Il phishing è un inganno: qualcuno si presenta come un interlocutore affidabile per ottenere dati, accessi o un'azione che gli conviene. Il caso classico sono le email che imitano banche, aziende e servizi online.
Il meccanismo decisivo però non è tecnico. Il messaggio punta a trasformare fiducia, fretta o preoccupazione in un clic, e ci riesce molto più spesso di quanto la gente ammetta.
Come funziona un tentativo
L'esempio tipico è una mail con logo e aspetto di un'organizzazione che conosci. Ti chiede di aggiornare i dati, risolvere un problema o aprire un collegamento.
La pagina che raggiungi imita quella vera e raccoglie le credenziali che inserisci. Altre varianti chiedono informazioni direttamente o ti spingono ad aprire un allegato. E non è solo posta elettronica: l'impersonificazione funziona anche via messaggi e su altri canali.
Un logo familiare non dimostra niente sull'identità del mittente. Quello che conta è che cosa ti viene chiesto, e per quale strada puoi verificare quella richiesta.
Il ruolo dell'ingegneria sociale
Uso l'espressione «ingegneria sociale» per indicare la manipolazione delle persone. Non è una disciplina ingegneristica: descrive tecniche che sfruttano il contesto umano.
Una scadenza improvvisa, la minaccia di un blocco, una richiesta che sembra arrivare dal tuo responsabile: tutte servono a ridurre il tempo che dedicheresti alla verifica. E un messaggio scritto benissimo può essere una truffa perfetta.
Gli indizi utili, e quelli che non bastano
Errori grammaticali, indirizzi insoliti e richieste inattese meritano attenzione. Ma devo correggere un peso eccessivo che avevo dato agli errori di lingua: non ho una base per la percentuale che citavo. Un italiano corretto non rende autentica una mail, e un refuso non ne fa una truffa.
Anche il nome visualizzato del mittente può essere fuorviante. Controllare l'indirizzo vero e la destinazione di un collegamento aiuta, ma non sostituisce una verifica indipendente quando in ballo ci sono accessi o dati sensibili.
Il controllo più semplice è anche il più efficace: apri il servizio dal percorso che usi sempre, senza toccare il collegamento ricevuto. Oppure contatta l'organizzazione con un riferimento che avevi già.
Browser e aggiornamenti: una difesa in più
I filtri del browser segnalano pagine note come pericolose. «Note» è la parola chiave: l'assenza di un avviso non certifica un sito. E nessun antivirus può impedirti di consegnare volontariamente una password alla pagina sbagliata.
Informazione, verifica delle richieste e manutenzione dei dispositivi lavorano insieme. Riconoscere e segnalare il phishing, oltre ad aggiornare il software, sta anche nelle indicazioni di sensibilizzazione della CISA. Risorse Secure Our World.
Che cosa fare se hai già comunicato dei dati
Dipende da che cosa hai esposto. Se è una password, recupera il controllo dal servizio vero e controlla sessioni attive e impostazioni dell'account — spesso è lì che restano gli accessi indesiderati. Se riguarda una carta o un conto, chiama la banca da un canale ufficiale, subito.
Bloccare una carta limita gli usi futuri, non annulla le operazioni già avvenute. Conserva il messaggio e i dettagli per poterlo segnalare, senza però inoltrare collegamenti pericolosi ad altre persone.
Una truffa che tocca anche il lavoro
Se viene compromesso un account aziendale, l'effetto non resta sul singolo. Accessi e conversazioni diventano lo strumento per raggiungere altri contatti, e a quel punto la mail truffaldina arriva da un indirizzo vero.
La risposta utile non è colpevolizzare chi ha cliccato — che è il modo migliore per far sì che la prossima volta non lo dica a nessuno. È rendere facile fermarsi, verificare e segnalare in fretta, prima che l'inganno si propaghi.
