Phishing: come riconoscere un’email truffa prima di cliccare
Mittente, link, allegati e tono di urgenza: i quattro controlli da fare in dieci secondi, e cosa fare se qualcuno ha già cliccato.
In questo articolo 7 sezioni
In breve
- Il phishing resta il modo più comune per entrare in una rete aziendale: basta un clic sul link sbagliato.
- Mittente, link, allegati e tono di urgenza sono i quattro punti da controllare prima di agire.
- Se qualcuno ha già cliccato, conta la velocità: cambiare la password e avvisare subito chi gestisce l’IT.
Un’email che sembra arrivare dalla banca, dal corriere o da un fornitore abituale. Chiede di aggiornare un dato, di pagare una fattura, di aprire un documento condiviso. È il phishing, e funziona perché non attacca i computer ma le persone: chi la riceve è di fretta, il messaggio sembra plausibile, il clic parte.
Gli strumenti di filtro della posta ne bloccano la maggior parte, ma qualcuna passa sempre. Per questo la difesa più efficace è un’abitudine: fermarsi dieci secondi e controllare poche cose, sempre le stesse.
Il mittente: guarda l’indirizzo, non il nome
Il nome visualizzato si può scrivere a piacere. “Ufficio Amministrazione” o il nome di un collega non dicono nulla. Quello che conta è l’indirizzo vero, che si vede passando il mouse sul nome o toccandolo sul telefono.
I trucchi più comuni sono domini simili all’originale: una lettera in più, una sostituita (la “l” al posto della “i”), un trattino, un dominio diverso come .com al posto di .it. Se un fornitore che ti scrive da anni all’improvviso usa un indirizzo Gmail, c’è qualcosa che non va.
I link: leggi dove portano prima di cliccare
Il testo di un link può dire una cosa e portare altrove. Su computer basta passarci sopra con il mouse e leggere l’indirizzo che compare in basso. Su smartphone si tiene premuto il link senza aprirlo.
Diffida di indirizzi lunghi e confusi, di domini che non c’entrano con il mittente e delle pagine di accesso raggiunte da un’email. Se il messaggio dice di accedere a Microsoft 365, alla banca o a un portale, è più sicuro aprire il sito digitandolo a mano o dai preferiti.
Gli allegati: i formati da trattare con cautela
Fatture in formato .zip, documenti Office che chiedono di “abilitare il contenuto”, file .html o .iso inviati come allegato: sono i veicoli preferiti per installare programmi malevoli. Un PDF inatteso da un mittente sconosciuto merita la stessa diffidenza.
Una buona regola per l’ufficio: se non aspettavi quel file, chiedi conferma al mittente con un canale diverso, per esempio una telefonata al numero che hai già in rubrica, non quello scritto nell’email.
Il tono: urgenza e pressione sono un segnale
“Il tuo account sarà sospeso entro 24 ore.” “Bonifico urgente da fare oggi, sono in riunione e non posso rispondere.” Chi scrive phishing vuole che tu agisca prima di pensare. Più il messaggio mette fretta, più vale la pena rallentare.
Un caso particolare è la truffa del falso fornitore: arriva una comunicazione di “cambio IBAN” per le fatture future. Prima di modificare qualsiasi coordinata bancaria in contabilità, la verifica telefonica con il fornitore dovrebbe essere una regola scritta, senza eccezioni.
Una procedura semplice da appendere in ufficio: mittente verificato, link controllato, allegato atteso, nessuna richiesta di pagamento o password via email. Se uno dei quattro punti non torna, non si clicca e si chiede.
Se hai già cliccato
Succede anche alle persone attente. In quel momento conta la rapidità, non la colpa.
- Se hai inserito una password, cambiala subito, partendo da quella della posta, e su tutti i servizi dove la usavi uguale.
- Avvisa chi gestisce l’informatica in azienda: può controllare accessi strani, bloccare sessioni aperte e verificare il computer.
- Se hai aperto un allegato e il computer si comporta in modo anomalo, scollega il cavo di rete o disattiva il Wi-Fi, ma non spegnerlo: aiuta l’analisi.
- Segnala l’email come phishing dal tuo programma di posta, così il filtro impara.
Un dipendente che segnala subito il proprio errore va ringraziato. Se teme una ramanzina, la prossima volta starà zitto, e il danno sarà più grande.
Le difese tecniche che aiutano davvero
La formazione da sola non basta, serve anche un minimo di configurazione. Le misure che riducono di più il rischio sono poche:
- autenticazione a più fattori sulla posta e sugli accessi da remoto, così una password rubata da sola non basta;
- record SPF, DKIM e DMARC configurati sul dominio aziendale, che rendono più difficile falsificare il tuo indirizzo verso clienti e fornitori;
- un filtro antispam che analizzi link e allegati prima della consegna;
- simulazioni periodiche di phishing, utili per capire chi ha bisogno di un ripasso senza mettere nessuno alla gogna.
Se vuoi capire quanto è esposta la tua posta aziendale, possiamo controllare insieme la configurazione del dominio e degli accessi. Trovi i dettagli nella pagina dedicata alla cybersecurity.
