Il phishing è la tecnica di attacco informatico più diffusa e pericolosa, responsabile di oltre il 90% delle violazioni di sicurezza nelle aziende. Consiste nell’invio di comunicazioni fraudolente, tipicamente email, che imitano messaggi provenienti da enti affidabili come banche, corrieri, fornitori di servizi o colleghi per rubare credenziali, dati finanziari o installare malware.
Secondo i dati del Clusit, l’Italia è tra i Paesi europei più colpiti dagli attacchi di phishing, con le piccole e medie imprese particolarmente vulnerabili. La sofisticazione di queste truffe è aumentata enormemente grazie all’intelligenza artificiale, che permette ai criminali di creare messaggi sempre più convincenti e personalizzati, in italiano perfetto e con riferimenti credibili.
Un attacco di phishing segue generalmente uno schema preciso. Il criminale invia un’email che sembra provenire da un’entità fidata: la vostra banca, l’Agenzia delle Entrate, un corriere di spedizioni, Amazon, PayPal o persino un collega. Il messaggio crea un senso di urgenza: un conto bloccato, un pacco in giacenza, una fattura da pagare immediatamente, una password da cambiare.
L’email contiene un link che conduce a un sito web falso, visivamente identico a quello legittimo. Inserendo le vostre credenziali in questo sito clone, le consegnate direttamente ai criminali. In alternativa, l’email può contenere un allegato infetto che, una volta aperto, installa malware, ransomware o spyware sul vostro computer senza che ve ne accorgiate.
Il primo segnale è l’indirizzo del mittente. Controllate sempre con attenzione: un’email apparentemente dalla vostra banca potrebbe provenire da un indirizzo come info@banca-intesa-supporto.com anziché dal dominio ufficiale. Passate il mouse sul nome del mittente per visualizzare l’indirizzo completo, prestando attenzione a caratteri sostituiti o domini simili ma diversi.
Il senso di urgenza è un segnale classico: il vostro conto verrà bloccato entro 24 ore, avete una fattura scaduta, un pacco verrà restituito se non agite subito. Le comunicazioni legittime raramente richiedono azioni immediate e non minacciano mai conseguenze drastiche per un ritardo di poche ore. Se un’email vi mette fretta, fermatevi e verificate con calma.
Controllate i link senza cliccarli: passate il mouse sopra per visualizzare l’URL di destinazione nella barra di stato del browser o del client email. Se l’URL non corrisponde al sito ufficiale dell’ente, è phishing. Attenzione ai domini che usano variazioni sottili: ad esempio posteitaIiane.it con una I maiuscola al posto della L minuscola, visivamente quasi identici.
Gli errori grammaticali erano un tempo il segnale più evidente, ma con l’AI i testi sono diventati molto più curati. Tuttavia, incongruenze nei loghi, formattazioni inusuali, saluti generici come “Gentile Cliente” anziché il vostro nome e la richiesta di informazioni che l’ente dovrebbe già possedere restano indicatori affidabili di un tentativo di phishing.
Lo spear phishing è una versione mirata che prende di mira persone specifiche con messaggi personalizzati. Il criminale studia la vittima sui social network e crea un’email su misura che fa riferimento a colleghi reali, progetti in corso o eventi specifici. Questa personalizzazione rende il messaggio molto più credibile e difficile da identificare come fraudolento.
Il whaling è spear phishing diretto ai vertici aziendali, con l’obiettivo di ottenere trasferimenti di denaro o accesso a informazioni strategiche. Il smishing utilizza SMS al posto delle email, spesso con link brevi che nascondono la destinazione reale. Il vishing avviene per telefono, con criminali che si spacciano per assistenza tecnica, banca o forze dell’ordine.
La prima difesa è la formazione: insegnate a tutti i dipendenti a riconoscere i segnali di phishing e a verificare sempre prima di cliccare o fornire informazioni. Implementate una politica aziendale chiara: nessuna credenziale o dato finanziario va mai inserito seguendo un link in un’email. Per accedere ai servizi, digitate sempre l’URL direttamente nel browser.
Attivate l’autenticazione a due fattori (2FA) su tutti gli account aziendali. Anche se un attacco di phishing riesce a catturare la password, il secondo fattore impedisce l’accesso non autorizzato. Utilizzate app authenticator come Microsoft Authenticator o Google Authenticator, evitando gli SMS che sono più vulnerabili a intercettazione e SIM swapping.
Mantenete aggiornati il sistema operativo, il browser e il client di posta elettronica. Utilizzate un antivirus con protezione web e anti-phishing. Configurate filtri anti-spam robusti sul server di posta. Per le aziende, considerate soluzioni di email security avanzate come Microsoft Defender per Office 365, che utilizzano l’intelligenza artificiale per identificare e bloccare automaticamente i tentativi di phishing.
Se sospettate di essere stati vittime di un attacco di phishing o desiderate implementare misure di protezione per la vostra azienda, il team di Qwerty Roma offre consulenza sulla sicurezza informatica, configurazione di sistemi anti-phishing e formazione del personale per ridurre drasticamente il rischio di compromissione dei dati aziendali.
Christian D'Epiro, titolare di Linea Ufficio Informatica, è un esperto nell'assistenza PC, rivendita di prodotti ricondizionati e nella creazione di siti web. La sua missione è rendere la tecnologia accessibile a tutti.
