Immagina una piccola tipografia alle 18:40 di un venerdì sera. Arriva un'email dal fornitore di carta che il negozio paga ogni mese, nella stessa conversazione dell'ordine del mese scorso. Dice «Fattura aggiornata in allegato, da elaborare prima del weekend», e l'allegato si chiama Invoice_4471.zip. Il fornitore è vero e la conversazione è vera. Ma questo fornitore ha sempre mandato semplici PDF, nessuno in tipografia aspettava una rettifica, e di solito in quell'azienda gli addetti alla contabilità non scrivono il venerdì sera.
La mossa giusta è lasciare quel file chiuso finché qualcuno del fornitore non lo conferma a un numero di telefono che il negozio ha già. Come regola generale, un allegato è ragionevolmente sicuro quando te lo aspettavi, il mittente è verificato e il tipo di file è coerente con la storia. Merita un sospetto serio quando anche una sola di queste condizioni non regge, e il pericolo di solito comincia quando esegui, estrai o «abiliti» qualcosa, non quando leggi il messaggio. Gran parte di questo articolo spiega come fare in fretta questi tre giudizi e come limitare i danni quando non ci riesci.
Analizziamo la fattura del venerdì
L'esempio qui sopra è utile perché il consiglio abituale non funziona. «Non aprire file di sconosciuti» non aiuta quando il mittente è qualcuno che paghi. Guarda quindi cosa è cambiato davvero. Il formato è cambiato, da PDF ad archivio compresso. È cambiato il momento. Il messaggio spinge ad agire prima di un weekend, quando nessuno può controllare facilmente. Ognuna di queste cose potrebbe avere una spiegazione innocente, ma insieme bastano per fermarsi e verificare.
Poi c'è una possibilità a cui il titolare potrebbe non pensare: il messaggio potrebbe arrivare davvero dalla casella del fornitore. I criminali che entrano in un account rispondono spesso dentro conversazioni già esistenti, perché una vecchia conversazione porta una fiducia che un messaggio a freddo non ha. Si chiama thread hijacking. Significa che un indirizzo mittente corretto e un oggetto familiare non chiariscono nulla, ed è per questo che il controllo finale deve avvenire fuori dall'email.
Una sequenza sensata per il titolare sarebbe:
- Non rispondere al messaggio per chiedere se è autentico. Se la casella è compromessa, la risposta va a chi gestisce la truffa.
- Cerca il numero del fornitore su una vecchia fattura cartacea, sul contratto o nella rubrica del telefono. Non usare il numero nella firma dell'email.
- Fai una domanda semplice: «Avete inviato stasera una fattura corretta?» Se l'ufficio è chiuso, la fattura può aspettare lunedì. Un vero fornitore accetterà un pagamento di lunedì molto più volentieri di quanto lo farebbe un criminale.
- Se il fornitore ha un portale online, accedi digitandone tu l'indirizzo e guarda se la fattura compare lì.
- Se la risposta è no, avvisa il fornitore che la sua casella potrebbe essere compromessa, poi segnala ed elimina il messaggio.
Lo stesso esempio ha una variante più discreta che nessuno scanner individuerebbe. L'allegato potrebbe essere un normale PDF pulito di una fattura del tutto reale con un solo dettaglio alterato: il conto bancario. Non c'è nessun malware e il file è innocuo per il tuo computer, eppure i soldi vanno comunque nel posto sbagliato. Ogni cambio dei dati di pagamento merita la stessa telefonata, qualunque sia il formato del file.
Cosa cerca di fare un allegato dannoso
Gli allegati restano popolari tra gli attaccanti per un motivo semplice. I servizi di posta non possono rifiutare ogni file, perché le persone devono scambiarsi fatture, curriculum, contratti e foto, e chi riceve apre il file di sua scelta. Un file dannoso di solito punta a uno di quattro risultati, e sapere quale permette un dato formato è gran parte dell'abilità.
- Esegue codice direttamente. Un programma o uno script parte quando ci fai doppio clic e ha gli stessi permessi che hai tu.
- Convince un'altra applicazione a eseguire codice, usando macro, oggetti incorporati o una falla nel software.
- Ti manda altrove. Un PDF o un documento contiene solo un pulsante che porta a una finta pagina di accesso, quindi il file può essere pulito mentre la destinazione è l'attacco.
- Raccoglie ciò che digiti. Un allegato HTML si apre nel browser come pagina locale che imita una schermata di accesso e manda la tua password a qualcun altro.
Una foto JPEG in un visualizzatore aggiornato non può fare da sola nessuna delle prime tre cose. Un file di collegamento di Windows può eseguire una riga di comando mostrando l'icona di un documento. Questa differenza tra i formati spiega la tabella qui sotto.
Tipi di file, classificati per ciò che possono fare
Le valutazioni presuppongono che il file arrivi da un mittente sconosciuto o inatteso. Sono un giudizio basato su ciò di cui ogni formato è capace, e il contesto può spostare un file in su o in giù. Un foglio .xlsm del tuo commercialista nel periodo delle tasse è normale. Lo stesso file da un indirizzo sconosciuto a proposito di una consegna mancata no.
| Estensioni | Cos'è | Rischio | Perché |
|---|---|---|---|
| .exe, .msi, .scr, .com, .pif | Programmi e installer di Windows | Molto alto | Eseguono codice con i tuoi permessi. Uno «screensaver» .scr è un normale programma. |
| .js, .jse, .vbs, .vbe, .wsf, .hta, .ps1, .bat, .cmd | Script | Molto alto | Windows ha interpreti integrati per questi file. Uno sconosciuto non ha quasi mai un buon motivo per mandarne uno. |
| .lnk | Collegamento di Windows | Molto alto | Può avviare un comando con argomenti dietro un'icona dall'aspetto innocuo. |
| .iso, .img, .vhd, .vhdx | Immagini disco | Alto | Un doppio clic le monta come un'unità, e sono state usate per impacchettare programmi e collegamenti. |
| .docm, .xlsm, .pptm, .xlam | File Office con macro abilitate | Alto | La «m» indica che il file può contenere macro VBA. Esistono usi legittimi, ma sono rari da parte di sconosciuti. |
| .doc, .xls | Vecchi formati Office | Da medio ad alto | Possono contenere macro senza che il nome lo dica, e hanno una lunga storia di abusi. |
| .zip, .rar, .7z, .gz, .tar | Archivi | Dipende dal contenuto | Possono contenere qualunque cosa in questa tabella. Quelli cifrati non si possono scansionare. |
| .html, .htm, .svg | Pagine web e immagini vettoriali | Da medio ad alto | Si aprono in un browser e possono mostrare finti moduli di accesso, eseguire script o assemblare un file al momento. |
| .one | Blocco appunti OneNote | Da medio ad alto | È stato usato per nascondere script dietro un finto pulsante «clicca per visualizzare». |
| Documento portatile | Da basso a medio | Per lo più passivo, ma può contenere link, file incorporati e script. | |
| .docx, .xlsx, .pptx | File Office moderni | Da basso a medio | Non possono contenere macro VBA, ma possono avere link, riferimenti esterni e oggetti incorporati. |
| .jpg, .png, .gif, .webp | Immagini raster | Basso | Dati passivi. Il rischio è una rara falla del visualizzatore, che gli aggiornamenti risolvono. |
| .txt, .csv | Testo e dati | Basso, con una riserva | Il testo non può eseguirsi da solo, ma un CSV aperto in un foglio di calcolo può contenere formule, quindi rifiuta le richieste di abilitare contenuti esterni. |
I provider di posta fanno una parte di questa selezione per te. Gmail, per esempio, rifiuta un elenco di tipi di file che comprende .exe, .js, .lnk e .iso, e guarda anche dentro gli archivi quando può. Anche Outlook blocca molti tipi di programmi e script. Per questo i criminali preferiscono i formati che i filtri devono lasciar passare, e per questo un contenitore insolito spesso dice più di un nome palesemente pericoloso.
Come si nasconde il vero tipo di un file
Windows nasconde per impostazione predefinita le estensioni note, e così il trucco più vecchio funziona ancora. Un file chiamato invoice.pdf.exe appare come invoice.pdf. Disattiva questa opzione una volta e resta disattivata. In Windows 11 apri Esplora file e scegli Visualizza, Mostra, Estensioni nomi file. In Windows 10 è una casella nella scheda Visualizza. Su un Mac vai su Finder, Impostazioni, Avanzate e spunta Mostra tutte le estensioni dei nomi file.
Altri travestimenti richiedono più attenzione. Nomi lunghi riempiti di spazi, come statement.pdf .js, spingono la vera terminazione fuori da una colonna stretta. Un carattere di controllo Unicode, l'override da destra a sinistra (U+202E), può invertire il modo in cui viene mostrata la fine di un nome, così un file che finisce davvero in .exe può sembrare finire in .pdf. Anche programmi e collegamenti possono avere l'icona che vogliono, compresa quella di un PDF o di Word, quindi un'icona non prova nulla.
Può mentire anche l'email stessa. Ogni allegato porta con sé un tipo di contenuto dichiarato come application/pdf, ma quell'etichetta la sceglie il mittente. Ciò che succede sul tuo dispositivo dipende dal formato reale e dall'estensione del file. Controlla quindi la colonna Tipo o le Proprietà del file su Windows, Ottieni informazioni su Mac e la vista dei dettagli del gestore file su un telefono.
I documenti Office e le due barre colorate
I file Office meritano una sezione a parte perché sono ovunque e vengono abusati da decenni. Una macro è un piccolo programma scritto in Visual Basic for Applications, memorizzato dentro un documento, che può automatizzare lavoro utile oppure scaricare e avviare qualcos'altro. Il formato del file dà un indizio parziale: .docx e .xlsx non possono contenere macro VBA, mentre .docm e .xlsm sì, e anche i vecchi .doc e .xls possono farlo senza dirlo.
Quando apri un file da internet o da un'email in Office per Windows, di solito incontri una di due barre. Quella gialla appartiene alla Visualizzazione protetta, che apre il documento in sola lettura in una modalità ristretta e offre Abilita modifica. Finché resti nella Visualizzazione protetta, il file può fare molto meno. Puoi leggerlo, e per un documento che devi solo leggere non c'è motivo di uscirne.
Quella rossa è un banner di sicurezza. Microsoft ha cambiato Office per Windows, con una diffusione iniziata nel 2022, in modo che le macro VBA nei file provenienti da internet siano bloccate per impostazione predefinita in Word, Excel, PowerPoint, Access, Project, Publisher e Visio. Il banner dice che le macro sono state bloccate perché l'origine del file non è attendibile. Secondo la documentazione di Microsoft, questa modifica non riguarda Office su Mac, su Android o iOS, né sul web, quindi non dare per scontato lo stesso comportamento ovunque.
Il blocco dipende dal Mark of the Web, un'etichetta che Windows aggiunge ai file provenienti da una posizione non attendibile, come un download dal browser o un allegato email. Una persona può rimuovere l'etichetta spuntando Sblocca nelle Proprietà del file, e questo ti dà un chiaro segnale d'allarme. Se un documento o un'email «utile» ti dice di cliccare con il tasto destro sul file, spuntare Sblocca e riaprirlo, ti stanno accompagnando oltre la protezione. Chiudilo.
Gli attaccanti hanno risposto con la persuasione. Un tipico documento trappola mostra una pagina sfocata e una frase come «Questo documento è stato creato con una versione più recente. Abilita la modifica e il contenuto per visualizzarlo.» Nessun documento autentico ha bisogno di macro solo per essere letto. Se il file arriva da qualcuno che non puoi verificare, considera quel messaggio la risposta alla tua domanda se sia sicuro.
La storia del gioco del gatto e del topo spiega alcuni dei formati strani nella tabella. Le immagini disco sono diventate popolari in parte perché i file dentro un ISO non ricevevano il Mark of the Web, finché Microsoft non ha corretto la cosa nel novembre 2022 (CVE-2022-41091). Poi sono aumentati gli abusi dei file OneNote, con script e collegamenti incorporati dietro finti pulsanti, e nel 2023 Microsoft ha annunciato che OneNote per Microsoft 365 e Office retail avrebbero bloccato i file incorporati con estensioni pericolose. Ogni correzione spinge gli attaccanti verso il contenitore successivo, quindi un formato sconosciuto da parte di uno sconosciuto è già un buon motivo per fermarsi.
PDF, pagine web e immagini
La stragrande maggioranza dei PDF è innocua, e il rischio realistico raramente è un exploit ingegnoso. Molto più spesso è un PDF di una pagina con un logo e un grosso pulsante «Visualizza documento protetto» che porta a una finta pagina di accesso. Un PDF può anche contenere file incorporati, che un visualizzatore può offrirsi di aprire, e può contenere JavaScript. I lettori di PDF hanno avuto falle di sicurezza negli anni, quindi tieni aggiornato il tuo. Aprire un PDF inatteso nel visualizzatore integrato di un browser aggiornato è un'impostazione ragionevole, e se usi Adobe Acrobat Reader e hai raramente bisogno degli script, puoi togliere la spunta a Abilita JavaScript di Acrobat in Modifica, Preferenze, JavaScript. Un PDF che esiste solo per dire «il tuo documento è pronto, clicca qui» è una porta, non un documento.
Gli allegati HTML sono peggio di quanto sembrano. Uno si apre nel browser come pagina locale e può mostrare una copia perfetta di una schermata di accesso con il tuo indirizzo email già compilato. Poiché nel messaggio non c'era mai un indirizzo web sospetto, gli scanner di link del tuo servizio di posta potrebbero non vederne nessuno. Un file HTML può anche costruire un file dentro il browser da dati codificati e offrirlo come download, una tecnica chiamata HTML smuggling, che può aggirare i filtri che ispezionano solo gli allegati. Nessuna azienda vera ha bisogno che tu acceda da un file allegato a un'email. Tratta una pagina simile come phishing e vai al servizio digitandone l'indirizzo.
I file SVG sembrano immagini e sono definiti in XML, il che significa che possono includere script e link. In un visualizzatore di immagini si comportano come un'immagine, in un browser possono comportarsi come una pagina web. Un SVG inatteso da parte di uno sconosciuto merita lo stesso dubbio di un file HTML.
I normali file JPEG, PNG, GIF e WebP sono dati passivi, e il rischio teorico di una falla del visualizzatore è ciò che gli aggiornamenti di sistema risolvono. Il rischio pratico è un altro: un'immagine può essere semplicemente un'esca, come lo «screenshot» di una fattura che ti dice di chiamare un numero di telefono. Il file è sicuro, le istruzioni che contiene no.
Archivi: giudica il contenuto, non l'involucro
Un file ZIP non è né sicuro né pericoloso. È sicuro esattamente quanto ciò che contiene. Gli archivi fanno comodo agli attaccanti perché il messaggio mostra solo «documents.zip» mentre il vero tipo di file resta nascosto, e perché un archivio dentro un altro archivio, o un formato meno comune, può confondere alcuni scanner.
La cifratura aggiunge un altro problema. Gli strumenti di sicurezza della posta non possono guardare dentro un archivio protetto da password, ed è per questo che un messaggio con un archivio cifrato e la sua password insieme è uno schema classico. Pensa a cosa ottiene questa combinazione: non offre nessuna segretezza, dato che chi ha l'email ha anche la password, e l'unica cosa che fa con sicurezza è accecare lo scanner. Un mittente autentico che cifra un file di solito condivide la password in un altro modo, per esempio per telefono o in una chat separata.
Se hai verificato che l'archivio dovrebbe esistere e vuoi comunque vedere cosa c'è dentro:
- Apri l'archivio per vedere l'elenco dei file senza estrarre nulla. Esplora file di Windows e programmi per archivi come 7-Zip possono mostrare l'elenco. Un Mac di solito decomprime subito con un doppio clic, quindi usa lì uno strumento per archivi.
- Leggi ogni nome ed estensione. Un solo
.lnk,.js,.exeo.isoin qualcosa descritto come documentazione chiude la questione, quindi elimina l'archivio. - Verifica che il contenuto corrisponda alla storia. Una «guida in PDF» dovrebbe essere un PDF, non una cartella con un collegamento.
- Estrai solo il file specifico che ti serve, poi applica gli stessi controlli a quel file.
Controllare il mittente, in breve
Il file è metà dell'attacco, e la storia credibile intorno è l'altra metà. La nostra guida su come riconoscere le email di phishing tratta il tema nel dettaglio, quindi qui ci sono i controlli che contano di più per gli allegati.
Comincia dal vero indirizzo, perché il nome visualizzato può essere impostato da chiunque su qualsiasi cosa. «Ufficio Contabilità» potrebbe essere billing@example-pay.example. Sul computer, passa il mouse sul nome o cliccalo, e sul telefono tocca la riga del mittente. Cerca domini con parole aggiunte, trattini o lettere scambiate («rn» che finge di essere «m»), indirizzi di webmail gratuita che si dichiarano l'ufficio fatturazione o legale di un'azienda e un dominio che non corrisponde al sito che già conosci.
Poi guarda dove andrebbe una risposta. Un messaggio può arrivare da un indirizzo e mandare le risposte a un altro. Mailing list e sistemi di ticket, come anche le newsletter a cui ti sei iscritto, a volte lo fanno per ragioni normali, ma un messaggio dall'aria personale su un pagamento urgente non dovrebbe.
Il controllo tecnico richiede un minuto. In Gmail apri il menu con i tre puntini e scegli Mostra originale. In Outlook sul web usa Visualizza, Visualizza origine messaggio. Cerca spf=pass, dkim=pass e dmarc=pass. SPF elenca quali server possono inviare per un dominio, DKIM è una firma crittografica che mostra che il dominio ha autorizzato il messaggio e che non è stato alterato, e DMARC collega quei risultati al dominio visibile nella riga Da e dice ai riceventi cosa fare in caso di errore. Leggi i risultati in una sola direzione. Un fallimento su un messaggio che dice di arrivare dalla tua banca è un forte avvertimento. Un esito positivo non rende sicuro un messaggio, perché i criminali possono registrare un dominio simile e autenticarlo correttamente, e una casella violata supera ogni controllo.
Resta la domanda a cui nessuna intestazione può rispondere: questo si inserisce in una conversazione vera? Dovresti poter dire che ti aspettavi questo file da questa persona su questo argomento e che contiene dettagli che puoi verificare nel tuo account. La pressione agisce contro questo. Urgenza, segretezza e paura («azione legale», «non dirlo a nessuno», «account chiuso oggi») insieme a un file sono lo schema abituale. Nel dubbio, contatta il mittente usando recapiti che avevi già prima che questo messaggio arrivasse. Se la fattura è vera, sarà anche nel tuo account.
Quando devi aprire un file di qualcuno di nuovo
A volte il file è tutto il punto: il curriculum di un candidato, il primo preventivo di un fornitore, la risposta a qualcosa che hai messo in vendita. L'obiettivo allora è vedere il contenuto dando al file il minor potere possibile. Queste opzioni vanno da quella che richiede meno impegno a quella che ne richiede di più, e la maggior parte delle persone si fermerà alla seconda o alla terza.
Chiediti se devi proprio aprirlo. Se il file è inatteso e la storia è generica, eliminare costa poco, dato che i mittenti veri tornano a farsi sentire.
Usa l'anteprima del tuo servizio di posta. I servizi di webmail spesso mostrano PDF, immagini e documenti Office sui propri server, quindi il file viene visualizzato e non eseguito sul tuo dispositivo. Guarda prima l'anteprima e scarica solo se devi. È l'abitudine singola più utile per chiunque riceva file da sconosciuti per lavoro.
Apri i documenti in sola lettura. Restare nella Visualizzazione protetta, o aprire il file in una suite per ufficio sul web, limita ciò che può fare. Lascia stare Abilita modifica e Abilita contenuto.
Scansionalo. Su Windows puoi cliccare con il tasto destro su un file salvato e analizzarlo con Microsoft Defender, e altri prodotti di sicurezza offrono lo stesso. Per un file che non contiene nulla di privato, uno scanner online multi-motore come VirusTotal dà un secondo parere. I caricamenti su servizi di questo tipo possono essere condivisi con aziende di sicurezza e ricercatori, quindi non caricare mai contratti, documenti d'identità, fatture o qualsiasi cosa riservata. Un risultato pulito non è nemmeno una garanzia, perché un file nuovo o personalizzato potrebbe non essere ancora rilevato da nulla.
Chiedi un formato diverso. Un candidato vero può rimandare il curriculum come normale PDF. Un cliente può incollare il testo nel corpo dell'email. Chiedere è gratis, e chi cerca di consegnare un file preciso tende a insistere.
Usa un ambiente isolato per qualsiasi cosa insolita. Windows Sandbox è disponibile nelle edizioni Pro, Enterprise ed Education di Windows, si attiva da Attiva o disattiva funzionalità di Windows e richiede che la virtualizzazione sia abilitata. Ti offre un desktop usa e getta, e tutto ciò che c'è dentro viene scartato quando lo chiudi. Ha comunque accesso alla rete per impostazione predefinita, a meno che tu non lo disattivi in un file di configurazione, quindi un file eseguito lì dentro può raggiungere internet, e non dovresti accedere a nulla da lì. Una macchina virtuale o un dispositivo di riserva servono allo stesso scopo.
Un test rapido prima del doppio clic
Ripassale quando qualcosa non ti convince. Due o più risposte preoccupanti sono motivo sufficiente per eliminare il messaggio o verificarlo prima.
- Conosco questo mittente, e mi aspettavo questo file proprio ora?
- Il vero indirizzo e dominio corrispondono a chi dice di essere?
- È il tipo di file che mi aspetterei per questo argomento?
- Il file è dentro un contenitore, soprattutto uno protetto da password?
- Il messaggio spinge su urgenza, segretezza, pagamento o accesso?
- Il documento mi chiede di abilitare modifica, contenuto o macro?
- Posso confermarlo prima tramite un canale separato?
Telefoni e Mac sono diversi, non immuni
I programmi e gli script di Windows semplicemente non girano su iOS o Android, e i sistemi mobili confinano le app più rigidamente dei tradizionali sistemi desktop. Questo elimina un'ampia classe di minacce. Ma i telefoni hanno punti deboli propri, e il phishing funziona almeno altrettanto bene su uno schermo piccolo, dove gli indirizzi completi sono nascosti e un finto pulsante di accesso sembra identico agli altri.
Su Android il principale rischio legato ai file è l'APK, un pacchetto app inviato come allegato. Può essere installato solo se hai consentito all'app che l'ha aperto di installare app sconosciute. Controlla in Impostazioni, App, Accesso speciale per le app, Installa app sconosciute, anche se il percorso esatto varia tra i produttori. Tienilo disattivato per la tua app di posta e per il browser, e installa app solo dagli store ufficiali. Su iPhone e iPad fai attenzione ai profili di configurazione, che possono cambiare impostazioni come VPN e certificati attendibili. I profili installati compaiono in Impostazioni, Generali, VPN e gestione dispositivo. Non installarne uno perché un'email te lo chiede.
Anche le app di posta sui telefoni tendono a nascondere l'indirizzo completo del mittente e l'estensione del file, quindi devi toccare per mostrarli. Se un file sembra importante e non riesci a leggerne comodamente i dettagli, aspetta di essere davanti a uno schermo più grande. Pochissimi allegati onesti non possono aspettare un'ora.
I Mac hanno una protezione propria, Gatekeeper, che controlla le app scaricate prima che vengano eseguite per la prima volta e avvisa dei software che non provengono da uno sviluppatore identificato. Le istruzioni delle truffe a volte ti dicono di aggirare quell'avviso aprendo il file in un altro modo o incollando un comando nel Terminale. Trattale esattamente come «Abilita contenuto» in un documento Word. Fai attenzione ai file .dmg, .pkg, .app e .command da parte di sconosciuti, che sono gli equivalenti Mac delle prime righe della tabella.
Impostazioni che cambiano le probabilità
Nessuna richiede strumenti specialistici. Scorrere questo elenco una volta richiede più o meno quanto una pausa caffè, e quasi tutto non va mai ripetuto.
| Impostazione | Dove | A cosa serve |
|---|---|---|
| Mostrare le estensioni dei nomi file | Menu Visualizza di Esplora file; Impostazioni di Finder, Avanzate | Doppie estensioni e file camuffati |
| Aggiornamenti automatici | Impostazioni di sistema e dello store delle app | Falle note in visualizzatori, browser e Office |
| Software di sicurezza attivo | Sicurezza di Windows, o il prodotto che hai scelto | Malware noto quando i file vengono salvati o aperti |
| Visualizzazione protetta e blocco delle macro | Office: File, Opzioni, Centro protezione, Impostazioni Centro protezione (normalmente attivi) | Documenti che eseguono codice senza una tua decisione |
| Bloccare l'installazione di app sconosciute | Android: Accesso speciale per le app | File APK ricevuti per email |
| Account standard, non amministratore, per l'uso quotidiano | Impostazioni dell'account di sistema | Malware che ottiene facilmente diritti su tutto il sistema |
| Accesso a più fattori sugli account importanti | La pagina di sicurezza di ciascun account | Furto dell'account dopo una password rubata |
| Un indirizzo separato per le registrazioni | Un indirizzo secondario, un alias o una casella temporanea | La tua casella principale che diventa un bersaglio |
Allegati comuni e come di solito vanno male
Le situazioni qui sotto sono esempi di schemi che ricorrono spesso. Ciò che conta in ognuna è la distanza tra il modo in cui la cosa vera arriva di solito e ciò che hai davanti.
| Cosa dichiara | Come appare la cosa vera | Cosa dovrebbe fermarti | Cosa fare |
|---|---|---|---|
| Fattura da un'azienda che non usi | Avresti un account o un ordine | Nessun rapporto, e spesso un archivio, un file HTML o un documento con macro | Eliminala |
| Fattura da un'azienda che usi | Visibile nel tuo account, nel solito formato | Nuovo formato, nuove coordinate bancarie, momento strano | Accedi direttamente o chiama un numero noto |
| «Anteprima» di un documento condiviso | Un link dal servizio di condivisione, che si apre dove sei già connesso | Un file HTML allegato con una pagina di accesso | Vai tu al servizio e cerca la condivisione |
| Curriculum o portfolio | Un normale PDF o documento | Un archivio, un documento con macro o un link a un sito di download strano | Guardane l'anteprima e chiedi un formato standard |
| Avviso di messaggio vocale o fax | Molti sistemi telefonici inviano un file audio come WAV o MP3 | HTML, un archivio o un programma | Controlla il portale del tuo sistema telefonico |
| File urgente dal tuo «capo» | Canali normali e tono normale | Segretezza, fretta, richiesta di pagamento | Conferma per telefono o di persona |
| Nuovo allegato in una vecchia conversazione | Scritto con la voce della persona e in tema | Un generico «vedi allegato», un tipo di file che non manda mai | Contattala separatamente prima di aprirlo |
La riga del candidato merita due parole per chi assume. L'assunzione è proprio il caso in cui sconosciuti devono mandarti dei file, ed è per questo che gli attaccanti la imitano. Una regola pubblicata che dice «solo PDF, niente archivi né link» non costa nulla ai candidati veri e toglie gran parte del rischio prima che arrivi qualsiasi cosa.
Per i piccoli team
Se gestisci la posta di un team, alcuni controlli riducono quanto dipende dal giudizio di una sola persona in un pomeriggio frenetico. Configura il servizio di posta per bloccare del tutto i tipi ad alto rischio come programmi e script, e trattieni per revisione gli archivi protetti da password provenienti dall'esterno. Pubblica SPF, DKIM e DMARC per il tuo dominio, così il tuo nome è più difficile da falsificare, e leggi i report DMARC per vedere chi invia a nome tuo. Un banner visibile sui messaggi provenienti da fuori dell'organizzazione aiuta le persone ad accorgersi quando «il capo» scrive da un altro posto.
All'interno, i link condivisi da una piattaforma di cui ti fidi sono meglio degli allegati, perché qualsiasi allegato da fuori spicca. Concorda una regola scritta per cui un cambio di coordinate bancarie viene sempre confermato per telefono, a un numero già in archivio, non importa chi lo chieda o quanto sembri urgente. E dai al personale un modo con un clic per segnalare la posta sospetta, e ringrazia chi lo usa, compresi quelli che hanno già cliccato. Chi si vergogna fino al silenzio regala a un intruso ore di tempo in più.
Se l'hai già aperto
Anche le persone attente fanno questo errore, di solito quando sono stanche o impegnate. I primi minuti contano, e ciò che fai dipende da cosa è successo davvero.
Hai aperto un'immagine o un PDF in un visualizzatore aggiornato e non hai cliccato nulla. Il rischio realistico è basso. Esegui una scansione e vai avanti, restando attento a eventuali messaggi successivi.
Hai eseguito qualcosa, estratto qualcosa o abilitato le macro. Segui questi passaggi in ordine:
- Chiudi il file e smetti di rispondere alle sue richieste. Non inserire nessuna password.
- Spegni il Wi-Fi o scollega il cavo di rete. Questo può impedire al malware di scaricare altri componenti o di inviare dati all'esterno.
- Su un dispositivo di lavoro, segnalalo subito da un altro dispositivo e non cercare di ripulirlo da solo. Le segnalazioni tempestive permettono all'IT o al personale di sicurezza di contenere il problema prima che si diffonda.
- Esegui una scansione completa. In Sicurezza di Windows vai su Protezione da virus e minacce, Opzioni di analisi, dove Analisi offline di Microsoft Defender riavvia il computer e analizza prima che Windows si carichi.
- Da un altro dispositivo, pulito, cambia le password importanti, a partire da quella della posta, perché la posta può reimpostare tutto il resto. Poi passa alla banca e a tutto ciò a cui hai effettuato l'accesso di recente dalla macchina interessata.
- Controlla gli accessi recenti, le regole di inoltro, i filtri e le app collegate del tuo account email. Gli attaccanti a volte aggiungono una regola nascosta per continuare a ricevere la tua posta dopo che hai cambiato la password.
- Attiva l'accesso a più fattori, o verifica che sia ancora attivo, per gli account che contano.
Hai digitato una password in una pagina aperta dall'allegato. Considera quella password rubata. Cambiala sul sito vero digitando tu l'indirizzo, e cambiala ovunque altro l'avevi usata.
Hai inserito i dati della carta. Chiama la tua banca o l'emittente della carta al numero stampato sulla carta e chiedi di bloccarla.
Il dispositivo si comporta ancora in modo strano. Nuovi programmi, strumenti di sicurezza disattivati e reindirizzamenti del browser sono segni che una scansione non è bastata. Il ripristino da un backup valido o la reinstallazione del sistema sono la soluzione affidabile, ed è per questo che tenere un backup offline o con versioni è, in pratica, parte della sicurezza degli allegati.
Dove si inserisce una casella temporanea, e dove no
Tutto quanto sopra agisce dopo che un messaggio rischioso ti ha raggiunto. La privacy della casella lavora prima, limitando chi può raggiungere il tuo indirizzo importante. Ogni sito che possiede il tuo vero indirizzo può perderlo, venderlo o subire una violazione. Ridurre questa esposizione significa meno mittenti sconosciuti in seguito, il che rende anche più facile notare il file inatteso. Il nostro articolo su come organizzare la tua email personale spiega come dividere gli indirizzi per livello di fiducia.
Una casella temporanea è uno strumento per il livello più basso. Se ne usi una per un download occasionale o una sola domanda su un forum, dove i termini del sito lo consentono, quel mittente non conosce mai il tuo indirizzo principale. La nostra guida su come registrarsi senza la tua email vera spiega quando è appropriato e quando la scelta giusta è un indirizzo permanente. Anche gli sviluppatori usano caselle temporanee per verificare che la loro applicazione invii correttamente gli allegati, senza riempire una casella personale.
Sii chiaro sui limiti. Un indirizzo temporaneo protegge il tuo indirizzo, non il tuo dispositivo. Una volta scaricato un file, ogni controllo di questo articolo vale per intero. Le caselle temporanee non sono per contratti, documenti d'identità, cartelle mediche o finanziarie, e non sono adatte a servizi bancari, pubblici o a qualsiasi account che devi poter recuperare. Chiunque conosca o indovini un indirizzo può aprire quella casella, quindi un indirizzo casuale è la scelta più sicura, e nulla di riservato va lì.
In VookMail un indirizzo è pronto quando la pagina si carica, senza registrazione. Gli allegati funzionano, entro i limiti di dimensione, e la casella mostra il messaggio ed elenca i file senza eseguire nulla. I comuni file di programma come .exe, .bat e .apk vengono rifiutati, e gli archivi come .zip mostrano un avviso di cautela, utile come promemoria per applicare i passaggi sugli archivi visti sopra. I nostri domini ricevono la posta tramite un provider di recapito che ce la inoltra via HTTPS. Messaggi e allegati vengono eliminati dopo circa un giorno, quindi scarica subito ciò che ti serve e non considerare la casella un archivio. L'informativa sulla privacy e la pagina sulla metodologia spiegano la gestione più nel dettaglio.
Il pulsante QR può aiutare anche con la cautela sugli allegati. Mostra il tuo indirizzo come codice da scansionare su un altro dispositivo, dove Nuovo e lo stesso indirizzo e dominio aprono quella casella, quindi se preferisci guardare un file dubbio su un telefono o su un dispositivo di riserva anziché sul computer principale, puoi farlo. Un file scaricato di proposito deve comunque corrispondere a quanto ti era stato promesso. Se un sito offriva una guida in PDF e hai ricevuto uno ZIP con un collegamento dentro, eliminalo.
Errori da disimparare
- Inoltrare un file sospetto a un collega «perché lo controlli». Così diffondi il rischio. Usa invece il canale di segnalazione della tua organizzazione.
- Estrarre un archivio per vedere cosa contiene, quando l'elenco del contenuto te lo avrebbe detto.
- Usare una password fornita nella stessa email. Così consegni all'attaccante ciò che voleva, un file che il tuo scanner non ha mai visto.
- Cliccare Abilita modifica per abitudine. Per un documento che devi solo leggere, non c'è nulla da guadagnare.
- Considerare una scansione pulita come una prova. Significa che oggi nessuno scanner ha riconosciuto il file.
- Caricare file riservati su scanner pubblici, che possono condividere dati privati con terzi.
- Rimandare gli aggiornamenti. Molti exploit degli allegati sfruttano falle già corrette nelle versioni attuali di Office, lettori PDF, browser e sistemi operativi.
- Tacere dopo un clic sbagliato. Su un account di lavoro, un'ora di silenzio non aiuta nessuno tranne l'attaccante.
Domande che ricorrono spesso
Si può prendere un virus solo aprendo un'email?
In un'app di posta aggiornata, aprire e leggere un messaggio è molto improbabile che infetti un dispositivo. Il pericolo di solito comincia quando apri o esegui un allegato, abiliti le macro o clicchi su un link. Caricare le immagini, però, può dire al mittente che hai aperto il messaggio, e questo è un problema di privacy, non un'infezione.
L'antivirus mi protegge da tutti gli allegati dannosi?
No. Antivirus e filtri della posta intercettano gran parte delle minacce note, ma i file nuovi o personalizzati possono passare, e una finta pagina di accesso può non contenere alcun malware. La scansione è un livello accanto al controllo del mittente, alla conoscenza dei tipi di file, alle macro bloccate e agli aggiornamenti.
Devo fidarmi di un allegato perché arriva da un amico?
Fidati della persona, e controlla comunque il messaggio. Gli account vengono violati, quindi un file strano da un amico con un biglietto insolitamente breve vale un rapido messaggio per chiedergli se l'ha mandato lui.
È più sicuro aprire un file sospetto sul telefono?
Può esserlo, per i programmi Windows, che lì non girano. Non serve contro le finte pagine di accesso, che sono la minaccia più probabile in un file PDF o HTML. Un telefono è un rischio diverso, e un dispositivo di riserva o una sandbox sono la scelta migliore quando vuoi una vera separazione.
Ricevere allegati in una casella temporanea è sicuro?
Riceverli è come in qualsiasi altra casella, perché il servizio memorizza e mostra il file e non lo esegue. Conta ciò che succede dopo il download. Applica gli stessi controlli e tieni fuori qualsiasi cosa riservata da una casella che altri potrebbero aprire indovinando l'indirizzo.