Una mail dalla tua banca ti chiede di “verificare l’account”. È vera?
Nel dubbio, hai cliccato. O forse no, e per questo sei qui. Il phishing funziona proprio così: sfrutta un attimo di fretta, di preoccupazione o di distrazione per farti abbassare la guardia.
Non serve essere esperti di informatica per difendersi. Serve sapere quali segnali cercare, perché nella quasi totalità dei casi il messaggio truffaldino ha almeno due o tre indizi che lo tradiscono.
Cos’è il phishing, in pratica
Il phishing è un tentativo di truffa che si finge un mittente affidabile, come banca, corriere, gestore telefonico o piattaforma di pagamento come PayPal, per convincerti a inserire dati personali su una pagina falsa o a scaricare un file dannoso.
L’obiettivo finale è quasi sempre lo stesso: rubare credenziali di accesso, dati della carta di credito o installare software malevolo sul dispositivo.
1. Controlla davvero l’indirizzo del mittente
Il nome visualizzato in una mail può dire “PayPal” o “Poste Italiane”, ma il nome non conta: conta l’indirizzo email reale dietro quel nome.
Clicca (o passa il mouse) sul nome del mittente per vedere l’indirizzo completo. Se invece di terminare con il dominio ufficiale dell’azienda (es. @paypal.com) trovi combinazioni strane, con lettere aggiunte o domini simili ma diversi, è un segnale chiaro di truffa.
2. Diffida dell’urgenza forzata
I messaggi di phishing spingono quasi sempre ad agire subito, senza pensarci: “il tuo account verrà sospeso entro 24 ore”, “pacco bloccato in dogana, paga subito la tassa doganale”, “accesso sospetto rilevato, verifica ora”.
Le aziende reali comunicano problemi importanti con più calma e attraverso più canali. Un’urgenza spinta ed emotiva è quasi sempre costruita apposta per farti cliccare senza riflettere.
3. Passa il mouse sui link prima di cliccare
Prima di cliccare su qualsiasi link contenuto in una mail sospetta, passa il mouse sopra senza cliccare (su smartphone, tieni il dito premuto senza rilasciare). In basso a sinistra dello schermo, o in un piccolo popup, comparirà l’indirizzo reale a cui porta.
Se l’indirizzo che compare non corrisponde al sito ufficiale dell’azienda che dice di scriverti, non cliccare, indipendentemente da quanto sembri credibile il resto del messaggio.
Un trucco che usano spesso
Molti tentativi di phishing usano indirizzi che assomigliano moltissimo a quelli veri, con una lettera cambiata o un trattino in più. A un’occhiata veloce sembrano identici: per questo conviene sempre leggerli con attenzione, carattere per carattere.
4. Nota gli errori di scrittura e la grafica imprecisa
Anche se molte truffe oggi sono scritte meglio rispetto al passato, capita ancora di trovare errori grammaticali, traduzioni maldestre, o loghi sgranati e fuori proporzione rispetto alla comunicazione ufficiale dell’azienda.
Un’azienda seria cura la propria comunicazione. Se qualcosa nella grafica o nel testo sembra “quasi giusto ma non del tutto”, è un motivo in più per controllare meglio prima di procedere.
5. Nessuna banca chiede la password via mail
Questa regola vale quasi senza eccezioni: nessun istituto di credito, gestore o piattaforma chiede di inserire la password completa, il codice della carta o il codice OTP rispondendo a una mail o cliccando un link ricevuto via messaggio.
Se un messaggio chiede esplicitamente questi dati, indipendentemente da quanto sembri ufficiale, è una truffa. In caso di dubbio, accedi al sito digitando tu stesso l’indirizzo nel browser, senza passare dal link ricevuto.
Cosa fare se hai già cliccato
Se hai cliccato su un link sospetto ma non hai inserito dati, chiudi semplicemente la pagina: nella maggior parte dei casi non è successo nulla di grave.
Se invece hai già inserito password o dati della carta, agisci subito:
- Cambia immediatamente la password dell’account coinvolto
- Se hai inserito dati della carta di credito, contatta la tua banca per bloccarla in via precauzionale
- Attiva, se non l’hai già fatto, l’autenticazione a due fattori sugli account principali
- Fai una scansione antivirus completa del dispositivo
Prima agisci, meno tempo ha chi ha inviato il messaggio per sfruttare i tuoi dati.
Un’abitudine che vale più di ogni antivirus
Nessun software, per quanto aggiornato, sostituisce l’attenzione di chi legge il messaggio. La maggior parte dei tentativi di phishing si riconosce con trenta secondi di lettura attenta, prima ancora di cliccare su qualsiasi cosa.
Ti è mai capitato di ricevere un tentativo di phishing particolarmente convincente? Raccontalo nei commenti: può aiutare altri lettori a riconoscere lo stesso schema.
