite un link ricevuto per email. Vai sempre tu sul sito.
- Hai cliccato comunque? Cambia subito la password, attiva l'autenticazione a due fattori (2FA) e avvisa il tuo provider o il responsabile IT. Prima lo fai, minore è il danno.
- Fanne un'abitudine, senza panico. Non devi essere sospettoso con ogni email; alcuni riflessi fissi (aprire il mittente, controllare i link, telefonare quando ci sono di mezzo soldi) intercettano quasi tutto senza darti lavoro in più.
Una regola pratica utile: non lasciarti guidare da quanto un messaggio sembra vero, ma da ciò che chiede. Se un'email ti chiede di accedere, pagare o scaricare qualcosa, rallenta sempre di un passo e verifica tramite un canale che scegli tu. È proprio quel passaggio in più a togliere la pressione su cui conta il phishing.
Un buon filtro antispam blocca già molto phishing prima che ti raggiunga. Se invece è la posta legittima a finire nello spam, è un altro problema; lo trovi in perché le email finiscono nello spam.
E con Mailflux
Con Mailflux ogni piano filtra con il machine learning contro spam, phishing e malware, e include di serie antivirus, antispam e antimalware. Così buona parte delle email false viene fermata prima di comparire nella tua posta in arrivo. Nei piani con protezione premium quell'antimalware fa un passo in più.
Ottieni email professionale con il tuo dominio, ospitata in Europa e conforme al GDPR, con backup automatici e autenticazione a due fattori opzionale. Il filtro intercetta molto, ma la tua attenzione resta l'ultima e la migliore difesa, e le due cose si rafforzano a vicenda.
FAQ
Domande frequenti
Qual è il segnale più rapido che un'email è phishing?
Controlla l'indirizzo completo del mittente, non solo il nome visualizzato. Se il dominio non torna o è scritto in modo leggermente sbagliato, è un segnale forte. Se si aggiungono urgenza e un link sospetto, la probabilità di phishing è alta.
Cosa devo fare se ho cliccato su un link di phishing?
Mantieni la calma e agisci in fretta. Cambia subito la password dell'account interessato, attiva l'autenticazione a due fattori e segnalalo al tuo provider o al responsabile IT. Se hai aperto un allegato, fai controllare il dispositivo per i malware e tieni d'occhio i tuoi conti.
Un filtro antispam può bloccare del tutto il phishing?
Un buon filtro blocca molto phishing, ma nessun filtro è efficace al cento per cento. Gli aggressori adattano di continuo i loro trucchi. Per questo la combinazione di un filtro robusto e di utenti attenti resta la più sicura: la tecnica ferma la massa, tu fermi l'eccezione.