Riconoscere il phishing in e-mail e SMS: 6 segnali d’allarme che funzionano

Il phishing è uno dei trucchi più vecchi di Internet e funziona ancora perché prende di mira le persone, non il software. Arriva un messaggio che sembra della vostra banca, di un corriere, del datore di lavoro o di un servizio di streaming. Vi chiede di cliccare un link, aprire un allegato o «confermare» dei dati. L’obiettivo è quasi sempre lo stesso: rubare una password, un numero di carta o l’accesso a un account.

La buona notizia è che non serve essere esperti per individuare la maggior parte dei tentativi. Bastano poche abitudini e la pazienza di fermarsi dieci secondi prima di agire.

1. Urgenza e pressione

I truffatori vogliono che agiate prima di pensare. Frasi come «il tuo account verrà chiuso entro 24 ore», «rilevata attività insolita» o «ultimo avviso» sono pensate per provocare panico. Le organizzazioni legittime a volte inviano messaggi urgenti, ma raramente minacciano conseguenze immediate tramite un link inatteso. Più un messaggio sembra urgente, più dovete rallentare.

2. Un indirizzo mittente leggermente diverso

Il nome visualizzato può dire qualsiasi cosa, come «Assistenza della tua banca». Conta l’indirizzo reale. Cercate domini con errori (lettera in più o scambiata), indirizzi gratuiti usati da presunte grandi aziende e domini non correlati che iniziano solo con un nome di marca noto.

3. Link che non corrispondono al testo

Un link può mostrare «tuabanca.it» e portare altrove. Sul computer, passate il mouse senza cliccare e guardate l’indirizzo in fondo alla finestra. Sul telefono, tenete premuto per l’anteprima. Se la destinazione è sconosciuta o è un link abbreviato che non potete verificare, non apritelo.

4. Richieste di informazioni sensibili

Le aziende serie in genere non chiedono password, numeri di carta completi, codici monouso o risposte di sicurezza via e-mail o SMS. I codici di verifica non vanno mai comunicati a chi vi ha contattato.

5. Allegati inattesi

Fatture, «messaggi vocali», etichette di spedizione e «documenti condivisi con te» sono travestimenti comuni del malware. Se non aspettavate un file, non apritelo. Anche un mittente noto può essere stato violato: confermate tramite un altro canale.

6. Contatto che si sposta su un altro canale

I truffatori spesso partono da un’e-mail e poi vi spingono verso un’app di messaggistica, una telefonata o un programma di accesso remoto. Siate particolarmente cauti se qualcuno vi chiede di installare software per «aiutarvi» con un problema che non avevate segnalato.

Cosa fare nel dubbio

1. Fermatevi. Non cliccate, non rispondete, non chiamate il numero nel messaggio.
2. Andate direttamente alla fonte. Digitate voi l’indirizzo del sito ufficiale o usate l’app ufficiale.
3. Usate un contatto fidato. Cercate il numero sulla carta, su un estratto o sul sito ufficiale, non nel messaggio.
4. Segnalate, poi eliminate il messaggio.

Se avete già cliccato

Cambiate la password sul sito vero (e ovunque l’abbiate riutilizzata), attivate l’autenticazione a due fattori, chiamate la banca a un numero ufficiale se avete comunicato dati della carta e monitorate i conti.

Non potete impedire a ogni messaggio truffaldino di arrivare, ma potete limitare i danni con una password unica per ogni account. Il nostro generatore di password funziona nel browser.