Come riconoscere un'email di phishing: 12 campanelli d'allarme (con esempi realistici)

Che cos'è davvero il phishing (in un minuto)

Il phishing è un messaggio che finge di arrivare da qualcuno di cui ti fidi, come la tua banca, un corriere, Netflix, il tuo capo o persino un amico, per convincerti a consegnare qualcosa di prezioso. Di solito si tratta di una password, di un codice monouso, dei dati della carta o semplicemente di un clic su un link che ti installa qualcosa di sgradevole.

Funziona perché costa poco. Un truffatore può inviare un milione di email quasi gratis, e anche se ci cascano solo in pochi, gli conviene. Per questo queste email sono pensate per la velocità: vogliono che tu reagisca prima di pensare. Rallentare per dieci secondi è, sinceramente, la difesa migliore che hai, e i campanelli d'allarme qui sotto ti dicono cosa guardare in quei dieci secondi.

I 12 campanelli d'allarme

1. L'indirizzo del mittente non corrisponde all'azienda

Il nome visualizzato può dire qualsiasi cosa. "Assistenza PayPal" è solo testo. Quello che conta è l'indirizzo vero che c'è dietro. Tocca il nome o passaci sopra con il mouse per vederlo.

• Sembra a posto: [email protected]
• Campanello d'allarme: [email protected]
• Campanello d'allarme: [email protected]

Le grandi aziende inviano dal proprio dominio. Non ti scrivono da un indirizzo gratuito Gmail o Outlook e non attaccano al loro nome parole in più come "secure", "verify" o "account".

2. Un dominio scritto quasi uguale

I truffatori registrano domini che a colpo d'occhio sembrano giusti: arnazon.com (r + n sembra una m), paypa1.com (il numero 1 al posto della lettera l) o micros0ft.com (uno zero al posto della o). Sul piccolo schermo dello smartphone sono difficilissimi da notare, ed è proprio per questo che vengono usati. Leggi il dominio con calma, lettera per lettera.

3. Fretta e minacce

"Il tuo account verrà chiuso entro 24 ore." "Ultimo avviso." "Verranno intraprese azioni legali." Le aziende vere raramente ti mettono un conto alla rovescia via email. L'urgenza serve a non farti ragionare. Ogni volta che un'email ti mette fretta o paura, considera quella sensazione stessa come un segnale d'allarme.

4. Il link porta da un'altra parte

Il pulsante può dire "Accedi al tuo account", ma dove porta davvero? Sul computer, passa il mouse sopra il link e guarda l'indirizzo nell'angolo in basso del browser. Sullo smartphone, tieni premuto il link per vederne l'anteprima senza aprirlo.

• L'email dice di arrivare dalla tua banca, ma il link porta a secure-login-bank.xyz
• Il link inizia con il nome giusto, ma il vero dominio arriva dopo: https://netflix.com.account-update.info/login (qui il sito vero è account-update.info, non Netflix)

5. Un saluto generico

"Gentile cliente", "Caro utente" o "Salve, stimato membro". Un'azienda presso cui hai un account di solito conosce il tuo nome. Un saluto generico non dimostra che l'email sia falsa, ma insieme a qualsiasi altro segnale di questa lista è un indizio forte.

6. Ti chiede password, codici o dati della carta

Questa è facile: nessuna banca, negozio o provider email vero ti chiederà mai di rispondere con la tua password, il numero completo della carta o il codice monouso che ti hanno appena mandato via SMS. Quel codice esiste proprio perché solo tu possa usarlo. Se qualcuno te lo chiede, via email, chat o telefono, è una truffa. Sempre.

7. Un allegato che non aspettavi

"Fattura_0423.zip", "Dettagli_pagamento.html", "Documento_scansionato.pdf.exe". Gli allegati inattesi, soprattutto file ZIP, file HTML o qualsiasi cosa ti chieda di "abilitare la modifica" o "abilitare le macro", sono un metodo classico per installare malware. Se non aspettavi una fattura, non aprire la fattura.

8. Un'offerta troppo bella per essere vera

"Hai vinto un iPhone 16." "Riscatta la tua gift card da 500 $." "Il tuo rimborso fiscale di 1.240 $ ti aspetta." Non hai partecipato a nessun concorso, quindi non hai vinto niente. Queste email di solito portano a un modulo che ti chiede i dati della carta "per coprire le spese di spedizione".

9. Grammatica e impaginazione strane (ma non affidarti solo a questo)

Frasi bizzarre, maiuscole a caso e loghi sgranati erano il modo più facile per smascherare un'email falsa. Oggi molte email di phishing sono scritte con strumenti di IA e sembrano perfette. Quindi considera la grammatica sbagliata un indizio in più, mai il test principale. Anche un'email scritta benissimo può essere falsa.

10. Un indirizzo di risposta diverso dal mittente

Alcune email di phishing arrivano da un indirizzo dall'aria autentica, ma impostano di nascosto un "rispondi a" diverso. Premi Rispondi e la tua risposta finisce al truffatore. Se stai per rispondere con qualcosa di delicato, controlla prima l'indirizzo nel campo "A" della tua risposta.

11. Qualcosa a cui non ti sei mai iscritto

Un avviso di spedizione da un corriere che non hai mai usato, un reset della password che non hai chiesto o una ricevuta per un acquisto che non hai fatto. I truffatori le mandano sperando che tu clicchi per "annullare" o "contestare" l'ordine. Non usare il link dell'email. Se sei preoccupato, apri l'app dell'azienda o digita tu stesso il suo indirizzo.

12. Avvisi di autenticazione della tua app email

Gmail, Outlook e Apple Mail controllano dietro le quinte se un'email arriva davvero dal dominio che dichiara. Quando questi controlli falliscono, potresti vedere un avviso tipo "Questo messaggio potrebbe non provenire dal mittente indicato", oppure un punto interrogativo al posto della foto del mittente. Prendi sul serio questi avvisi. Se sei curioso di sapere come funzionano questi controlli, li spiego in parole semplici in SPF, DKIM e DMARC spiegati.

Un esempio realistico, smontato pezzo per pezzo

Ecco il tipo di email che arriva nelle caselle di posta ogni giorno:

Da: Amazon Customer Service <[email protected]>
Oggetto: Azione richiesta: il tuo ordine #112-8842 è stato sospeso

Gentile cliente,
non è stato possibile verificare i tuoi dati di pagamento. Il tuo ordine e il tuo account verranno annullati entro 24 ore se non confermi i tuoi dati.

[Verifica il mio account]

Contiamo i segnali:

1. Il dominio è amaz0n-orders-support.com, con uno zero e parole in più. Amazon non invia email da lì.
2. "Gentile cliente" invece del tuo nome.
3. Una minaccia con scadenza a 24 ore.
4. Un ordine che probabilmente non riconosci.
5. Un pulsante che, se lo tenessi premuto, punterebbe a un sito che non c'entra niente.

Cinque segnali in poche righe. La mossa giusta: cancellala, oppure apri tu stesso l'app di Amazon e guarda i tuoi ordini. Se c'è davvero un problema, lo vedrai lì.

Cosa fare se hai già cliccato

Prima di tutto: niente panico, e non sentirti stupido. Queste email sono create da persone il cui lavoro a tempo pieno è ingannare gli altri. Adesso conta agire in fretta:

1. Se hai solo aperto l'email: quasi certamente non è successo niente. Cancellala e basta.
2. Se hai cliccato il link ma non hai scritto nulla: chiudi la pagina. Fai una scansione di sicurezza del dispositivo, se ne hai una.
3. Se hai inserito una password: cambiala subito sul sito vero (digitando tu l'indirizzo) e cambiala anche ovunque tu abbia usato la stessa password.
4. Se hai inserito i dati della carta: chiama la tua banca al numero sul retro della carta e chiedi di bloccarla.
5. Se hai condiviso un codice monouso: accedi subito a quell'account, cambia la password e disconnetti tutte le altre sessioni.
6. Attiva l'autenticazione a due fattori per email, banca e account di shopping, se non l'hai ancora fatto.

Segnalala, aiuta tutti

Usa l'opzione "Segnala phishing" o "Segnala come spam" della tua app email. In Gmail la trovi nel menu con i tre puntini, in Outlook sotto "Segnala". Così si addestrano i filtri che proteggono milioni di altre persone. Molte aziende hanno anche un indirizzo apposito, per esempio puoi inoltrare le finte email di PayPal a [email protected]. Negli Stati Uniti puoi anche segnalarla alla FTC su reportfraud.ftc.gov, e nel Regno Unito a [email protected].

Meno phishing fin dall'inizio

Non riuscirai mai a ridurre il phishing a zero, ma puoi rendere la tua casella un bersaglio molto più piccolo:

• Non dare il tuo indirizzo email principale a ogni sito, concorso e download gratuito. Meno posti lo conoscono, in meno liste finisce.
• Per le iscrizioni usa e getta, usa un indirizzo email temporaneo. Se poi quel sito subisce una violazione o vende la sua lista, la spazzatura arriva in una casella che sparisce da sola.
• Usa un password manager. Non compilerà in automatico la tua password su paypa1.com, e questo lo rende un rilevatore di phishing sorprendentemente efficace.
• Tieni aggiornati smartphone e browser, perché gli aggiornamenti chiudono le falle che i link malevoli cercano di sfruttare.

Se il tuo indirizzo è già finito in una violazione di dati, dai un'occhiata a cosa fare quando la tua email compare in un data breach e, per le abitudini di tutti i giorni, a queste buone pratiche per la privacy dell'email.

L'abitudine dei dieci secondi

Se di questo articolo ti ricordi una sola cosa, che sia questa: quando un'email vuole che tu agisca in fretta, rallenta per dieci secondi. Controlla chi l'ha mandata davvero, tieni premuto il link per vedere dove porta e, se qualcosa non ti torna, vai tu stesso sul sito invece di cliccare. Quella piccola pausa basta a neutralizzare la stragrande maggioranza delle email di phishing in circolazione.

Stai al sicuro, e se hai scoperto un trucco di phishing ingegnoso che non è in questa lista, mi piacerebbe davvero saperlo. Trovi i miei contatti qui sotto.