Negli ultimi rapporti di settore, oltre il 80% degli incidenti di sicurezza nelle PMI inizia con un'email. Non un attacco sofisticato, non un hacker con cappuccio: una semplice mail che convince qualcuno in azienda a cliccare su un link, aprire un allegato o digitare le proprie credenziali su una pagina contraffatta.
La buona notizia è che il phishing, anche quello più ben fatto, lascia quasi sempre delle tracce. Vediamo le sette più comuni.
1. Il mittente "quasi" giusto
Il truffatore registra un dominio simile a quello reale. Esempio: invece di banca-popolare.it usa banca-pop0lare.it (uno zero al posto della "o") oppure bancapopolare-clienti.com. A colpo d'occhio è quasi identico, ma basta un carattere fuori posto per essere un dominio diverso.
Cosa fare: passa il mouse sul nome del mittente e leggi attentamente l'indirizzo email completo. Se hai un dubbio, confronta carattere per carattere con un'email vera dello stesso fornitore.
2. Il senso di urgenza
"Il tuo account verrà bloccato entro 24 ore", "Ultima notifica prima della sospensione", "Verifica subito o perderai l'accesso". Le mail di phishing fanno leva sulla paura e sulla fretta: l'obiettivo è non darti tempo di pensare.
Cosa fare: chiediti se la cosa avrebbe davvero questa urgenza. Banche, fornitori e pubbliche amministrazioni serie non comunicano blocchi imminenti via email senza un canale di verifica indipendente.
3. La richiesta di credenziali o dati sensibili
Nessuna banca, nessun servizio cloud, nessun fornitore IT serio ti chiederà mai password, codici OTP o numeri di carta via email. Mai. Nemmeno per "una verifica di sicurezza".
Cosa fare: se ricevi una richiesta del genere, considerala phishing fino a prova contraria. Per dubbi reali, chiama il fornitore al numero che trovi sul loro sito ufficiale (non al numero scritto nell'email).
4. Errori di lingua o frasi strane
Anche se l'AI generativa ha alzato l'asticella, molte mail di phishing sono ancora tradotte malamente da altre lingue. Frasi tipo "Gentile cliente, abbiamo bisogno della Sua collaborazione per evitare la chiusura del Suo conto bancaria" suonano sbagliate. La grammatica zoppica, la formalità è eccessiva, il tono è troppo generico ("gentile cliente" senza nome).
Cosa fare: rileggi l'email con attenzione. Se "suona straniera" o non sembra scritta da una persona italiana, è un campanello d'allarme.
5. Allegati inattesi (zip, exe, htm, file Office con macro)
Un fornitore che ti ha sempre mandato fatture in PDF non te la manderà mai improvvisamente come .zip con dentro un file .exe. Allegati con estensioni rare o "doppia estensione" (es. fattura.pdf.exe) sono quasi sempre malware.
Cosa fare: non aprire l'allegato. Se il mittente è qualcuno che conosci, scrivigli da un altro canale (telefono, chat) per chiedere conferma. Se non lo conosci, cestina.
6. Link che "mentono"
Il testo del link può dire https://www.poste.it ma il link reale punta a http://example-fake.ru/login. È un trucco classico.
Cosa fare: passa il mouse sul link senza cliccare. In basso a sinistra del browser (o in un tooltip) appare l'URL vero. Se non corrisponde a quello dichiarato, è phishing.
7. Richieste fuori procedura — anche da colleghi
Tipico nello scam aziendale: il "CEO" che dall'email scrive all'ufficio amministrativo "fai questo bonifico urgente, ti spiego dopo". Oppure il "fornitore" che scrive con dati IBAN cambiati. Sono attacchi mirati (BEC, Business Email Compromise) molto efficaci perché sfruttano la gerarchia e la fiducia.
Cosa fare: per qualsiasi richiesta di pagamento, modifica IBAN o trasferimento di denaro arrivata via email, verifica sempre con un secondo canale. Una telefonata diretta alla persona vera risolve il 100% dei dubbi.
La regola d'oro: nessuna email può essere così urgente da non concedersi 30 secondi di verifica. Se hai un dubbio, chiama.
Quando hai cliccato (e ti accorgi dopo)
Capita. Se pensi di aver inserito credenziali o cliccato su un link sospetto:
- Cambia immediatamente la password dell'account compromesso, e di tutti gli account dove usi la stessa password
- Attiva l'autenticazione a due fattori (MFA) se non era già attiva
- Avvisa l'IT o il tuo MSP: prima si interviene, meno danni
- Se hai aperto un allegato sospetto, scollega il computer dalla rete e fai analizzare il sistema
Come prevenirlo strutturalmente
Riconoscere il phishing è una competenza che si allena, ma una protezione seria a livello aziendale richiede anche strumenti tecnici:
- Filtri anti-phishing avanzati a livello del server di posta (anti-spoofing, sandboxing degli allegati)
- Awareness training periodico per tutto il personale (anche con simulazioni di phishing controllate)
- MFA obbligatoria su tutti gli account aziendali — anche se la password viene rubata, l'attaccante non entra
- EDR sugli endpoint per intercettare eventuali payload malevoli
Vuoi capire quanto è solida la difesa anti-phishing della tua azienda? Parliamone: in 30 minuti possiamo darti un quadro chiaro e priorità concrete.