Phishing: come riconoscere ed evitare gli attacchi

Nel 2024, le soluzioni di Kaspersky hanno bloccato oltre 893 milioni di tentativi di phishing, pari a circa 2,4 milioni al giorno, e l'Anti-Phishing Working Group ne ha registrati quasi un milione nel solo quarto trimestre. Dietro questi numeri si nasconde un meccanismo di manipolazione comune, che è possibile imparare a neutralizzare.

Cos'è il phishing (o hameçonnage)?

Il phishing, noto anche come hameçonnage, è una tecnica fraudolenta che consiste nel fingersi un'organizzazione affidabile (una banca, un servizio di consegna, un ente pubblico) allo scopo di sottrarre informazioni personali o credenziali di accesso. La sua efficacia si basa su un unico meccanismo: l'apparenza di legittimità.

Un messaggio di phishing riproduce i loghi, i colori e il tono di una comunicazione ufficiale. L'utente si fida di questa apparenza visiva per valutare l'affidabilità del messaggio, ed è proprio questa abitudine che gli attaccanti sfruttano. Che si tratti di un'email o di un sito falso, il meccanismo è sempre lo stesso: creare un'apparenza credibile per ottenere un'azione impulsiva.

Quali sono i segnali di un'email di phishing?

Un'email di phishing combina quasi sempre gli stessi indicatori: un pretesto urgente, un mittente che imita un brand noto, un link verso un sito dove inserire le proprie credenziali, e una richiesta di informazioni che nessun servizio legittimo avanzerebbe mai in questo modo. Riconoscerli richiede pochi accorgimenti.

• Un pretesto urgente: "attività sospetta sul tuo account", "pacco in attesa di consegna", "pagamento rifiutato". L'obiettivo è spingerti ad agire prima di ragionare.
• Un mittente che imita un brand: il nome visualizzato sembra legittimo, ma l'indirizzo email effettivo non corrisponde al dominio ufficiale.
• Un link o un pulsante su cui cliccare: porta verso un sito falso, visivamente identico a quello reale, dove ti vengono richieste le credenziali.
• Una richiesta di informazioni sensibili: password, numero di carta, codice di sicurezza. Nessun servizio serio le chiede mai via email.

Nessuno di questi segnali è di per sé una prova, ma la loro combinazione deve mettere in allerta. Il filo conduttore di tutti questi messaggi è la pressione: mirano a provocare una reazione emotiva piuttosto che un'analisi ragionata.

Come riconoscere un URL falso?

Il metodo più affidabile per identificare un sito di phishing è leggere attentamente l'URL, e in particolare il nome di dominio. Il dominio reale è ciò che si trova immediatamente prima del primo slash, e tutto ciò che si trova alla sua sinistra può essere costruito dall'attaccante.

Prendiamo example.com come dominio legittimo:

• Abuso di sottodominio: example.another-dangerous-site.cam. Qui il dominio reale è another-dangerous-site.cam, non example.
• Trattino ingannevole: example-secure-login.cam. Un dominio completamente diverso che contiene il nome del brand.
• Estensione diversa: example.site invece di example.com.
• Typosquatting: examplle.com, una lettera raddoppiata, facile da non notare in una lettura veloce.

La regola da ricordare: il dominio reale è la parola che si trova immediatamente prima dell'estensione (.com, .it, .org). Tutto ciò che è separato da un ulteriore punto a sinistra è un sottodominio, che chiunque può creare.

Come verificare l'autenticità di un'email?

Non si può fare affidamento sulla sola apparenza. Meccanismi tecnici come SPF e DKIM verificano che un'email sia stata effettivamente inviata da un server autorizzato per il dominio visualizzato, ma dimostrano l'origine tecnica del messaggio, non l'onestà del mittente.

SPF (Sender Policy Framework) elenca i server autorizzati a inviare email per un determinato dominio. DKIM (DomainKeys Identified Mail) aggiunge una firma crittografica verificabile dal destinatario. Queste informazioni si trovano nelle intestazioni tecniche del messaggio.

Questi meccanismi hanno tuttavia un limite importante. Un attaccante può configurare SPF e DKIM perfettamente validi su un dominio di sua proprietà, come support-sicurezza-amazon.com. Il risultato è tecnicamente corretto, ma ingannevolmente convincente sul piano umano: la verifica dimostra che quel dominio ha inviato il messaggio, non che appartiene al brand che imita.

Ho cliccato su un link di phishing, cosa devo fare?

Cliccare su un link di solito non è sufficiente a compromettere un account: il pericolo sta in ciò che si fa subito dopo. Se non hai inserito nulla né scaricato file, chiudi semplicemente la pagina. Se hai digitato una password, cambiala senza perdere tempo.

• Non inserire alcuna informazione sulla pagina aperta e chiudila.
• Se hai già digitato una password, cambiala immediatamente sul servizio in questione, digitando tu stesso l'indirizzo ufficiale anziché tornare al link ricevuto.
• Cambia quella password ovunque tu l'abbia riutilizzata. È per questo che una password unica per ogni sito limita notevolmente i danni.
• Attiva l'autenticazione a due fattori sull'account, se non l'hai già fatto.
• Nei giorni successivi, monitora i tentativi di accesso e le modifiche che non hai richiesto.

Se hai comunicato il numero di una carta bancaria, contatta la tua banca per bloccarla. Agire rapidamente riduce sensibilmente le conseguenze di un clic sbagliato.

Come capire se si è stati vittima di phishing?

Diversi segnali indicano che un attacco di phishing è andato a buon fine: una password abituale che non funziona più, email di reimpostazione che non hai richiesto, messaggi inviati a tuo nome, o un avviso di accesso da una posizione insolita. Al minimo dubbio, è meglio comportarsi come se l'account fosse stato compromesso.

• Non riesci più ad accedere con la tua password abituale.
• Ricevi conferme di modifiche (password, indirizzo di recupero, numero di telefono) che non hai avviato tu.
• I tuoi contatti ricevono messaggi o email che non hai inviato.
• Il servizio segnala un accesso da un dispositivo o un paese che non riconosci.

In questo caso, cambia la password interessata da un dispositivo sicuro, verifica l'elenco dei dispositivi connessi nelle impostazioni dell'account e revoca le sessioni che non riconosci.

In che modo un gestore di password protegge dal phishing?

Un gestore di password confronta l'URL reale del sito con quello registrato per ciascuna credenziale. Se il dominio non corrisponde esattamente, non propone la compilazione automatica dei campi. Si tratta di una protezione passiva, che non richiede alcuno sforzo particolare da parte dell'utente.

Laddove l'occhio umano può confondere example.com con examplle.com, il gestore effettua un confronto rigoroso, carattere per carattere, insensibile ai trucchi visivi di camuffamento del dominio. Questa verifica automatica costituisce una rete di sicurezza quotidiana: se il gestore non propone le tue credenziali su un sito che dovrebbe essere noto, è un segnale d'allarme immediato.

Il 2FA è sufficiente contro il phishing?

No, non contro gli attacchi condotti in tempo reale. L'autenticazione a due fattori (2FA) rappresenta un reale vantaggio in termini di sicurezza, ma in uno scenario cosiddetto AiTM (Adversary-in-the-Middle), l'attaccante intercetta e inoltra ogni fase della connessione, incluso il codice monouso.

Il meccanismo è il seguente: la vittima inserisce le proprie credenziali sul sito falso. Questo le trasmette immediatamente al sito reale, che invia un codice 2FA. La vittima digita il codice sul sito falso, che a sua volta lo inoltra. L'attaccante si ritrova così connesso con un codice valido, prima ancora che scada.

Il 2FA rimane efficace contro gli attacchi differiti: un database di password rubate diventa inutilizzabile se il 2FA è attivo. Ma di fronte a un inoltro in tempo reale, il codice monouso non è più sufficiente.

Le passkey proteggono dal phishing?

Sì. Una passkey è legata crittograficamente all'esatto dominio per cui è stata creata. Su un sito pirata, anche se visivamente identico, semplicemente non si attiva, poiché non c'è nessun segreto condiviso da inserire né da intercettare.

L'autenticazione si basa su uno scambio crittografico tra il dispositivo dell'utente e il server legittimo: nulla da ritrasmettere, nulla da sottrarre. Anche un inoltro AiTM in tempo reale non può aggirare questa protezione. Le passkey rappresentano la risposta strutturale al phishing, eliminando l'anello debole costituito dal segreto che l'utente può trasmettere inconsapevolmente.

Cosa ricordare

• Il phishing si basa sull'apparenza di legittimità e sul senso di urgenza: rallentare prima di cliccare è il primo riflesso da adottare.
• L'URL è l'indicatore più affidabile: impara a leggere il nome di dominio reale prima di inserire qualsiasi dato.
• Se hai inserito una password su un sito falso, cambiala immediatamente sul servizio reale, e ovunque tu l'abbia riutilizzata.
• Un gestore di password verifica l'URL al posto tuo e non si lascia ingannare da un dominio falso.
• Il 2FA protegge dagli attacchi differiti, ma non dal phishing in tempo reale.
• Le passkey sono l'unica protezione strutturale che rende il phishing tecnicamente inefficace.

Al di là dei buoni riflessi individuali, la protezione dei tuoi dati dipende anche dalla piattaforma che scegli. Scopri il nostro approccio alla sicurezza e alla sovranità.