Il phishing non colpisce chi non sa, colpisce chi ha fretta
Chi apre il link sbagliato raramente è un collega distratto o poco esperto. È la persona dell'amministrazione che a fine mese ha venti fatture da registrare, il commerciale che legge la posta dal telefono tra un cliente e l'altro, il responsabile di magazzino che riceve l'ennesimo avviso di spedizione. Il phishing imita le abitudini di tutti i giorni e arriva quando non c'è tempo per pensarci.
Le persone sanno che il phishing esiste. Quello che serve è riconoscerlo dentro il lavoro normale, poterlo segnalare senza fatica e avere difese tecniche che limitino il danno quando qualcuno clicca.
Le forme che prende oggi
- Email generica: il pacco in giacenza, la casella piena, il documento condiviso. Conta sui grandi numeri.
- Spear phishing: un messaggio costruito su misura, con il nome di un fornitore vero, un progetto in corso, il tono giusto.
- Frode del CEO e del falso fornitore (business email compromise): una mail che sembra del titolare chiede un bonifico urgente e riservato, oppure un fornitore abituale comunica le sue "nuove coordinate bancarie". Spesso non c'è nessun link né allegato, solo una richiesta plausibile.
- Smishing e vishing: lo stesso schema via SMS o al telefono. Il finto tecnico chiama e chiede il codice appena arrivato sul cellulare.
- QR code: dentro un PDF o nel corpo della mail, porta la vittima sul telefono personale, dove i controlli aziendali spesso non arrivano.
- Pagine di login finte di Microsoft 365: identiche all'originale, chiedono di rientrare per leggere un documento. Le più evolute fanno da intermediario con il sito vero e catturano anche il codice della seconda verifica.
I segnali da riconoscere
Nessun segnale da solo è una prova, ma due insieme bastano per fermarsi e chiedere.
- urgenza o riservatezza insolite: "entro oggi", "non parlarne con nessuno";
- il nome del mittente è giusto, ma l'indirizzo reale no, o il dominio ha una lettera cambiata;
- la richiesta cambia una procedura abituale: nuovo IBAN, pagamento fuori dal solito flusso, acquisto di buoni regalo;
- il link, passandoci sopra con il mouse, porta a un indirizzo diverso da quello scritto;
- la pagina di accesso si apre da un link, invece che dal segnalibro o digitando l'indirizzo;
- la telefonata chiede codici, password o di installare un programma di assistenza remota.
Perché l'ora di formazione all'anno non basta
Il corso in aula una volta l'anno sbiadisce presto, e mostra esempi che gli attaccanti hanno già smesso di usare. Funziona meglio un'abitudine costruita nel tempo.
- Simulazioni brevi e periodiche: mail di prova realistiche e sempre diverse, con un minuto di spiegazione immediata per chi ci casca.
- Un modo facile per segnalare: un pulsante nel programma di posta o un indirizzo dedicato. Se bisogna cercare chi chiamare, nessuno lo fa.
- Segnalare senza colpa: chi segnala, anche dopo aver cliccato, riceve un grazie. Chi teme una ramanzina tace, e si perdono minuti preziosi.
- Misurare le segnalazioni, non solo i clic: il tasso di clic dice quanti sono caduti nella prova, il tasso di segnalazione quante persone fanno da sensore. Più segnalazioni arrivano, e prima, più in fretta si scopre un attacco vero.
La regola che ferma la frode sull'IBAN
Ogni richiesta di cambiare le coordinate bancarie di un fornitore, o di pagare in modo diverso dal solito, si verifica con una telefonata a un numero già noto: quello in anagrafica o sul contratto, mai quello indicato nella mail o nella firma. Se la richiesta è vera, il fornitore la conferma in un minuto. Se la sua casella è stata compromessa, la mail sarà perfetta, la telefonata no.
Una regola scritta toglie alla singola persona il peso di decidere se una mail "sembra vera". Vale anche per il titolare: chi chiede un bonifico urgente e riservato deve aspettarsi una telefonata di conferma.
Le difese che limitano il danno
Prima o poi qualcuno clicca: le difese vanno pensate per quel momento. L'autenticazione a più fattori rende inutile una password rubata, e i metodi resistenti al phishing, come le chiavi di sicurezza e le passkey, reggono anche contro le pagine che intercettano il codice. I filtri della posta fermano a monte molti messaggi malevoli e segnalano quelli che arrivano dall'esterno. I controlli SPF, DKIM e DMARC impediscono a un truffatore di spedire mail con il tuo dominio come mittente.
Nella storia Il venerdì sera in cui i file cambiarono nome l'attacco era partito da una casella di posta compromessa settimane prima.
Cosa fare se hai cliccato
Avvisa subito l'IT, anche se non sei sicuro. Se hai inserito la password, cambiala da un dispositivo pulito e comunicalo; se hai aperto un allegato, scollega il computer dalla rete senza spegnerlo. L'IT controllerà gli accessi recenti, le regole di inoltro della posta create a tua insaputa e chi altro ha ricevuto lo stesso messaggio.
Se dalla casella compromessa sono usciti dati personali, può scattare la notifica prevista dal GDPR: ne parliamo nella guida sul data breach.
In sintesi
Il phishing sfrutta fretta e abitudini, non ignoranza. Si riduce con simulazioni brevi e frequenti, segnalazioni facili e senza colpa, una telefonata di verifica per ogni cambio di IBAN e difese tecniche, come MFA e protezione del dominio, che limitano il danno quando qualcuno clicca.