Riconoscere un sito falso prima di inserire le credenziali

Molte truffe online finiscono nello stesso punto: una pagina che chiede nome utente e password. Può imitare la posta aziendale, il portale di una banca, un servizio in cloud, il sito di un ente pubblico. Copiare l'aspetto di una pagina è facilissimo: loghi, colori e testi si riproducono in pochi minuti, e spesso il risultato è indistinguibile dall'originale.

C'è però un elemento che i truffatori non possono copiare: l'indirizzo del sito vero.

Leggere l'indirizzo, da destra

L'indirizzo che compare nella barra del browser è la prova più affidabile. Il punto è saperlo leggere. La parte che conta è il dominio, cioè il nome che precede immediatamente la prima barra "/", insieme alla sua estensione come .it o .com.

Qualche esempio:

• login.microsoftonline.com/...: il dominio è microsoftonline.com;
• microsoftonline.com.accesso-sicuro.net/...: il dominio è accesso-sicuro.net, il resto è solo un'etichetta per ingannare;
• comune-di-esempio.it-servizi.info/...: il dominio è it-servizi.info, non il sito del Comune.

Il trucco più diffuso è proprio questo: mettere il nome del servizio vero all'inizio dell'indirizzo, dove l'occhio lo cerca, e il dominio del truffatore alla fine. Per questo conviene leggere il dominio partendo da destra, a ritroso dalla prima barra.

Le altre trappole dell'indirizzo

Lettere scambiate. Una "rn" al posto di una "m", una cifra 1 al posto della "l", una lettera raddoppiata: a colpo d'occhio sfuggono facilmente.

Estensioni diverse. Il sito della tua banca termina con .it? Una pagina identica che finisce con .co, .info o .online non è la stessa cosa.

Indirizzi accorciati. Link brevi e codici QR nascondono la destinazione finché non la apri. In quel caso, prima di inserire qualsiasi dato, guarda dove sei arrivato.

Il lucchetto non basta

Per anni si è detto di controllare il lucchetto accanto all'indirizzo. Oggi il consiglio va aggiornato: il lucchetto indica solo che la connessione è cifrata, non che il sito sia di chi dice di essere. Ottenere un certificato per un sito truffaldino è semplice e gratuito, e la grande maggioranza delle pagine di phishing lo ha.

Un sito senza lucchetto che chiede credenziali è certamente da evitare. Un sito con il lucchetto non è per questo affidabile.

Abitudini che proteggono

Non accedere dai link ricevuti. Se un'email ti invita a entrare in un servizio per verificare qualcosa, non cliccare. Apri il servizio come fai di solito: digitando l'indirizzo, usando un preferito salvato o l'app ufficiale.

Usa il gestore di password. Un password manager inserisce le credenziali solo sul dominio per cui le hai salvate. Se sulla pagina di accesso non propone nulla, fermati: è un segnale che il sito potrebbe non essere quello giusto.

Diffida delle richieste insolite. Una pagina che, dopo la password, chiede anche il codice ricevuto via SMS, i dati di una carta o una nuova verifica dell'identità sta cercando di ottenere più del necessario.

Attiva il secondo fattore. Se per errore inserisci la password in un sito falso, l'autenticazione a due fattori rende molto più difficile usarla. Non è una protezione assoluta, ma riduce molto il danno.

Se hai inserito i dati

Se ti accorgi di aver inserito credenziali su una pagina sospetta, cambia subito la password dal sito vero, aprendolo in modo sicuro, e avvisa l'assistenza informatica. Se hai inserito dati di pagamento, contatta la banca. Non aspettare di vedere conseguenze: le credenziali rubate vengono spesso usate nel giro di poche ore.