Phishing: come riconoscere ed evitare gli attacchi

Ogni giorno vengono inviati nel mondo 3,4 miliardi di email di phishing. Dietro questi messaggi si nascondono tecniche di manipolazione sempre più sofisticate. Capire come funzionano è il modo migliore per difendersi.

Cos'è il phishing e perché funziona?

Il phishing è una tecnica di frode che consiste nel fingersi un ente affidabile (una banca, un servizio di spedizioni, una pubblica amministrazione) allo scopo di sottrarre informazioni personali. La sua efficacia si basa su un principio semplice: l'apparenza di legittimità.

Un'email di phishing riprende i loghi, i colori e il tono di un messaggio ufficiale. L'utente si fida dell'aspetto visivo per valutare l'affidabilità del messaggio, ed è proprio questa abitudine che gli aggressori sfruttano. Che si tratti di email, SMS o persino di posta cartacea, il meccanismo è sempre lo stesso: creare un'apparenza credibile per indurre un'azione impulsiva.

Come fanno gli aggressori a creare un senso di urgenza?

I messaggi di phishing fanno leva sulla pressione psicologica per aggirare il giudizio critico e spingere ad agire in fretta, prima di riflettere. L'obiettivo è provocare una reazione emotiva anziché un'analisi razionale.

I pretesti più comuni seguono uno schema ricorrente:

• "Rilevata attività sospetta sul tuo account, cambia immediatamente la tua password"
• "Problema di pagamento, il tuo abbonamento sta per essere cancellato"
• "Pacco in attesa, spese doganali da pagare entro 24 ore"
• "Avviso di sicurezza sulla tua carta di credito"

Ogni messaggio contiene un link o un pulsante che rimanda a un sito falso, visivamente identico a quello autentico. È su questo sito che la vittima inserisce le proprie credenziali, convinta di accedere al servizio legittimo.

Come riconoscere un nome di dominio falso?

Il modo più affidabile per identificare un sito di phishing è leggere attentamente l'URL, e in particolare il nome di dominio. Gli aggressori utilizzano diverse tecniche di camuffamento per ingannare l'occhio.

Prendiamo example.com come dominio legittimo:

• Abuso di sottodominio: example.another-dangerous-site.cam - qui il vero dominio è another-dangerous-site.cam, non example
• Trattino ingannevole: example-secure-login.cam - un dominio completamente diverso che contiene il nome del brand
• TLD diverso: example.site invece di example.com
• Typosquatting: examplle.com - una lettera raddoppiata, facile da non notare nella lettura veloce

La regola da ricordare: il vero dominio è ciò che si trova immediatamente prima del TLD (.com, .fr, .org). Tutto ciò che si trova a sinistra di un ulteriore punto è un sottodominio, che chiunque può creare.

È possibile verificare l'autenticità di un'email?

Sì, ma non affidandosi solo all'apparenza. I filtri antispam rilevano una parte delle email fraudolente grazie a meccanismi tecnici come SPF e DKIM, che verificano che un'email sia stata effettivamente inviata da un server autorizzato per il dominio visualizzato.

SPF (Sender Policy Framework) elenca i server autorizzati a inviare email per un determinato dominio. DKIM (DomainKeys Identified Mail) aggiunge una firma crittografica verificabile dal destinatario. Queste informazioni sono visibili nelle intestazioni tecniche del messaggio.

Ma questi meccanismi hanno un limite importante: dimostrano l'origine tecnica del dominio, non l'identità reale del mittente. Un aggressore può configurare un SPF e un DKIM perfettamente validi su un dominio come support-securite-amazon.com. Dal punto di vista tecnico è tutto corretto, ma dal punto di vista umano è ingannevole.

Perché il phishing via SMS è ancora più pericoloso?

Lo smishing (phishing via SMS) sfrutta le caratteristiche del mobile per aggirare i normali riflessi di vigilanza. Gli SMS sono spesso percepiti come più affidabili rispetto alle email, mentre le protezioni disponibili sono meno efficaci.

Alcune caratteristiche rendono l'SMS particolarmente rischioso:

• I filtri antispam sono meno efficaci rispetto alle email
• L'interfaccia mobile non mostra l'URL completo prima del clic
• Il numero del mittente può essere sostituito da un nome alfanumerico (LaPoste, Ameli) facile da falsificare
• L'URL nel browser mobile è spesso troncata
• Il messaggio fraudolento può inserirsi nello stesso thread di conversazione di messaggi autentici dello stesso mittente

I pretesti sono simili al phishing via email: pacco in attesa, avviso bancario, rimborso da ricevere, convocazione amministrativa.

In che modo un gestore di password protegge dal phishing?

Un gestore di password confronta l'URL reale del sito con quello memorizzato per ciascuna credenziale. Se il dominio non corrisponde esattamente, non propone di compilare i campi. Si tratta di una protezione passiva che non richiede alcuno sforzo da parte dell'utente.

Laddove l'occhio umano può confondere example.com con examplle.com, il gestore di password esegue un confronto rigoroso, carattere per carattere. Non è ingannabile dalle tecniche visive di camuffamento del dominio. Questa verifica automatica costituisce una rete di sicurezza quotidiana: se il gestore non propone le vostre credenziali su un sito, è un segnale d'allarme immediato.

Perché il 2FA non è sufficiente contro il phishing?

L'autenticazione a due fattori (2FA) rappresenta un reale vantaggio in termini di sicurezza, ma non protegge dagli attacchi di phishing automatizzati in tempo reale. In uno scenario cosiddetto AiTM (Adversary-in-the-Middle), l'aggressore intercetta e ritrasmette ogni fase del processo di accesso.

Lo svolgimento è il seguente: la vittima inserisce le proprie credenziali sul sito falso. Il sito pirata le trasmette immediatamente al sito autentico, che invia un codice 2FA. La vittima inserisce questo codice sul sito falso, che a sua volta lo ritrasmette. L'aggressore si ritrova così connesso con un codice valido, in tempo reale.

Il 2FA rimane efficace contro gli attacchi differiti - un database di password rubate diventa inutilizzabile se il 2FA è attivo. Ma contro un proxy in tempo reale, il codice monouso viene intercettato prima che scada.

Le passkey proteggono dal phishing?

Sì. A differenza della combinazione password + codice 2FA, una passkey è legata crittograficamente al dominio esatto per cui è stata creata. Su un sito pirata, anche se visivamente identico, la passkey semplicemente non si attiva.

Non c'è nulla da intercettare e nulla da riprodurre: l'autenticazione si basa su uno scambio crittografico tra il dispositivo dell'utente e il server legittimo. Nemmeno un proxy AiTM in tempo reale può aggirare questa protezione. Le passkey rappresentano la risposta strutturale al phishing, eliminando l'anello debole della catena: il segreto condiviso che l'utente può trasmettere involontariamente.

È opportuno mentire alle domande di sicurezza?

Le domande di sicurezza ("Come si chiama il tuo animale domestico?", "In quale città sei nato?") riguardano spesso informazioni semi-pubbliche. Un aggressore che ha accesso ai vostri profili social, a dati trapelati da una violazione, o che vi conosce anche solo superficialmente, potrebbe rispondervi al posto vostro.

Niente vi obbliga a rispondere con la verità. A "Qual è il tuo animale preferito?" si può rispondere "il pianeta Marte". L'importante è poter ritrovare questa risposta falsa - un gestore di password è il posto naturale in cui conservarla, esattamente come una password.

Cosa ricordare

• Il phishing si basa sull'apparenza di legittimità e sul senso di urgenza: rallentare prima di cliccare è il primo riflesso da adottare
• L'URL è l'unico indicatore affidabile: imparate a leggere il nome di dominio reale, soprattutto da mobile
• Un gestore di password verifica l'URL al posto vostro e non si lascia ingannare dai domini falsi
• Il 2FA protegge dagli attacchi differiti, ma non dal phishing in tempo reale
• Le passkey sono l'unica protezione strutturale che rende il phishing tecnicamente impossibile
• Mentite alle domande di sicurezza e conservate le vostre risposte false in un gestore di password

Al di là dei buoni comportamenti individuali, la protezione dei vostri dati dipende anche dalla piattaforma che scegliete. Scoprite il nostro approccio alla sicurezza e alla sovranità dei dati.