Basta una mail convincente e un attimo di distrazione. Il phishing resta una delle porte d’ingresso più usate dagli attaccanti perché non prende di mira i sistemi, ma le persone: non sfrutta una falla nel software, sfrutta la fretta, la fiducia e l’abitudine. La buona notizia è che riconoscere una mail truffa è una competenza che si impara, e pochi controlli fatti con calma bastano a smontare la maggior parte dei tentativi.
Perché il phishing funziona
Le mail di phishing puntano quasi sempre sulle stesse leve psicologiche: urgenza (“il tuo account sarà bloccato entro 24 ore”), autorità (finto messaggio della banca, dell’Agenzia delle Entrate, del capo), paura (un pagamento sospetto, una multa) o curiosità (un pacco in arrivo, un premio). L’obiettivo è farti agire d’impulso, prima che il ragionamento entri in gioco. Quando una mail ti spinge a fare qualcosa subito, è proprio quello il momento di rallentare.
I segnali concreti da controllare
- Il mittente reale, non il nome visualizzato. Il nome può essere qualsiasi cosa; conta l’indirizzo. Controlla il dominio dopo la chiocciola: piccole variazioni (“banca-sicura.com” invece del dominio ufficiale, lettere sostituite, domini strani) sono il primo campanello.
- I link, prima di cliccare. Passa il puntatore sopra il link senza premere (su smartphone, tieni premuto per vedere l’anteprima): l’indirizzo che compare deve corrispondere al sito che ti aspetti. Se il testo dice una cosa e la destinazione un’altra, è un segnale forte.
- Richieste di credenziali o pagamenti. Nessuna organizzazione seria chiede password, codici o dati della carta via email. Una richiesta del genere, per quanto ben confezionata, è sospetta per definizione.
- Allegati inattesi. Fatture, ricevute o documenti che non aspettavi, soprattutto in formati che chiedono di “abilitare le macro” o di eseguire qualcosa, vanno trattati con la massima diffidenza.
- Incongruenze. Un saluto generico (“Gentile cliente”) al posto del tuo nome, loghi leggermente sbagliati, un tono che non corrisponde al mittente dichiarato.
Il phishing moderno è più curato
Per anni il consiglio è stato “attento agli errori di grammatica”. Vale ancora, ma non basta più. I messaggi di oggi sono spesso scritti bene, tradotti correttamente e graficamente curati: l’assenza di errori non è più una prova di autenticità. Per questo il criterio è cambiato: non ci si fida più della forma, ma della coerenza della richiesta. La domanda da porsi è sempre la stessa: questa organizzazione mi chiederebbe davvero questa cosa, in questo modo, con questa urgenza? Se il dubbio resta, si verifica per un canale diverso.
Cosa fare in caso di dubbio (o se hai abboccato)
Se una mail ti insospettisce, non cliccare e non rispondere. Verifica il messaggio contattando l’organizzazione tramite un canale che conosci già: il numero sul retro della carta, il sito digitato a mano, non i recapiti presenti nella mail stessa. In azienda, segnala il messaggio a chi si occupa di sicurezza: una segnalazione tempestiva protegge anche i colleghi.
Se hai già inserito le credenziali su una pagina sospetta, agisci in fretta: cambia subito la password del servizio coinvolto e di ogni altro dove usavi la stessa, attiva l’autenticazione a più fattori se non c’era, e controlla accessi e movimenti recenti. Ammettere l’errore in fretta limita il danno; nasconderlo lo amplifica.
La rete di sicurezza: MFA e password manager
Anche il lettore più attento può cadere in un tentativo ben fatto, e va bene ammetterlo: per questo servono difese che reggano anche quando l’occhio sbaglia. L’autenticazione a più fattori fa sì che la sola password rubata non basti a entrare. Un password manager aiuta in modo silenzioso ma efficace: propone le credenziali solo sul dominio corretto, quindi su un sito clone non le inserisce, e questo diventa a sua volta un segnale d’allarme. Attenzione e strumenti insieme rendono il phishing una minaccia gestibile, non un’ossessione.
In sintesi
Il phishing punta sulle persone, e proprio per questo la difesa più forte sei tu: rallentare davanti all’urgenza, controllare mittente e link, diffidare delle richieste di credenziali. Aggiungi MFA e un buon gestore di password come rete di sicurezza, e la mail truffa perde quasi tutta la sua efficacia.