Sessione 3 · 60 minuti

Phishing: l'email che ti tende una trappola

Il phishing è un messaggio che finge di venire da qualcuno di cui ti fidi — la banca, un collega, un fornitore — per convincerti a cliccare, scaricare o digitare le tue credenziali. Funziona perché punta alle emozioni, non alla tecnologia.

Perché ci caschiamo

Le truffe fanno leva su quattro leve: urgenza («entro 24 ore»), paura («account sospeso»), autorità («richiesta del direttore») e curiosità/avidità («hai vinto», «fattura in allegato»). Quando un messaggio ti spinge ad agire in fretta, è proprio il momento di rallentare.

Anatomia di un'email sospetta

Sei segnali ricorrenti. Spesso ne bastano due o tre insieme per dire «mi fermo».

Mittente e dominio strani: nomi simili a quelli veri ma storti (verifica-id.com).
Urgenza e minacce: scadenze e conseguenze gravi per non farti pensare.
Saluto generico: «Gentile Cliente» invece del tuo nome.
Errori di ortografia o frasi tradotte male.
Link mascherato: il testo dice una cosa, la destinazione reale è un'altra.
Allegato inatteso, soprattutto .zip, .html o documenti che chiedono di «abilitare contenuti».

✓ Cosa fare

Fermati e rileggi con calma.
Passa il mouse sul link (senza cliccare) per vedere dove porta davvero.
Verifica per un altro canale (telefonata, di persona) prima di pagare o cambiare dati.
Segnala all'IT i messaggi sospetti.

✗ Cosa non fare

Cliccare link o aprire allegati di getto.
Inserire le credenziali su pagine raggiunte da un'email.
Rispondere con dati personali o aziendali.
Fidarti del mittente solo perché il nome è familiare.

Approfondimento · Intermedio — Le varianti e come leggere davvero un link

Il phishing «di massa» ha parenti più mirati: lo spear phishing è cucito su misura per te (usa il tuo nome, il tuo ruolo); la truffa del fornitore/CEO (BEC) imita un dirigente o un fornitore per farti pagare una fattura su un IBAN cambiato; ci sono poi lo smishing (via SMS), il vishing (telefonate) e il quishing (QR code che portano a siti falsi).

Leggere un indirizzo web

Il dominio «vero» è l'ultima parte prima della prima barra. In https://posta.azienda.it.login-sicuro.ru/... il dominio reale è login-sicuro.ru, non azienda.it: quest'ultimo è solo un sotto-nome messo lì per ingannare.

Bandiera rossa Una richiesta urgente di pagamento o di cambio coordinate bancarie va sempre verificata con una telefonata a un numero che conosci già, mai a quello scritto nell'email.

Approfondimento · Avanzato — Trucchi tecnici e contromisure

Gli aggressori usano omoglifi (lettere visivamente identiche di altri alfabeti) e indirizzi internazionali codificati (punycode) per creare domini che sembrano autentici. Sfruttano sottodomini lunghi per spingere il dominio reale fuori dallo schermo sul telefono.

Gli allegati pericolosi non sono solo gli eseguibili: documenti Office con macro, file .html che ricreano una pagina di login, archivi .zip/.iso che nascondono il contenuto reale. Per questo l'azienda spesso blocca certi tipi di file.

Lato infrastruttura, il provider riduce la falsificazione del mittente con tre controlli del dominio — SPF, DKIM, DMARC — ma nessun filtro è perfetto: l'occhio umano resta l'ultima barriera.

Se hai già cliccato Non nasconderlo. Se hai inserito una password, cambiala subito da un altro dispositivo e avvisa l'IT; se hai aperto un allegato, scollega il dispositivo dalla rete e segnala. La rapidità limita i danni.