Gli errori di grammatica non bastano più a smascherarla. Cinque controlli da fare prima di cliccare, validi per ogni casella di posta di lavoro.
Per anni il consiglio più diffuso contro il phishing è stato semplice: diffida delle email piene di errori. Oggi non funziona più. Gli strumenti di intelligenza artificiale permettono a chiunque di scrivere messaggi corretti, nel tono giusto e con riferimenti credibili all'organizzazione in cui lavori. Il nome dell'ufficio, il logo, la firma del collega: tutto può essere copiato in pochi minuti.
Quello che non cambia è lo scopo. Un'email di phishing vuole sempre farti fare qualcosa: cliccare un link, aprire un allegato, inserire una password, autorizzare un pagamento. È lì che conviene concentrare l'attenzione.
1. Il mittente. Non fermarti al nome che compare nella casella di posta: chiunque può scrivere "Ufficio Personale" o il nome del tuo direttore. Apri l'indirizzo completo e leggilo con attenzione. I trucchi più comuni sono una lettera sostituita da una cifra (azienda-ita1ia.com), un dominio simile a quello vero (ente-comune.it invece di comune.ente.it) o un indirizzo di posta gratuita usato per un messaggio che dovrebbe essere ufficiale.
2. Il link. Prima di cliccare, passa il mouse sopra il collegamento senza premere: in basso nel browser o nel programma di posta comparirà l'indirizzo reale. Sul telefono tieni premuto il link per vederlo. Se il testo dice una cosa e l'indirizzo un'altra, fermati.
3. Il tono. Scadenze di poche ore, minacce di blocco dell'account, stipendi che non verranno pagati, rimborsi da riscuotere subito: l'urgenza serve a farti agire senza pensare. Più un messaggio ti mette fretta, più tempo dovresti prenderti.
4. La richiesta. Nessun servizio serio chiede la password via email. Lo stesso vale per i codici ricevuti via SMS, i cambi di coordinate bancarie e i pagamenti fuori dalle procedure abituali. Se l'email chiede una di queste cose, il sospetto è d'obbligo anche quando tutto il resto sembra in ordine.
5. Il contesto. Ti aspettavi quel messaggio? Il fornitore ti scrive di solito in quel modo? Il collega che chiede un favore è davvero in ferie, come dice? Se qualcosa non torna, verifica usando un canale diverso: una telefonata a un numero che conosci già, non quello indicato nell'email.
Fatture, avvisi di spedizione, documenti condivisi: gli allegati restano uno dei modi più usati per far entrare programmi dannosi nel computer. Diffida in particolare dei file compressi, dei documenti che chiedono di "abilitare il contenuto" o le macro e dei collegamenti che rimandano a una pagina di accesso per vedere il file. In caso di dubbio, chiedi all'assistenza informatica prima di aprirli.
Non rispondere e non inoltrarla ai colleghi per chiedere un parere: rischi di diffondere il problema. Usa il pulsante di segnalazione del tuo programma di posta, se c'è, oppure avvisa l'assistenza informatica seguendo la procedura interna. Una segnalazione arrivata in tempo può proteggere tutto l'ufficio, perché spesso la stessa email viene inviata a molte persone contemporaneamente.
Se invece hai già cliccato o inserito una password, non aspettare e non vergognarti: è successo a moltissimi. Avvisa subito l'assistenza informatica e segui i passaggi descritti nella guida dedicata a cosa fare nei primi quindici minuti.
Riconoscere il phishing non richiede competenze tecniche. Richiede pochi secondi di attenzione in più su ogni messaggio che chiede di agire. Quei cinque controlli, ripetuti ogni giorno, diventano presto automatici: è la difesa più efficace che ciascuno di noi ha a disposizione.
Le frodi sui pagamenti non si battono con la prudenza dei singoli, ma con regole scritte che nessuno può saltare. Gli elementi di una procedura efficace.
È successo a moltissimi. Quello che conta è cosa fai subito dopo: i passaggi, in ordine, per limitare il danno e aiutare chi deve intervenire.
Un'email del fornitore annuncia nuove coordinate bancarie e il pagamento successivo finisce ai truffatori. Come funziona lo schema e la verifica che lo blocca.