Il phishing è un tentativo di inganno con cui qualcuno si presenta come un interlocutore affidabile per ottenere dati, accessi o altre azioni a proprio vantaggio. Nel video mi concentro sulle email che imitano banche, aziende e servizi online.

Il meccanismo decisivo non è soltanto tecnico: il messaggio cerca di trasformare la fiducia, la fretta o la preoccupazione in un'azione che favorisce il truffatore.

Come funziona un tentativo di phishing

L'esempio descritto è una mail che riprende logo e aspetto di un'organizzazione conosciuta. Può chiedere di aggiornare i dati, risolvere un problema oppure aprire un collegamento.

La pagina raggiunta può imitare quella autentica e raccogliere le credenziali inserite. Altre varianti chiedono direttamente informazioni o spingono ad aprire un allegato. Il phishing non è limitato alla posta elettronica: il principio dell'impersonificazione può comparire anche in messaggi e altri canali.

Per questo un logo familiare non dimostra l'identità del mittente. Il messaggio va valutato per ciò che chiede e per il percorso con cui si può verificare la richiesta.

Il ruolo dell'ingegneria sociale

Nel parlato uso l'espressione “ingegneria sociale” per indicare la manipolazione delle persone. Non significa che si tratti necessariamente di una disciplina ingegneristica formale: qui descrive tecniche che sfruttano il contesto umano.

Una scadenza improvvisa, una minaccia di blocco o una richiesta apparentemente proveniente da un responsabile possono ridurre il tempo dedicato alla verifica. Anche un messaggio ben scritto può essere fraudolento.

Gli indizi utili e quelli che non bastano

Errori grammaticali, indirizzi insoliti e richieste inattese meritano attenzione. Nel video attribuisco agli errori di lingua un peso troppo netto: non esiste, nei materiali disponibili, una base per la percentuale citata. Un italiano corretto non rende autentica una mail e un refuso non la rende automaticamente una truffa.

Anche il nome visualizzato del mittente può essere fuorviante. Controllare l'indirizzo e la destinazione di un collegamento aiuta, ma non sostituisce una verifica indipendente quando la richiesta riguarda accessi o dati sensibili.

Il controllo più semplice consiste nell'aprire il servizio attraverso il percorso abituale, senza usare il collegamento ricevuto, oppure nel contattare l'organizzazione tramite riferimenti già verificati.

Browser e aggiornamenti: una difesa aggiuntiva

Nel video richiamo i filtri del browser. Possono segnalare pagine note come pericolose, ma l'assenza di un avviso non certifica un sito. Nemmeno un antivirus rende impossibile consegnare volontariamente una password alla pagina sbagliata.

Informazione, verifica delle richieste e manutenzione dei dispositivi lavorano insieme. Riconoscere e segnalare il phishing, oltre ad aggiornare il software, rientra anche nelle indicazioni di sensibilizzazione di CISA. Risorse Secure Our World.

Che cosa fare dopo aver comunicato dei dati

L'azione dipende da ciò che è stato esposto. Se riguarda una password, occorre recuperare il controllo tramite il servizio autentico e verificare le sessioni e le impostazioni dell'account. Se riguarda una carta o un conto, bisogna contattare tempestivamente la banca attraverso un canale ufficiale e seguire le sue indicazioni.

Bloccare una carta può limitare ulteriori utilizzi, ma non annulla automaticamente operazioni già avvenute. Conservare il messaggio e i dettagli dell'accaduto aiuta a segnalare il problema senza inoltrare collegamenti pericolosi ad altre persone.

Una truffa che può coinvolgere anche il lavoro

Nel video considero il caso di un account aziendale compromesso. L'effetto può andare oltre il singolo utente: accessi e conversazioni possono essere sfruttati per raggiungere altri contatti.

La risposta utile non è colpevolizzare chi ha cliccato. È rendere facile fermarsi, verificare e segnalare rapidamente una richiesta sospetta, prima che l'inganno si propaghi.