Come riconoscere le email di phishing: i segnali che contano davvero

Ecco un esempio inventato, scritto per questo articolo. I suoi indirizzi non sono raggiungibili e lo mostriamo solo perché tu possa esercitarti a leggerlo.

Esempio di messaggio di phishing, non reale
Da: "Assistenza Casella" <helpdesk@mail-storage-notice.example>
Oggetto: La tua casella è piena al 98%, i messaggi sono trattenuti

Gentile utente, 14 messaggi in arrivo non hanno potuto essere recapitati perché il tuo spazio è esaurito. Verifica il tuo account entro 24 ore per sbloccarli ed evitare la sospensione.
[Sblocca i miei messaggi]

Gli indizi sono il dominio del mittente, che non appartiene a nessuno con cui hai a che fare, un saluto che non conosce il tuo nome, una scadenza legata a una minaccia e un pulsante che vuole farti accedere. Non c'è nessun errore di ortografia, ed è la norma oggi. Per riconoscere le email di phishing devi controllare il vero indirizzo del mittente, leggere dove puntano davvero i link, trattare con sospetto le richieste inattese di password, denaro o apertura di file, e confermare ogni cosa importante per una via di cui ti fidi già, non tramite il messaggio.

Il phishing è un messaggio che si spaccia per una persona o un'organizzazione fidata per farti consegnare credenziali, pagare, installare un malware o rivelare informazioni utili per un attacco successivo. I consigli basati su grammatica sbagliata e loghi goffi sono invecchiati male, perché copiare il design di un marchio è banale e gli strumenti di traduzione e scrittura sono alla portata di tutti. Restano affidabili due cose: ciò che il messaggio ti chiede di fare e ciò che le prove tecniche dicono sulla sua provenienza.

Quali segnali meritano la tua attenzione

I campanelli d'allarme non pesano tutti allo stesso modo. Questa classifica è un giudizio basato sul funzionamento degli attacchi, non una statistica misurata, ma mostra dove spendere i pochi secondi di attenzione che hai.

Segnale	Quanto ti dice	Perché
Il link porta a un dominio che non è quello dell'organizzazione dichiarata	Molto alto	La discrepanza è il cuore del phishing di credenziali
L'email chiede una password, un codice monouso o il numero completo di una carta	Molto alto	I servizi legittimi non raccolgono questi dati via email
Coordinate di pagamento cambiate «con urgenza» via email	Molto alto	Lo schema tipico delle frodi via email aziendale
Il dominio del mittente non corrisponde all'organizzazione	Alto	I mittenti con domini simili o da caselle gratuite sono comuni
Archivio, file HTML o documento con macro inatteso	Alto	Modi frequenti per consegnare un malware o una finta pagina di accesso
DMARC fallisce per il dominio dichiarato	Alto	Prova forte di falsificazione, anche se un esito positivo dimostra poco
Forte urgenza o minacce	Medio	Frequenti nel phishing, ma anche i veri avvisi di sicurezza possono essere urgenti
Saluto generico	Medio	Lo usano le campagne di massa, mentre quelle mirate usano il tuo nome
Errori di ortografia e grammatica	Da basso a medio	Il phishing moderno è spesso curato, e la posta vera ha refusi
Logo o impaginazione sembrano strani	Basso	Copiare il design di un marchio richiede pochi minuti

Nota che la parte alta della tabella riguarda destinazione e richiesta, e quella bassa l'aspetto. Il cambio di mentalità più utile è smettere di chiedersi «sembra vero?» e iniziare a chiedersi «cosa vuole da me, e come posso verificarlo senza usare questo messaggio?»

Leggere correttamente un link

Se da questo articolo impari una sola abilità tecnica, che sia questa, perché il testo visibile di un link e la sua vera destinazione sono due cose completamente separate. Un pulsante con scritto «Accedi al tuo account» può puntare ovunque. Sul computer, passa il mouse sul link senza cliccare e leggi l'indirizzo che compare nella barra di stato o in un suggerimento. Sul telefono, tieni premuto il link per vederne l'anteprima, poi annulla.

Molti leggono gli indirizzi web da sinistra, e gli attaccanti contano su questo. La proprietà si decide all'estremità destra del nome host: il dominio registrato con la sua terminazione, subito prima della prima barra singola. Tutto ciò che sta a sinistra è un sottodominio che il proprietario può impostare con il testo che vuole. Tutto ciò che viene dopo la barra è un percorso, e anche quello può dire qualsiasi cosa. Prendi questi quattro esempi, di cui il secondo, il terzo e il quarto sono di fantasia:

• https://accounts.google.com/signin appartiene a Google, perché il dominio è google.com.
• https://accounts.google.com.secure-login.example/signin appartiene a secure-login.example. Il nome del marchio è solo un sottodominio.
• https://secure-login.example/accounts.google.com/ appartiene anch'esso a secure-login.example, con il marchio nel percorso.
• https://www.paypal.com@203.0.113.7/ usa un vecchio trucco. Tutto ciò che precede la @ viene trattato come nome utente, e la vera destinazione è l'indirizzo IP che la segue.

Qualche altro tipo di link dovrebbe farti rallentare. Gli abbreviatori di URL sono strani in un messaggio di un grande marchio, che non ha motivo di nascondere il proprio dominio. I link a generatori di moduli o a servizi di condivisione file che ti chiedono di «accedere per visualizzare un documento» sono i preferiti, perché le pagine di phishing sono spesso ospitate su piattaforme cloud legittime. Un nome di hosting affidabile nell'indirizzo quindi non significa che la pagina sia sicura. La domanda è se il dominio appartiene all'organizzazione con cui pensi di avere a che fare.

Nemmeno il lucchetto aiuta, in un senso o nell'altro. HTTPS ti dice che la connessione è cifrata, e i certificati gratuiti sono disponibili per tutti, criminali compresi. Una finta pagina bancaria con il lucchetto è una connessione cifrata con un ladro.

Diffida anche dei domini simili con caratteri internazionali. I domini possono usare caratteri di altri alfabeti identici alle lettere latine, come una «а» cirillica al posto di una «a» latina. I browser spesso li mostrano in una forma codificata che inizia con xn--, e vedere quel prefisso dove ti aspettavi un marchio familiare è un indizio utile.

Leggere il mittente

Le app di posta mostrano il nome visualizzato a caratteri grandi e spesso nascondono l'indirizzo, e il nome visualizzato è testo libero scelto dal mittente. Un messaggio che mostra «Team Account Microsoft» potrebbe arrivare da un dominio qualunque o da una casella compromessa a caso. Sul computer, passa il mouse sul nome o cliccalo. Sul telefono, toccalo per espanderlo. Poi guarda la parte dopo la @, tenendo presenti questi schemi (i domini qui sono a titolo di esempio):

• Caratteri scambiati, come rn al posto di m, o la cifra 1 al posto della lettera l.
• Parole aggiunte, come netflix-billing.example. I marchi raramente usano varianti con il trattino del proprio nome per la posta degli account.
• Una terminazione diversa, come yourbank.co dove ti aspetti yourbank.com.
• Una casella gratuita personale che dice di essere una banca, uno studio legale o il tuo amministratore delegato.

Poi controlla l'indirizzo di risposta. Un messaggio può mostrare una riga Da plausibile e impostare Reply-To sulla casella dell'attaccante, così la tua risposta va altrove. Molte app mostrano la destinazione quando premi Rispondi, quindi guarda prima di inviare.

Il controllo del mittente ha un limite chiaro: non dice nulla sugli account violati. Se la casella di un vero collega o fornitore è stata presa, l'indirizzo sarà perfetto. In quel caso la richiesta stessa è il tuo unico segnale, e questo ci porta al punto successivo.

Richieste che nessun mittente onesto fa via email

Alcune richieste sono sospette per quanto sia ben fatto il resto del messaggio. La tua password o il tuo PIN. Il codice monouso che hai appena ricevuto per SMS o tramite app. Il numero completo di una carta con il codice di sicurezza. Un pagamento con carta regalo o criptovaluta, o un bonifico su un nuovo conto. L'accesso remoto al tuo computer per un problema che non hai mai segnalato. File riservati o dati del personale inviati a un indirizzo esterno «per un controllo».

La richiesta del codice monouso merita di essere capita, perché sembra così innocua. Un attaccante che ha già la tua password fa partire un accesso, e questo ti manda un vero codice dal vero servizio. Poi ti scrive fingendosi l'assistenza e ti chiede di «confermare» quel codice. Chiunque ti chieda un codice che hai ricevuto sta cercando di accedere al posto tuo.

Anche gli enti pubblici sono una copertura frequente. L'IRS negli Stati Uniti, per esempio, dice di non avviare i contatti con i contribuenti via email per chiedere informazioni personali o finanziarie, e molte agenzie fiscali altrove pubblicano avvisi simili. Se pensi che un rimborso o una sanzione possano essere veri, digita tu l'indirizzo dell'agenzia e accedi da lì.

Perché anche le persone attente ci cascano

Il phishing prende di mira il comportamento più del software. I messaggi ben costruiti puntano a provocare una rapida reazione emotiva, così agisci prima e pensi dopo. L'urgenza è la leva più ovvia («account chiuso tra 24 ore»), insieme alla paura («accesso insolito», «azione legale in corso») e all'autorità, con un amministratore delegato, una banca o l'assistenza informatica come presunto mittente. Funzionano anche premio e curiosità, tramite rimborsi, vincite e «scopri chi ha visto il tuo profilo». Poi c'è la semplice disponibilità, per esempio quando un collega ha urgente bisogno che tu riveda un file.

La routine può essere la più forte di tutte. Una finta fattura, un avviso di consegna o un documento condiviso falsi somigliano a decine di quelli veri che gestisci ogni settimana, e sei meno attento proprio a ciò che fai col pilota automatico. Per questo l'obiettivo non è diffidare di ogni email, cosa che nessuno riesce a sostenere. L'obiettivo è accorgerti del momento in cui un messaggio chiede qualcosa di delicato e, in quel momento, passare dal reagire al controllare.

I tipi di attacco e cosa cambia con ciascuno

I nomi contano meno del sapere cosa fa ogni variante ai consigli precedenti. Alcune aggirano i controlli abituali.

Tipo	Cos'è	Cosa cambia per te
Phishing di massa	Messaggio generico inviato a elenchi enormi, come una casella piena o un pacco bloccato	Il più facile da individuare, perché raramente si adatta alla tua vita
Spear phishing	Su misura per te, con nomi e dettagli presi dai social o da dati di violazioni	I dettagli personali non dimostrano nulla
Whaling	Spear phishing rivolto ai dirigenti o a chi controlla il denaro	Un ruolo di rilievo ti rende un bersaglio
Business email compromise	Impersonare o prendere il controllo di un dirigente, fornitore o collega per dirottare denaro	Spesso senza link né allegato, così gli scanner non vedono nulla
Clone phishing	Una vera email precedente copiata e rinviata con il link o il file sostituito	Un contenuto familiare non è una prova
Thread hijacking	Rispondere dentro una conversazione vera da una casella compromessa	Il controllo del mittente viene superato
Quishing	Un codice QR sostituisce il link	Ti sposta sul telefono, lontano dalle protezioni del computer e dagli scanner di link
Consent phishing	Un'app dannosa chiede l'accesso in una schermata «Consenti» autentica	Non viene rubata nessuna password, e la pagina di accesso è vera
Callback phishing	Una finta fattura o un rinnovo indica un numero di telefono da chiamare	Non c'è nulla da cliccare, e la frode avviene durante la chiamata
Device code phishing	Ti viene chiesto di inserire un codice su una vera pagina di accesso, che autorizza il dispositivo dell'attaccante	Il controllo del dominio è superato, quindi l'indizio è la richiesta inattesa

Gli ultimi tre meritano una frase di consiglio pratico. Leggi l'elenco dei permessi in ogni schermata «Consenti l'accesso» e rifiuta se un'app sconosciuta vuole leggere la tua posta. Non chiamare mai un numero stampato su una fattura inattesa. E non inserire mai un codice in una pagina di accesso perché qualcuno in un'email o in una chat te lo ha detto, a meno che tu non abbia avviato quel processo di persona su un dispositivo che hai davanti.

Messaggi di esempio, commentati

Tutti i seguenti sono esempi inventati, basati su schemi ampiamente documentati. Nomi e domini sono di fantasia.

Esempio: il documento condiviso

Solo un esempio
Da: "Jordan (via Docs)" <jordan.m@partnerfirm-mail.example>
Oggetto: Jordan ha condiviso con te "Piano pagamenti T3"

Apri in Docs

Imita un avviso di condivisione, ma il mittente è un indirizzo esterno che non conosci, e il pulsante porta a una pagina che chiede la password della tua posta, spesso con una riga di loghi di provider. Le notifiche vere arrivano dal dominio della piattaforma stessa e si aprono in una sessione in cui sei già connesso. Se conosci un Jordan, chiedilo a lui. Qualunque cosa accada, non digitare la tua password in una pagina raggiunta da un'email di «file condiviso».

Esempio: il nuovo conto bancario del fornitore

Solo un esempio
Da: "Contabilità clienti" <ar@supplier-co.example>
Oggetto: R: Fattura 4471

Vi informiamo che le nostre coordinate bancarie sono cambiate a seguito di una verifica. Vi preghiamo di usare i nuovi dati del conto allegati per questo e per i pagamenti futuri. Il pagamento è scaduto, quindi vi chiediamo di procedere oggi stesso.

Qui potrebbe non esserci nessun link, e il messaggio potrebbe arrivare dalla vera casella del fornitore, compromessa, dentro una conversazione reale. Ogni controllo tecnico potrebbe risultare positivo. Il campanello d'allarme è la richiesta: un cambio delle coordinate di pagamento via email, con urgenza. Prima di pagare qualsiasi cosa, chiama il fornitore a un numero che hai già in archivio, non a uno presente nell'email o nella sua firma. Se i soldi sono già partiti, chiama subito la tua banca e chiedi del richiamo del pagamento, e negli Stati Uniti segnalalo su ic3.gov.

Esempio: la tassa sul pacco

Solo un esempio
Oggetto: Il tuo pacco è in attesa: tassa doganale non pagata

Abbiamo tentato di consegnare il tuo pacco. Per riprogrammare la consegna è richiesta una piccola tassa. Paga ora per evitare il reso al mittente.

La cifra piccola abbassa la guardia, e l'obiettivo sono i dati completi della tua carta, che possono poi servire per frodi più grosse. Segui le consegne con il numero che trovi nella pagina dell'ordine del negozio o nell'app ufficiale del corriere.

Esempio: il dirigente che è «in riunione»

Solo un esempio
Da: "Sam Rivera (CEO)" <sam.rivera.office@freemail.example>
Oggetto: piccolo favore

Sei disponibile? Ho bisogno che ti occupi di una cosa in modo riservato per un cliente. Sono in riunione, quindi solo email.

Una casella personale, una richiesta di segretezza e «solo email» insieme formano lo schema, e il seguito di solito chiede codici di carte regalo o un bonifico. Il messaggio in sé non contiene nulla da scansionare. Contatta il dirigente tramite la rubrica aziendale, la chat o il telefono, e avvisa l'IT.

Esempio: il codice QR

Solo un esempio
Oggetto: Aggiornamento richiesto dell'autenticazione a più fattori

Le tue impostazioni MFA scadono oggi. Scansiona il codice QR qui sotto con il telefono per registrarti di nuovo.

Le impostazioni dell'autenticazione a più fattori non scadono via email. Il codice ti sposta su un telefono, dove l'indirizzo è più difficile da controllare e le protezioni aziendali potrebbero non valere. Non scansionarlo. Chiedi all'IT, oppure guarda direttamente le impostazioni di sicurezza dell'account.

Esempio: il rimborso fiscale

Solo un esempio
Oggetto: Hai diritto a un rimborso fiscale

Dopo il calcolo annuale della tua attività, hai diritto a ricevere un rimborso. Invia il modulo entro 48 ore.

Un regalo inatteso più un modulo che chiede dati di identità e della carta. Vai al portale ufficiale digitandone tu l'indirizzo, oppure chiama il numero pubblicato dall'agenzia.

Esempio: l'avviso sull'account in parte vero

Solo un esempio
Da: "Sicurezza Account" <no-reply@secure-acct-center.example>
Oggetto: Azione richiesta: attività di accesso insolita

Abbiamo rilevato un tentativo di accesso da un nuovo dispositivo. Per mantenere attivo il tuo account, verifica la tua identità entro 24 ore. [Verifica ora]

I servizi veri mandano avvisi di accesso, quindi questa categoria richiede più attenzione delle altre. Qui il dominio è generico e il messaggio non nomina nemmeno il servizio. Non ragionarci dall'interno dell'email. Apri l'app del servizio o digita il suo indirizzo e guarda la pagina delle attività recenti. Se lì non risulta nulla, l'email era falsa. Questa abitudine funziona anche per gli avvisi veri, dato che compariranno anche lì.

Controllare le intestazioni quando hai dei dubbi

Le intestazioni contengono le prove tecniche della provenienza di un messaggio. In Gmail apri il menu con i tre puntini e scegli Mostra originale, che offre anche un breve riepilogo in cima. In Outlook sul web usa Visualizza, Visualizza origine messaggio. In Apple Mail usa Vista, Messaggio, Tutte le intestazioni.

Dietro ai risultati che vedrai ci sono tre standard. SPF permette a un dominio di pubblicare quali server possono inviare la sua posta, e chi riceve confronta il server mittente con quell'elenco. DKIM aggiunge una firma crittografica, verificata con una chiave pubblica nel DNS del dominio firmatario, che mostra che le parti firmate non sono state alterate e che il dominio se ne è assunto la responsabilità. DMARC li collega al dominio nella riga Da visibile, una proprietà chiamata allineamento, e dice ai riceventi cosa fare in caso di errore: niente, quarantena o rifiuto. Dal 2024 Google e Yahoo richiedono ai mittenti di grandi volumi di pubblicare un record DMARC, il che ha reso questi risultati più comuni.

Trova la riga che inizia con Authentication-Results:. Potrebbe essere così, in un esempio di fantasia:

Authentication-Results: mx.example.net; spf=pass smtp.mailfrom=bank.example; dkim=pass header.d=bank.example; dmarc=pass header.from=bank.example

Qui ogni controllo è superato e tutti i domini coincidono. Un messaggio falsificato potrebbe mostrare dmarc=fail, oppure un esito positivo per un dominio del tutto diverso da quello nella riga Da. Questa tabella spiega come interpretare ciò che trovi.

Risultato	Cosa significa	Cosa non significa
DMARC superato per il vero dominio del marchio	Inviato da quel dominio o per suo conto	Non esclude un account compromesso in quell'azienda
DMARC superato per un dominio simile	L'attaccante possiede quel dominio e lo ha configurato correttamente	Il messaggio non è sicuro, e questo è comune nel phishing
DMARC fallito per il dominio del marchio	Segno forte di falsificazione, o di un inoltro che ha rotto il controllo	Le mailing list e gli inoltri a volte rompono la posta vera
Nessun record DMARC	Il dominio non ha pubblicato nessuna politica	Da solo non prova nulla, ma falsificare quel dominio è più facile

La lezione è che l'autenticazione dice chi ha inviato il messaggio, mentre l'onestà è un'altra questione. Un'email con risultati perfetti da bank-resolution-center.example è comunque phishing. Il controllo combinato che ti serve è che il dominio autenticato sia l'organizzazione che pensi.

Le righe Received: registrano ogni server lungo il percorso, con il più recente in alto. Possono mostrare che un'email di una «banca locale» è partita da un server qualunque, ma tutto ciò che sta sotto il punto in cui il tuo provider ha preso in carico il messaggio può essere falsificato, quindi fidati solo delle voci aggiunte dai server del tuo provider. Per la maggior parte delle persone bastano la riga di autenticazione e il controllo del dominio.

Allegati e immagini in un'email di phishing

Gli allegati consegnano malware o portano a una finta pagina di accesso. I formati che richiedono più cautela sono gli archivi e le immagini disco come .zip, .rar, .7z, .iso e .img, i file HTML che aprono una finta pagina di accesso locale, i documenti Office che ti chiedono di «Abilitare il contenuto» o «Abilitare la modifica», le doppie estensioni come invoice.pdf.exe, gli script e i collegamenti come .js, .vbs, .lnk e .bat, e i PDF che contengono solo un pulsante o un codice QR. La nostra guida alla sicurezza degli allegati spiega come valutare ogni tipo e come aprire un file dubbio con meno rischi.

Le immagini sono più discrete. Un'immagine remota può dire al mittente che il tuo indirizzo è attivo, ed è così che si costruiscono gli elenchi di indirizzi «verificati». Spieghiamo come funziona, e quali impostazioni lo bloccano, nel nostro articolo sui pixel di tracciamento nelle email. È un piccolo motivo per impostare la tua app di posta in modo che chieda prima di mostrare le immagini esterne.

Più attenzione sul telefono

I telefoni rendono tutto questo più difficile. Lo schermo è piccolo, gli indirizzi sono nascosti per impostazione predefinita e le anteprime dei link richiedono una pressione prolungata. Alcune abitudini compensano. Tocca il nome del mittente per vedere l'indirizzo prima di fidarti di un messaggio. Tieni premuti i link invece di toccarli. Per banche, negozi e social network, apri l'app ufficiale invece di seguire qualsiasi cosa in un'email. Tratta con particolare dubbio i codici QR nelle email, dato che li scansioni con lo stesso dispositivo su cui stai leggendo. Se la fotocamera mostra un'anteprima dell'indirizzo prima di aprirlo, leggila come leggeresti qualsiasi link.

Gli stessi trucchi arrivano anche via SMS e app di messaggistica, di solito chiamati smishing, e una telefonata può seguire un'email per renderla più convincente, il che si chiama vishing. Chi ti chiama e cita l'email che hai appena ricevuto non ha confermato nulla, perché potrebbe averla mandata lui. Riattacca e chiama un numero che hai già.

Cosa fare con un messaggio sospetto

1. Non cliccare, non scaricare, non scansionare codici e non rispondere. Rispondere per chiedere «è vero?» raggiunge l'attaccante, che dirà di sì.
2. Controlla l'indirizzo del mittente e le destinazioni dei link come descritto sopra.
3. Verifica in modo indipendente. Apri l'app ufficiale o digita l'indirizzo. Chiama il numero sul retro della tua carta, su una fattura che hai già o nella rubrica aziendale.
4. Segnalalo al tuo provider. In Gmail il menu con i tre puntini ha Segnala phishing. In Outlook cerca sotto Segnala la voce Segnala phishing. Al lavoro usa il pulsante di segnalazione o segui le istruzioni del tuo team di sicurezza, e non inoltrare il messaggio ai colleghi per chiedere un parere, perché così diffondi l'esca.
5. Segnalalo all'organizzazione imitata se pubblica un indirizzo per il phishing nella sua pagina sulla sicurezza. Apple, per esempio, usa reportphishing@apple.com.
6. Usa un servizio pubblico di segnalazione, se ce n'è uno. Nel Regno Unito il National Cyber Security Centre riceve le email inoltrate a report@phishing.gov.uk. Negli Stati Uniti la FTC riceve le segnalazioni su reportfraud.ftc.gov. L'Anti-Phishing Working Group accetta messaggi inoltrati a reportphishing@apwg.org. Altri paesi hanno servizi simili, di solito tramite un'agenzia per la tutela dei consumatori o per i reati informatici.
7. Eliminalo dopo la segnalazione.

Se hai già cliccato

Cliccare è comune e di solito si rimedia. Non lasciare che l'imbarazzo ti faccia ritardare, perché qui la rapidità aiuta più di ogni altra cosa. Trova il caso qui sotto che corrisponde a ciò che è successo.

Hai cliccato e non hai inserito nulla

Chiudi la scheda e non scaricare nulla di ciò che la pagina offriva. Assicurati che browser e sistema siano aggiornati ed esegui una scansione di sicurezza se qualcosa si è scaricato da solo. Aspettati altri messaggi, perché il clic potrebbe aver confermato che il tuo indirizzo viene letto. Nella maggior parte dei casi finisce qui.

Hai inserito una password

1. Vai al vero sito digitando il suo indirizzo e cambia subito la password.
2. Cambiala ovunque tu abbia usato la stessa password o una simile. Se la password rubata era quella della tua posta, trattalo come urgente, perché la posta reimposta tutto il resto.
3. Esci dalle altre sessioni. In un account Google puoi controllare I tuoi dispositivi nella pagina della sicurezza e uscire da quelli che non riconosci, e i dettagli di Ultima attività dell'account in fondo alla posta in arrivo di Gmail mostrano gli accessi recenti. Altri servizi hanno un controllo simile.
4. Attiva l'autenticazione a due fattori, preferibilmente con una passkey, una chiave di sicurezza o un'app di autenticazione.
5. Cerca le modifiche che l'attaccante potrebbe aver fatto: email e telefono di recupero, regole di inoltro e filtri, app collegate, dispositivi sconosciuti.
6. Per un account di lavoro, avvisa subito l'IT. Gli attaccanti spesso usano una casella compromessa per fare phishing ai tuoi colleghi nel giro di poche ore.

La nostra guida su cosa fare dopo una violazione dei dati tratta la pulizia delle password più a fondo, dato che i passaggi si sovrappongono.

Hai inserito un codice o approvato una richiesta

Presumi che l'attaccante possa avere una sessione attiva. Cambia la password, esci da tutte le sessioni, controlla le impostazioni di sicurezza e avvisa l'IT se è un account di lavoro. I moderni kit «adversary-in-the-middle» passano il tuo accesso al sito vero mentre lo digiti e catturano il cookie di sessione che ne risulta. Ecco perché i codici monouso da soli non li fermano.

Hai inserito i dati di pagamento

Chiama subito la tua banca o l'emittente della carta, usando il numero sulla carta. Chiedi di bloccare la carta e di sorvegliare eventuali frodi, e controlla gli estratti conto nelle settimane successive. Se hai inserito anche dati di identità, verifica cosa offre il tuo paese. Negli Stati Uniti IdentityTheft.gov fornisce un piano di recupero, e le agenzie di credito offrono il blocco del credito.

Hai aperto un allegato o abilitato le macro

Scollega il dispositivo dalla rete se sospetti un malware, esegui una scansione completa e, al lavoro, contatta l'IT prima di fare qualsiasi altra cosa. Cambia le password importanti da un altro dispositivo, pulito.

Hai concesso l'accesso a un'app

Vai alle impostazioni di sicurezza del tuo account, trova l'elenco delle app di terze parti con accesso e rimuovi quella sconosciuta. Il solo cambio di password potrebbe non tagliare fuori un'app a cui è stato concesso l'accesso, quindi la rimozione viene prima. Poi cambia la password per precauzione e controlla le regole della tua casella.

Impostare le cose in modo che un errore costi meno

Non riuscirai a scoprire tutto ogni volta, soprattutto in una brutta giornata. Buone impostazioni predefinite fanno sì che una sola distrazione causi meno danni, e alcune fanno una parte del riconoscimento al posto tuo.

Le più forti sono le passkey e le chiavi di sicurezza hardware. La CISA, l'agenzia statunitense per la cybersicurezza, descrive l'autenticazione a più fattori resistente al phishing come lo standard di riferimento e indica FIDO e WebAuthn come la forma più diffusa. Queste credenziali sono legate al dominio vero, quindi semplicemente non funzionano su un sito falso, nemmeno su una copia perfetta. Le app di autenticazione fermano la maggior parte degli attacchi basati solo sulla password ma sono più deboli contro l'inoltro in tempo reale, quindi sono un buon passo e non l'ultimo. Se la tua banca o il tuo provider di posta offre le passkey, attivarle è probabilmente la cosa più preziosa che puoi fare dopo aver letto questo articolo.

Un gestore di password offre un secondo controllo, più silenzioso. Memorizza il dominio esatto per ogni password. Quando arrivi su una pagina simile e non propone nessun accesso salvato, quel silenzio è un avviso, e così si scoprono anche le pagine perfette al pixel. Non scavalcarlo copiando e incollando la password. C'è una piccola avvertenza: i gestori di password a volte non riconoscono un sito vero che ha cambiato il dominio di accesso. Quindi il silenzio significa «fermati e vai al sito digitandone l'indirizzo», non «questo è di sicuro falso».

Difesa	Cosa fa	Impegno
Passkey o chiavi hardware	Fermano il phishing di credenziali e gli inoltri in tempo reale, perché la credenziale è legata al dominio vero	Da basso a medio
Gestore di password con compilazione automatica	Si rifiuta di compilare su domini falsi e impedisce il riuso	Basso una volta configurato
App di autenticazione	Ferma la maggior parte degli attacchi basati solo sulla password	Basso
Protezioni del browser	Navigazione sicura di Chrome e SmartScreen di Edge avvisano su molte pagine dannose note	Di solito già attive
Aggiornamenti del software	Chiudono le falle sfruttate da file e pagine dannosi	Basso
Estensioni dei file visibili	Smascherano i trucchi con la doppia estensione	Una sola impostazione
Chiedere prima di caricare le immagini remote	Impedisce a molti pixel di confermare il tuo indirizzo	Una sola impostazione
Regola scritta di richiamata per i cambi di pagamento	Ferma la maggior parte delle frodi sulle fatture, qualunque aspetto abbia l'email	Un cambio di procedura
Limitare dove va il tuo vero indirizzo	Meno elenchi e violazioni lo contengono	Un'abitudine

Per un'azienda, la regola della richiamata è quella da mettere per iscritto. Le indicazioni dell'FBI sulle compromissioni via email e i consigli del settore bancario concordano sull'essenziale: conferma ogni cambio di istruzioni di pagamento fuori dall'email, usando un numero che hai già. Funziona perché non dipende dal fatto che qualcuno noti qualcosa, e dà al personale junior un motivo per dire «devo prima chiamare» a chi sembra essere il suo capo.

Tenere il tuo indirizzo principale fuori dagli elenchi

I phisher scrivono a indirizzi che hanno comprato, raccolto o preso da dati di violazioni. Ogni volta che dai il tuo vero indirizzo a un sito poco affidabile, c'è la possibilità che finisca in uno di quegli elenchi. Usare un indirizzo separato per le registrazioni occasionali riduce la frequenza con cui la tua casella principale viene presa di mira, e rende anche più facile giudicare la posta che resta, perché un messaggio sulla tua banca che arriva all'indirizzo dato solo alla tua banca ha più peso.

Una casella temporanea è un'opzione per il livello più basso, dove i termini del sito lo consentono. Con VookMail un indirizzo è pronto appena la pagina si carica, senza registrazione né password. Puoi premere Nuovo per scrivere un nome utente e scegliere tra più di 30 domini, oppure premere il pulsante giallo Casuale per un indirizzo casuale, che è la scelta più sicura perché chiunque conosca o indovini un indirizzo può aprire quella casella. Messaggi e allegati vengono eliminati dopo circa un giorno, quindi se l'indirizzo riceve in seguito del phishing, questo arriva in un posto scollegato da banca, lavoro e account principali.

Va bene per scaricare una risorsa, per una singola domanda su un forum o per provare un modulo che possiedi. Non va bene per gli account che devi tenere o recuperare, e mai per account bancari, pubblici, sanitari, di lavoro o social principali. Le FAQ trattano l'uso appropriato e l'informativa sulla privacy spiega come viene gestita la posta in arrivo.

I campanelli d'allarme valgono in qualsiasi casella, compresa una usa e getta. Anzi, un indirizzo temporaneo offre un test comodo: se un messaggio lì ti chiede di accedere alla tua vera banca o alla tua vera posta, è quasi certamente phishing, dato che non hai mai dato a quei servizi quell'indirizzo.

Convinzioni sbagliate che aiutano l'attaccante

• «Ha il lucchetto.» Significa cifrato, non onesto.
• «Il logo e il nome sono giusti.» Entrambi si copiano senza fatica.
• «La grammatica è perfetta.» Molte campagne oggi sono scritte bene.
• «Chiamo semplicemente il numero indicato nell'email.» Quel numero può portare dritto all'attaccante.
• «Arriva dall'indirizzo vero del mio collega.» Gli account vengono presi, quindi la richiesta va comunque verificata.
• «Ho cliccato, ma dirlo all'IT sarebbe imbarazzante.» Il silenzio dà più tempo agli attaccanti, ed è di solito la scelta più costosa di tutte.
• «Non ho nulla che valga la pena rubare.» La tua casella può reimpostare i tuoi altri account e può essere usata per fare phishing ai tuoi contatti.

Una checklist per il messaggio che hai davanti

Quando un'email ti chiede di fare qualcosa, queste domande richiedono meno di un minuto. Se una risposta ti preoccupa, fermati e verifica per un'altra via.

1. Me l'aspettavo?
2. Il vero indirizzo del mittente appartiene all'organizzazione dichiarata?
3. Dove portano davvero i link, leggendo il dominio da destra?
4. Chiede una password, un codice, un pagamento o un file?
5. Spinge su urgenza, paura, segretezza o un premio?
6. C'è un allegato inatteso, un codice QR o la richiesta di «abilitare il contenuto»?
7. Il mio gestore di password riconosce la pagina di accesso?
8. Posso verificarlo aprendo l'app o chiamando un numero noto?

Le domande più frequenti sul phishing

Posso essere hackerato solo aprendo un'email di phishing?

Con un'app di posta aggiornata, aprire un messaggio è in genere poco rischioso. Il pericolo viene dal cliccare sui link, inserire credenziali, aprire allegati, abilitare le macro o rispondere con informazioni. Aprire può confermare che il tuo indirizzo è attivo se le immagini si caricano, ed è uno dei motivi per bloccare le immagini remote.

Perché le email di phishing superano i filtri antispam?

Gli attaccanti registrano nuovi domini, inviano da account legittimi compromessi, ospitano le pagine su servizi cloud affidabili e cambiano di continuo le parole. Alcuni messaggi di phishing superano persino SPF, DKIM e DMARC perché arrivano da un dominio che l'attaccante controlla davvero.

Le email di phishing sono sempre piene di errori?

No. Molte sono scritte bene e identiche alle vere email dei marchi. Dedica la tua attenzione ai segnali tecnici e a ciò che viene richiesto.

Un'azienda vera mi ha mandato un link per accedere. È sempre phishing?

No. Le aziende mandano link legittimi e l'accesso può essere autentico. L'abitudine sicura vale in entrambi i casi: esci dall'email, apri tu il servizio e controlla se c'è qualcosa che richiede la tua attenzione. Perdi al massimo qualche secondo.

Un indirizzo usa e getta mi protegge dal phishing?

Riduce l'esposizione. Il phishing rivolto a quell'indirizzo finisce in una casella non collegata ai tuoi account veri e viene eliminato dopo circa un giorno. Non fa nulla per la posta che arriva nella tua casella principale, dove i controlli sopra valgono ancora.