Riconosci il phishing e verifica il messaggio prima di cliccare

Il phishing via email è ancora il vettore più popolare: false email da banche, operatori, Agenzia delle Entrate, INPS, piattaforme e-commerce. I link portano a siti ingannevolmente simili agli originali. I nuovi strumenti di IA rendono i messaggi falsi sempre meglio scritti, senza errori linguistici evidenti.

Lo smishing (phishing via SMS) è molto diffuso: "Il tuo pacco è in attesa di un pagamento aggiuntivo di 1,99 €" con un link a un falso modulo di pagamento. Dopo aver inserito i dati della carta la vittima non perde 1,99 € — perde tutti i fondi. Il vishing (voice phishing) è la telefonata di un presunto consulente bancario che chiede la conferma di una transazione. Lo spear phishing è un attacco mirato: l'attaccante conosce il tuo nome, la tua azienda, forse anche l'argomento delle tue conversazioni — perché ha raccolto informazioni da LinkedIn o da fonti OSINT.

La prima verifica riguarda l'indirizzo del mittente — non il nome visualizzato, ma l'indirizzo email reale. "PosteItaliane <[email protected]>" non è Poste Italiane. Le istituzioni legittime usano i propri domini, non registrazioni esterne.

Il secondo segnale è la natura della richiesta: la banca, l'Agenzia delle Entrate, un corriere non chiedono mai la password, il PIN o i dati della carta tramite email o SMS. Il terzo segnale è la pressione temporale: "Hai 24 ore", "Il conto verrà bloccato", "Il pacco tornerà al mittente". È una tecnica psicologica per creare panico e ridurre il tempo per riflettere. Il quarto segnale è l'URL — passa il cursore sul link (senza cliccare) e controlla se il dominio è poste.it e non poste-italia.com o simili. Sul telefono copia il link e incollalo in una nota per vedere l'indirizzo completo.

Cliccare su un link senza inserire nulla è un rischio basso — ma vale la pena controllare il dispositivo alla ricerca di software dannoso e osservare i messaggi successivi. Se hai solo visualizzato la pagina e sei uscito, molto probabilmente non è successo nulla.

Se hai inserito la password: cambiala immediatamente su quell'account e su tutti gli altri dove usavi la stessa password. Controlla le sessioni attive nelle impostazioni dell'account e disconnetti i dispositivi sconosciuti. Se hai inserito i dati della carta o un codice da SMS: chiama la banca e blocca la carta. Segnala l'incidente alla banca e alle autorità competenti (ad es. la Polizia Postale). Informatico ti aiuterà a percorrere questi passaggi in ordine logico, senza panico.

1. Non cliccare sui link negli SMS e nelle email — vai direttamente sul sito della banca o del corriere tramite il browser o l'app. 2. Attiva il 2FA ovunque sia possibile — anche se la password trapela, l'attaccante non potrà accedere senza il secondo fattore. 3. Usa un gestore password con password uniche — la fuga della password da un servizio non apre l'accesso agli altri. 4. Controlla il mittente, non solo il nome — "UniCredit" come nome visualizzato non conta nulla, ciò che conta è l'indirizzo reale. 5. In caso di dubbio, chiama — la banca, il corriere o l'istituzione al numero indicato sul sito ufficiale, non nel messaggio. Informatico può anche analizzare un messaggio specifico che hai ricevuto.