Il phishing è un messaggio che finge di arrivare da qualcuno di cui ti fidi, come una banca, un corriere, il tuo datore di lavoro o un amico, per spingerti a cliccare su un link, aprire un file o consegnare una password. Arriva via e-mail, SMS, app di messaggistica e telefonate. I messaggi sono spesso convincenti, ma condividono alcune abitudini.
Cosa vuole di solito un messaggio di phishing?
Quasi ogni messaggio di phishing vuole una di tre cose: che tu acceda a una pagina controllata dal mittente, che tu apra un allegato che installa qualcosa di dannoso, oppure che tu invii denaro o informazioni a causa di un problema inventato. La storia attorno alla richiesta cambia, ma l’obiettivo resta lo stesso.
Tra le storie più comuni ci sono un account bloccato, una consegna mancata, una fattura non pagata, un rimborso inatteso, un premio o un parente in difficoltà che ha bisogno di aiuto subito. Se un messaggio chiede una password, un codice di verifica, un pagamento o la copia di un documento d’identità, verificalo prima di agire.
Quali segnali tradiscono un messaggio di phishing?
Nessun segnale da solo dimostra che un messaggio è falso, e le contraffazioni ben fatte possono evitarli tutti. Vale comunque la pena controllare ogni volta questi punti:
Pressione. Il messaggio dice che hai poche ore, che il tuo account sarà chiuso o che accadrà qualcosa di brutto se aspetti.
Un indirizzo del mittente simile ma sbagliato, con una lettera scambiata o una parola in più nel dominio.
Un link il cui testo visibile non corrisponde alla destinazione. Dal computer puoi passarci sopra con il cursore, dal telefono puoi tenerlo premuto per vedere l’indirizzo.
Un allegato inatteso, in particolare un file zip, una fattura che non hai richiesto o un file che chiede di attivare le macro.
Una richiesta di pagare con carte regalo, criptovalute o un bonifico verso un nuovo conto.
Cosa fare prima di cliccare?
Fermati e rallenta. La pressione è lo strumento da cui dipende il mittente, quindi prendersi qualche minuto gli toglie gran parte del vantaggio. Non rispondere, non chiamare un numero indicato nel messaggio e non aprire il link né l’allegato.
Poi verifica quanto dice attraverso un canale di cui ti fidi già. Apri l’app dell’azienda o digita tu stesso l’indirizzo nel browser, e cerca la stessa comunicazione nel tuo account. Chiama il numero stampato sulla tua carta o sul sito ufficiale dell’azienda. Se il messaggio sembra arrivare da un collega o da un parente, contattalo in un altro modo, per esempio con una telefonata, e chiedigli se l’ha inviato lui.
Perché anche SMS e telefonate fanno parte del phishing?
Il phishing non si limita all’e-mail. Sono comuni gli SMS su pacchi, pedaggi o avvisi bancari, e lo sono anche le telefonate di chi dice di lavorare per la tua banca o per un servizio di assistenza. Chi chiama può far apparire sul tuo schermo quasi qualsiasi numero, quindi il numero visualizzato non dimostra nulla.
Una banca vera non ti chiederà di spostare denaro su un “conto sicuro”, e un’assistenza vera non ti chiederà un codice appena arrivato sul tuo telefono. Se chi chiama crea urgenza, riattacca e richiama a un numero che hai trovato tu. Lo stesso vale per i messaggi vocali e per i messaggi dall’account violato di un amico che chiedono denaro.
E se hai già cliccato o inserito una password?
Succede anche alle persone attente, e agire in fretta fa una vera differenza. Segui questi passaggi in ordine:
Isolati dal problema. Se hai aperto un file e pensi che abbia eseguito qualcosa, disattiva la connessione di rete di quel dispositivo e tienila disattivata finché non è stato controllato.
Cambia la password dell’account coinvolto, se possibile da un altro dispositivo. Se usavi quella password altrove, cambiala anche lì.
Attiva la verifica in due passaggi, preferibilmente con una passkey o un’app di autenticazione, ed esci dalle altre sessioni nelle impostazioni dell’account.
Contatta subito la tua banca se hai condiviso dati della carta o bancari. Chiedi di bloccare la carta o di controllare eventuali attività insolite.
Cerca modifiche che non hai fatto tu, come nuove regole di inoltro nella posta, nuovi indirizzi di recupero o accessi sconosciuti.
Segnala il messaggio al servizio di cui si fingeva e avvisa i tuoi contatti se l’account ha inviato messaggi a tuo nome.
Come ridurre i danni del phishing fin dall’inizio?
Non puoi impedire che ogni messaggio ti raggiunga, quindi l’obiettivo è limitare i danni quando uno passa. Usa una password diversa per ogni account e conservale in un gestore di password, che aiuta anche perché non compila una password su un sito con l’indirizzo sbagliato. Le passkey vanno oltre, perché non si possono digitare affatto in una pagina falsa.
Tieni aggiornati telefono e app e fai attenzione a app e file che arrivano da fuori degli store ufficiali. Limita ciò che conservi in luoghi che una sola password rubata può aprire. Le copie di passaporto, documenti fiscali o contratti non devono stare nella tua casella di posta, dove un solo messaggio di phishing riuscito potrebbe esporle tutte.
Qui Revault può aiutare. Conserva foto, documenti e file in una cassaforte crittografata sul tuo dispositivo, senza un account Revault da colpire con il phishing. Questo non impedisce l’invio di un messaggio falso, ma tiene i tuoi file più sensibili fuori dalla casella di posta e dagli account cloud. Nessuno strumento sostituisce il buon senso, quindi l’abitudine che ti protegge di più è la più semplice: quando un messaggio chiede qualcosa di urgente, verificalo prima in un altro modo.