Quasi nessuna email di phishing è perfetta. Ci sono quasi sempre delle crepe, piccoli dettagli che tradiscono la truffa — se sai dove guardare. Quelli che seguono sono gli 8 segnali da memorizzare. Riconoscerne anche uno solo dovrebbe far scattare il dubbio.

“Vabbè, hanno la mia password di un sito qualunque, che male fa?” — domanda comprensibile, risposta scomoda: tanto. Le conseguenze di un singolo click sbagliato vanno ben oltre quel sito.

Le conseguenze più frequenti

• Furto di credenziali e identity reuse. Se usi la stessa password su più siti — fortemente sconsigliato — il criminale la prova ovunque: email, banche, social, gestionali aziendali.
• Ransomware. Il malware criptato che entra spesso da un allegato innocuo blocca tutti i file aziendali e chiede un riscatto in Bitcoin. Anche pagando, nel 35% dei casi i dati non vengono ripristinati.
• Frode bancaria diretta. Con accesso al tuo home-banking via SCA aggirato (vedi segnale 6), il truffatore svuota i conti o autorizza bonifici verso conti esteri.
• Compromissione di tutta l’azienda. Una volta dentro la tua casella email aziendale, l’attaccante può:

• leggere conversazioni con clienti e fornitori per impersonarli (fattura modificata con IBAN cambiato — è la truffa BEC, in Italia si moltiplica del 38% l’anno)
• resettare password di altri servizi che usano la tua mail come recovery
• installare regole di forward nascoste per spiare il traffico futuro
• chiedere bonifici “urgenti” ai colleghi del finance

• Conseguenze legali e reputazionali. Se la violazione coinvolge dati personali (clienti, dipendenti), la normativa GDPR impone notifica al Garante entro 72 ore e può scattare una sanzione fino al 4% del fatturato.

Caso reale · Il dipendente, il bonifico, i €220.000

Un caso documentato da Polizia Postale italiana nel 2023, semplificato per il corso. L’impiegata amministrativa di una PMI veneta riceve giovedì pomeriggio un’email apparentemente dal CEO — indirizzo identico, intestazione perfetta, persino la firma standard dell’azienda. Il messaggio le chiede un bonifico urgente di €220.000 a un nuovo fornitore per “chiudere un’operazione di acquisizione strategica” e raccomanda massima riservatezza, “anche col CFO, fino a domani”. L’orario è strategico: il CEO è davvero in volo verso una fiera estera (informazione pubblica su LinkedIn).

L’impiegata procede col bonifico tramite home-banking aziendale, autorizzato con OTP. Trenta secondi di esitazione iniziale, poi la fiducia nel “capo” prevale sulla cautela. Il giorno dopo il CEO atterra e chiede candidamente “che bonifico?”. I €220.000 sono già passati da tre conti in Stati diversi e arrivati a Hong Kong: irrecuperabili.

L’attaccante non aveva “rubato” la casella del CEO: aveva configurato un dominio quasi identico (un trattino nascosto nel nome) e una grafica clonata. Il mittente sembrava giusto perché il client email mostra solo il nome visualizzato — non l’indirizzo completo, se non lo apri esplicitamente. Tutti i segnali rossi erano presenti: urgenza, segretezza, mittente leggermente diverso, richiesta atipica via email. Una sola telefonata al CEO avrebbe sventato la truffa. Trenta secondi.

Riconoscere il phishing è la prima linea. Ma anche i più attenti sbagliano: per questo serve un secondo strato di protezione tecnica. Queste sono le 5 misure che dimezzano statisticamente il rischio di cadere vittima di un attacco serio.

1. Attiva l’autenticazione a due fattori (MFA) ovunque

Se attivi un secondo fattore — un’app come Google Authenticator, Microsoft Authenticator, Authy o una chiave fisica come YubiKey — anche se ti rubano la password, l’attaccante non entra. Microsoft afferma che l’MFA blocca il 99,2% degli account take-over.

Priorità da proteggere subito: email principale, banca online, gestionali aziendali, account social con tanti follower.

2. Usa un password manager

Una password unica per ogni sito, lunga 16+ caratteri, fatta di parole casuali — è impossibile da ricordare a memoria. È esattamente il motivo per cui esistono strumenti come Bitwarden, 1Password, Dashlane, KeePass: tu ricordi una sola “master password” forte, lui ricorda tutte le altre.

Bonus: il password manager non compila i campi su un sito sbagliato. Se sei su arnazon-it.com e la password non si auto-compila, è un segnale che il sito non è quello vero.

3. Mantieni aggiornati sistema, browser e applicazioni

Buona parte degli attacchi sfrutta vulnerabilità note per cui il vendor ha già rilasciato la patch — solo che l’utente non l’ha installata. “Ricordami più tardi” è una delle frasi più costose dell’informatica. Attiva gli aggiornamenti automatici di Windows/macOS, del browser e dell’antivirus.

4. Diffida sempre della verifica via altro canale

Se ricevi un’email “sospetta” da una persona o ente che conosci, verifica via un canale diverso: chiama al numero che hai sempre usato (non quello scritto nell’email!), apri il sito ufficiale digitando l’URL a mano, manda un WhatsApp a un numero che già avevi.

Il tuo capo ti chiede via email un bonifico urgente da €15.000? Alzati e vai a chiederglielo di persona, o chiamalo al cellulare. 30 secondi che possono salvarti decine di migliaia di euro.

5. Segnala

Se ricevi un’email sospetta, segnalala al reparto IT o al referente sicurezza della tua azienda. Anche se sospetti soltanto. La tua segnalazione permette di:

• bloccare il mittente per tutta l’organizzazione prima che colpisca un collega meno attento
• cancellare l’email da tutte le caselle aziendali
• aggiornare i filtri anti-phishing

E se hai cliccato per sbaglio o inserito una password? Stessa cosa: segnala subito, non per nasconderti ma per agire. Cambiare la password compromessa e l’eventuale secondo fattore nel giro di pochi minuti riduce drasticamente i danni. Aspettare un giorno per imbarazzo può trasformare un piccolo incidente in un disastro.

Domande frequenti

Ho cliccato sul link ma non ho inserito nulla. Cosa rischio?

Nella maggior parte dei casi: niente di drammatico. Il solo click può però far partire il download silenzioso di un malware, soprattutto se il browser è obsoleto o se l’antivirus è disattivato. Per sicurezza: verifica che non siano stati scaricati file, esegui una scansione antivirus aggiornata, riavvia il browser. Se il sito ti ha chiesto di “consentire le notifiche”, revoca il permesso subito.

L’email di phishing è arrivata dalla casella di un collega reale. È davvero lui?

Molto probabilmente no: la sua casella è stata compromessa e l’attaccante la sta usando come trampolino (la chiamiamo email vendor compromise). Il collega non sa che la sua casella manda email truffaldine al resto dell’azienda. Non rispondere all’email — chiama il collega su un canale diverso per avvisarlo, così che cambi password e MFA. Segnala anche all’IT.

Posso essere sicuro al 100% che un’email sia legittima?

No, mai al 100%. Anche le firme digitali e i protocolli SPF/DKIM/DMARC riducono il rischio ma non lo azzerano. Per le richieste rilevanti (denaro, dati sensibili, modifica IBAN fornitori), la verifica via canale separato è obbligatoria, sempre. Una telefonata di 30 secondi vale 30.000 euro.

Quanto è sicuro il browser nel proteggere dal phishing?

I browser moderni (Chrome, Firefox, Edge, Safari) integrano liste di siti malevoli noti — Google Safe Browsing, Microsoft SmartScreen — e ti avvisano prima del download di un eseguibile sospetto. Funzionano bene per le campagne di massa già note. Ma contro una campagna nuova, mirata, o un sito ospitato su un dominio appena registrato, possono volerci ore o giorni prima che il filtro lo conosca. Non puoi delegare la tua sicurezza solo al browser.

Cos’è SPF / DKIM / DMARC?

Sono tre standard tecnici che permettono al dominio di un’azienda di “firmare” digitalmente le sue email, in modo che il server di posta destinatario possa rifiutare i messaggi che fingono di venire da quel dominio. Se la tua azienda li ha configurati correttamente, molto del phishing che impersona vostri colleghi viene bloccato prima ancora che arrivi in inbox. Chiedi all’IT se sono attivi al massimo livello (p=reject in DMARC).

Come funziona il “phishing con AI”?

L’AI generativa (tipo ChatGPT) viene già usata dai cybercriminali per: scrivere email in italiano perfetto adattate al target, generare audio deepfake che imita la voce del CEO per truffe telefoniche, clonare il volto in videochiamata per BEC avanzati. La conseguenza pratica: non puoi più fidarti della “qualità linguistica” e neppure di una voce familiare al telefono se l’argomento è denaro. Verifica sempre via canale separato e, per cifre importanti, anche con domanda di sicurezza (“In che ristorante siamo andati venerdì scorso?”).

Complimenti, hai superato tutti e quattro i mini-quiz e portato a termine la formazione sul phishing. Riepilogo di quello che hai imparato:

• Modulo 1. Il phishing è ingegneria sociale: l’attaccante usa la tua psicologia, non la tecnologia, per farti consegnare le chiavi.
• Modulo 2. Gli 8 segnali rossi (dominio, urgenza, lingua, link, allegati, richieste di password, saluti generici, contesto incoerente) vanno controllati prima di cliccare.
• Modulo 3. Una sola email sbagliata può costare centinaia di migliaia di euro: il caso BEC documentato lo dimostra.
• Modulo 4. Le 5 difese pratiche (MFA, password manager, aggiornamenti, verifica via canale separato, segnalazione) dimezzano il rischio.