In breve

Cos'è?

Il phishing è qualsiasi messaggio — e-mail, SMS, telefonata, WhatsApp, persino un QR code — che finge di provenire da qualcuno o qualcosa di cui ti fidi, per farti fare qualcosa che altrimenti non faresti.

Il "qualcosa" è di solito uno di questi:

Si chiama phishing (da "fishing", pesca) perché l'attaccante lancia un amo in un vasto stagno. Non sa se tu abboccherai. Gli basta una piccola parte dei destinatari, e l'invio dell'e-mail non gli è costato nulla.

Alcuni termini che potresti sentire:

La tecnica è la stessa. Cambia solo il canale.

Come riconoscerlo?

Il vecchio consiglio era di cercare errori ortografici e grammatica strana. Quel consiglio è ora superato — l'IA può scrivere un'e-mail impeccabile in qualsiasi lingua in due secondi. Devi guardare cosa ti chiede di fare il messaggio, non quanto gentilmente lo chiede.

Lo schema è quasi sempre una versione di tre cose insieme: urgenza, autorità, un'azione.

  1. Urgenza. "Il tuo account verrà chiuso entro 24 ore." "Il tuo pacco verrà restituito." "Accesso sospetto rilevato — conferma adesso." Le vere istituzioni non ti danno quasi mai una scadenza di un'ora o un giorno via e-mail. Inviano una lettera. Ti richiamano tramite la loro app normale. Aspettano.
  2. Autorità. Il messaggio sembra provenire dalla tua banca, dall'agenzia delle entrate, dal governo, da un grande corriere, da un servizio di streaming, dal team IT del tuo datore di lavoro, dal tuo capo. Il logo familiare, i colori giusti, il tono giusto. Chiunque può copiare un logo.
  3. L'azione. Clicca questo link. Conferma questo codice. Rispondi con questo documento. Paga questa piccola commissione per sbloccare il pacco. È qui che puoi fermare l'attacco. Qualunque sia il messaggio, chiediti: se non faccio nulla, cosa succede davvero? La risposta onesta è quasi sempre "niente di grave".

Altri segnali da conoscere:

Cosa fare?

Se non hai ancora agito:

  1. Fermati. Non cliccare. Non rispondere. Non chiamare nessun numero stampato nel messaggio.
  2. Verifica attraverso un canale separato. Se "la tua banca" ti manda un'e-mail, apri la tua app bancaria o il sito che usi normalmente — digitando tu stesso l'indirizzo, non dall'e-mail — e controlla lì. Se "l'agenzia delle entrate" chiama, riaggancia e richiama sul numero ufficiale del loro sito pubblico. Se "il tuo capo" manda una richiesta urgente, vai da lui o chiamalo sul numero che hai già.
  3. Segnala il messaggio ed eliminalo. La maggior parte dei client di posta (Gmail, Outlook, Apple Mail, ProtonMail) ha un pulsante "segnala phishing". Usalo. Gli SMS in molti paesi possono essere inoltrati al 7726 (le cifre formano SPAM in inglese) per essere analizzati dal tuo operatore. Poi elimina l'originale.
  4. Avvisa la famiglia. Se i tuoi genitori, il tuo partner o i tuoi figli condividono un cognome e-mail o un indirizzo di casa, riceveranno probabilmente la stessa campagna entro la giornata. Un messaggio di due righe "occhio a questo" in casa previene più danni di qualsiasi filtro.

Se hai già cliccato o digitato la tua password — i prossimi trenta minuti sono quelli che contano. Mantieni la calma. Segui questo elenco nell'ordine.

  1. Da un dispositivo diverso (non quello su cui hai cliccato, se puoi evitarlo) — cambia la password dell'account di cui hai appena inserito la password. Usa una password forte e unica.
  2. Attiva l'autenticazione a due fattori su quell'account se non è già attiva.
  3. Disconnettiti da tutte le altre sessioni. La maggior parte dei principali account (Google, Microsoft, Apple, Facebook, la tua banca) hanno un pulsante "disconnettimi da tutti i dispositivi" nascosto nelle impostazioni di sicurezza. Premilo.
  4. Controlla l'attività recente dell'account. Posizioni di accesso, e-mail recenti inviate, metodi di pagamento aggiunti, regole di inoltro impostate. I phisher spesso impostano una regola nella casella di posta per coprire le loro tracce — elimina qualsiasi regola che non hai creato tu.
  5. Se hai digitato dati bancari — chiama adesso il numero ufficiale della tua banca. Blocco carta, reset password, verifica transazioni. La banca preferisce molto un avviso di cinque minuti a una sorpresa di cinque giorni.
  6. Se hai digitato un documento d'identità o dati personali — consulta il tema Recupero da furto d'identità; la risposta è diversa e più lenta.
  7. Disconnetti il dispositivo da internet se hai aperto un allegato o scaricato qualcosa. Esegui la scansione di sicurezza integrata del tuo sistema operativo. Se dopo qualcosa sembra sbagliato, considera il dispositivo compromesso e chiedi aiuto.
  8. Avvisa le persone nei tuoi contatti. Un account e-mail compromesso viene spesso usato per fare phishing alle persone che si fidano di te. Un breve messaggio di avviso — inviato tramite un altro canale come WhatsApp o SMS — previene la seconda ondata.

Cosa NON fare

Usare l'IA per aiutarti

Due prompt da copiare. Incolla il messaggio sospetto per intero — incluse le intestazioni se puoi — e lascia che l'IA ti guidi. Non incollare password o codici a due fattori.

Questo messaggio è phishing?

"Ho ricevuto il messaggio qui sotto. Non sono sicuro/a se si tratta di un tentativo di phishing. Analizzalo dalla prospettiva di un professionista della sicurezza esperto e dimmi: (a) quali segnali d'allarme vedi, (b) come appare effettivamente il dominio del mittente e come differisce dalla vera organizzazione, (c) cosa specificamente il messaggio mi chiede di fare, e (d) su una scala da 1 a 10, quanto è probabile che si tratti di un tentativo di phishing, con la tua motivazione. Se dovessi fare qualcosa adesso, elenca i primi tre passi nell'ordine.

Messaggio: [incolla qui]"

Ho già cliccato — e ora?

"Ho cliccato un link in quella che credo ora fosse un'e-mail di phishing. Sulla pagina su cui ho cliccato, ho inserito [la mia e-mail e password / il mio numero di carta di credito / il mio documento d'identità / un codice a due fattori]. Costruiscimi un piano di recupero calmo passo per passo per i prossimi 30 minuti, in ordine di priorità. Poi dimmi cosa dovrei monitorare nelle prossime due settimane."

Un promemoria: l'IA può sbagliare con sicurezza sulla legalità, sui numeri di contatto, o sui diritti di recupero nel tuo paese specifico. Usa l'IA per ragionare, non per sostituire una rapida verifica con la vera banca o autorità.

Chi chiamare?

L'ordine è quasi sempre lo stesso:

  1. La tua banca — se sono coinvolti soldi o dati della carta. Il numero ufficiale sul retro della tua carta o nell'app della tua banca, mai quello nel messaggio.
  2. La vera organizzazione che viene imitata. Trova tu stesso la loro pagina di contatto ufficiale e segnala il phishing — tengono registri e li usano per abbattere i siti falsi.
  3. La piattaforma da cui è arrivato il messaggio (provider e-mail, operatore SMS, messenger). La maggior parte ha una funzione con un clic "segnala phishing" o "segnala truffa".
  4. L'autorità antifrode del tuo paese.

Trovare i contatti più recenti per il tuo paese con l'IA:

"Sono in [il tuo paese]. Elenca gli enti ufficiali governativi e di polizia a cui dovrei segnalare un tentativo di phishing o una frode online — autorità antifrode, centro nazionale per la cybersicurezza, unità cybercrimine della polizia, ombudsman bancario, eventuale short-code SMS antispam telecom. Per ognuno, fornisci l'URL ufficiale e il numero di telefono pubblico, e dimmi quale contattare per primo a seconda che (a) il denaro sia stato trasferito, (b) sia stata data solo una password, o (c) sia stato consegnato un documento d'identità. Cita la fonte ufficiale per ognuno. Se qualcosa potrebbe essere obsoleto, dillo esplicitamente."

Un breve elenco per l'area italofona (per i dati più aggiornati, preferisci il prompt IA sopra):

Se il tuo paese non è elencato, usa il prompt IA sopra o cerca "[tuo paese] centro nazionale per la cybersicurezza" o "[tuo paese] segnalazione antifrode". La maggior parte ha un unico portale ufficiale.

Quando escalare oltre la chat

Fonti e letture aggiuntive