Cos'è il Phishing? Come riconoscere le truffe online e proteggersi Stampa

Prima di procedere leggere le avvertenze generali

Ogni giorno vengono inviate milioni di email e messaggi fraudolenti con un unico obiettivo: convincere le persone a consegnare volontariamente i propri dati personali o il denaro. Questo tipo di truffa è chiamato phishing ed è una delle minacce informatiche più diffuse.

Fortunatamente, imparare a riconoscerlo è più semplice di quanto si pensi.

Cos'è il phishing?

Il phishing è una tecnica utilizzata dai criminali informatici per ingannare le persone facendosi passare per aziende, banche, corrieri, enti pubblici o altri servizi affidabili.

L'obiettivo è spingere la vittima a:

• inserire username e password;

• comunicare dati della carta di credito;

• fornire codici di accesso o di verifica;

• scaricare un malware;

• effettuare un pagamento.

In pratica, il truffatore cerca di convincerti a fare spontaneamente qualcosa che non dovresti fare.

Come funziona?

Il meccanismo è quasi sempre lo stesso.

Ricevi un messaggio che sembra provenire da un'organizzazione conosciuta.

Ad esempio:

• la tua banca;

• il corriere che dovrebbe consegnare un pacco;

• il gestore della posta elettronica;

• un social network;

• un servizio di streaming;

• un fornitore di energia.

Il messaggio contiene quasi sempre un invito ad agire rapidamente.

Ad esempio:

• "Il tuo account sarà bloccato."

• "È necessario verificare la tua identità."

• "Hai ricevuto un rimborso."

• "Il tuo pacco non può essere consegnato."

• "È stato rilevato un accesso sospetto."

Cliccando sul link, si viene indirizzati a un sito che sembra identico a quello originale, ma che in realtà è stato creato dai truffatori.

Se inserisci le tue credenziali, queste vengono immediatamente rubate.

Il phishing arriva solo tramite email?

No.

Oggi il phishing può arrivare attraverso diversi canali.

Email

È la forma più conosciuta.

SMS (Smishing)

Ricevi un messaggio sul telefono con un link che invita a effettuare un pagamento o verificare un account.

Telefonate (Vishing)

Un finto operatore della banca o dell'assistenza tecnica ti chiede password, codici OTP o altri dati riservati.

Messaggi su WhatsApp o Telegram

Sempre più truffe vengono diffuse tramite app di messaggistica, spesso sfruttando contatti conosciuti o account compromessi.

Social Network

Anche Facebook, Instagram, LinkedIn e altri social possono essere utilizzati per inviare messaggi fraudolenti.

Come riconoscere un tentativo di phishing?

Esistono alcuni segnali che dovrebbero sempre far scattare un campanello d'allarme.

Ti viene chiesto di agire con urgenza

Le frasi più comuni sono:

• "Il tuo account verrà sospeso."

• "Hai solo 24 ore."

• "Ultimo avviso."

L'urgenza serve a farti agire senza riflettere.

Ti chiedono password o codici

Nessuna banca o azienda seria ti chiederà via email o telefono:

• la password;

• il PIN;

• i codici OTP;

• i codici della 2FA.

Il mittente sembra strano

A prima vista l'indirizzo può sembrare corretto, ma osservandolo bene si notano piccole differenze.

Ad esempio:

• assistenza@paipaI.com (la "I" al posto della "y")

• amazon-support@mail-random.com

Il link non corrisponde al sito ufficiale

Prima di cliccare, passa il mouse sopra il link (senza aprirlo) e controlla l'indirizzo.

Se il sito non appartiene realmente all'azienda, non cliccare.

Ci sono errori grammaticali

Molte campagne di phishing contengono traduzioni automatiche o errori di ortografia.

Anche se oggi l'intelligenza artificiale ha migliorato molto la qualità dei testi, questo rimane un elemento da valutare.

Cosa fare se ricevi un messaggio sospetto?

La regola principale è molto semplice:

fermarsi e verificare.

Se hai dei dubbi:

• non cliccare sui link;

• non aprire gli allegati;

• non inserire password;

• contatta direttamente l'azienda utilizzando il sito ufficiale o il numero di telefono che già conosci.

E se ho già cliccato?

Non è detto che sia successo qualcosa.

Se però hai inserito username e password:

1. cambia immediatamente la password;

2. attiva (se non è già presente) l'autenticazione a due fattori (2FA);

3. controlla gli accessi recenti al tuo account;

4. avvisa la banca se hai comunicato dati di pagamento;

5. esegui una scansione antivirus se hai scaricato file.

Agire rapidamente può evitare conseguenze più gravi.

Come proteggersi?

Alcune semplici abitudini riducono enormemente il rischio di cadere in una truffa.

• Usa password diverse per ogni servizio.

• Attiva sempre la 2FA quando disponibile.

• Mantieni aggiornati computer e smartphone.

• Controlla sempre l'indirizzo del sito prima di inserire dati.

• Diffida dei messaggi che chiedono azioni immediate.

• Non fornire mai password o codici ricevuti via SMS o tramite app di autenticazione.

In conclusione

Il phishing non sfrutta tanto le vulnerabilità dei computer, quanto quelle delle persone. I truffatori fanno leva sulla fretta, sulla paura o sulla curiosità per convincere le vittime a compiere azioni che sembrano innocue.

Per questo motivo, la migliore difesa è fermarsi qualche secondo in più prima di cliccare su un link o inserire le proprie credenziali.

Quando un messaggio ti chiede di agire con urgenza o di comunicare dati personali, è sempre meglio verificare prima. Bastano pochi minuti di attenzione per evitare problemi ben più seri.