Perché il phishing funziona ancora
Nonostante anni di campagne di sensibilizzazione, il phishing resta uno dei vettori d'attacco più efficaci, perché non sfrutta una falla tecnica ma la fiducia e la fretta di chi legge: un'email che sembra urgente, che sembra arrivare da un collega, una banca o un fornitore noto, spinge a cliccare prima di riflettere. Conoscere i segnali concreti da controllare riduce drasticamente il rischio di cadere nel trucco.
L'indirizzo del mittente, non solo il nome visualizzato
Il nome visualizzato in un client di posta può essere impostato liberamente da chi invia l'email, e non garantisce nulla: un messaggio che mostra "Amministrazione EGSOFT" può in realtà provenire da un indirizzo completamente estraneo. Vale sempre la pena controllare l'indirizzo email completo del mittente (spesso basta passare il mouse sopra il nome, o toccarlo su mobile), verificando che il dominio dopo la chiocciola corrisponda davvero a quello atteso, senza errori di battitura sottili (come una "m" al posto di "rn", o un dominio simile ma diverso).
Il link mostrato non è per forza il link reale
Allo stesso modo, il testo di un link visualizzato in un'email non corrisponde necessariamente all'indirizzo a cui porta realmente: passando il mouse sopra il link (senza cliccare) la maggior parte dei client di posta e dei browser mostra in basso l'URL di destinazione effettivo. Se il dominio mostrato non corrisponde al servizio che dice di rappresentare, è un segnale d'allarme evidente.
Il senso di urgenza è un'arma retorica
Le email di phishing usano quasi sempre un linguaggio che spinge ad agire subito senza pensare: "il tuo account verrà sospeso entro 24 ore", "pagamento in scadenza", "attività sospetta rilevata". Questa pressione temporale è una tecnica deliberata di ingegneria sociale: un mittente legittimo, nella stragrande maggioranza dei casi, non richiede un'azione immediata sotto minaccia di conseguenze gravi entro poche ore.
Allegati e richieste di credenziali
Un allegato inatteso, specialmente se in un formato eseguibile o con macro (file .exe, .js, o documenti Office che richiedono di "abilitare i contenuti"), va sempre trattato con sospetto se non era previsto. Allo stesso modo, nessun servizio legittimo chiede mai la password via email: qualsiasi messaggio che richiede di "confermare" credenziali cliccando un link e inserendo la password su una pagina raggiunta da quel link è, con altissima probabilità, un tentativo di phishing.
Nel dubbio, verifica da un altro canale
Se un'email sembra provenire da un collega, un fornitore o la propria banca ma qualcosa non convince, il modo più sicuro per verificare non è rispondere all'email stessa, ma contattare il presunto mittente attraverso un canale diverso e già noto — una telefonata al numero già salvato, un messaggio su un canale aziendale interno — invece di usare i contatti forniti nell'email sospetta.