Il phishing moderno non ha più errori di grammatica, i loghi sono perfetti e la grafica è identica all'originale. Chi lo scrive usa gli stessi strumenti di email marketing delle aziende vere. Riconoscerlo "a occhio" non funziona più: servono controlli precisi. Questi cinque bastano quasi sempre, e si fanno in mezzo minuto.
1. Guarda il dominio, non il nome
Nella posta il mittente ha due parti: un nome visualizzato e un indirizzo vero. Il nome lo scrive chi manda il messaggio e può essere qualunque cosa, "Poste Italiane" compreso. Quello che conta è l'indirizzo.
Tocca o clicca sul nome del mittente per far comparire l'indirizzo completo, poi leggi solo quello che sta fra la chiocciola e il primo slash. Quello è il dominio, l'unica parte che non si può falsificare facilmente.
[email protected]→ dominio poste.it, autentico.[email protected]→ il dominio è verifica-conto.com. "poste.it" è solo un pezzo di testo messo lì per ingannare.[email protected]→ dominio diverso da poste.it. Falso.
2. Controlla dove porta il link senza aprirlo
Da computer, appoggia il mouse sul link senza cliccare: in basso a sinistra compare l'indirizzo di destinazione. Da telefono, tieni premuto sul link finché non appare l'anteprima con l'URL completo.
Applica la stessa regola di prima: guarda il dominio. Se il testo dice "banca.it" ma la destinazione è un altro dominio, o un accorciatore tipo bit.ly, non toccarlo.
3. Chiediti se il messaggio ti sta mettendo fretta
Il phishing ha sempre bisogno che tu agisca prima di pensare. Le formule ricorrenti sono poche:
- "Il tuo account sarà sospeso entro 24 ore."
- "Rilevato accesso non autorizzato, verifica subito."
- "Ultimo avviso prima della disattivazione."
- "Hai un rimborso in attesa, richiedilo entro..."
Le comunicazioni vere raramente minacciano conseguenze immediate. L'urgenza è il segnale più affidabile di tutti, più della grafica e più degli errori di ortografia.
4. Verifica che ti chiedano qualcosa di plausibile
Alcune richieste non sono mai legittime, indipendentemente da chi sembra scrivere:
- Inserire password partendo da un link ricevuto via mail.
- Comunicare codici OTP o codici a sei cifre.
- Inserire i dati della carta per ricevere un rimborso o un pagamento.
- Scaricare un allegato che "documenta" un problema, soprattutto se è .zip, .htm, .iso o un documento Office che chiede di attivare le macro.
5. Verifica per un'altra strada
È la mossa che chiude ogni dubbio, e non richiede di capire niente di tecnico: non usare la mail per verificare la mail.
Se il messaggio dice che c'è un problema con il tuo conto, apri l'app della banca. Se dice che una spedizione è bloccata, apri il sito del corriere digitandolo a mano. Se dice che l'account sta per essere chiuso, entra dal sito ufficiale. Se il problema è reale, lo trovi anche lì. Se non c'è, la mail era falsa.
Un caso particolare: le email dai colleghi
In azienda circolano richieste che sembrano arrivare dal titolare o dall'amministrazione: "fai questo bonifico urgente", "manda le credenziali del gestionale", "acquista dei buoni regalo per i clienti". A volte il dominio è quasi identico, a volte è proprio quello vero perché la casella è stata compromessa.
La regola aziendale deve essere fissa: ogni richiesta di pagamento o di credenziali arrivata via mail si conferma per telefono, su un numero già in rubrica. Nessuna eccezione per l'urgenza, che anzi è il segnale.
Se hai già cliccato
Cliccare un link, da solo, di norma non compromette nulla. Il problema nasce se hai inserito dati o scaricato un file. In quel caso: cambia subito la password del servizio interessato da un altro dispositivo, attiva l'autenticazione a due fattori, controlla le regole di inoltro della casella e, se hai aperto un allegato, fai una scansione completa del computer.
Conclusione
Riconoscere il phishing non richiede competenze informatiche: richiede di controllare il dominio, non fidarsi dell'urgenza e verificare sempre da un'altra strada. Sono tre riflessi che si acquisiscono in poco tempo. Se in azienda volete formare il personale su questi automatismi, o testare quanto siete esposti con una simulazione, è una cosa che facciamo abitualmente.