Come funziona un messaggio di phishing

Modulo 3: Riconoscere il phishing · Tempo di lettura: 11 minuti

Obiettivo della lezione: Al termine di questa lezione sarà in grado di riconoscere i trucchi psicologici e le caratteristiche fisse di un messaggio di phishing, anche quando il testo è impeccabile, e reagirà con il riflesso stop, verifica, chiedi.
Concetti chiave: urgenza, autorità, paura, curiosità, ricompensa, pretesto, phishing scritto con l'IA, il riflesso "stop, verifica, chiedi"

Il phishing è una storia, non una tecnica

Il phishing è un messaggio che Le fa fare qualcosa di vantaggioso per il mittente e dannoso per Lei: cliccare su un link, accedere a una pagina contraffatta, aprire un allegato, effettuare un pagamento o comunicare un codice. La tecnica alla base è spesso semplice. Ciò che fa il lavoro è la storia.

Questa storia si chiama pretesto: un'occasione credibile. "Il Suo pacco non è stato consegnato." "La Sua casella di posta è piena." "C'è una fattura in sospeso." "Il Suo account verrà bloccato." Un buon pretesto si adatta alla Sua situazione. Un forno riceve una mail su un fornitore di farina, uno studio legale su una citazione in giudizio, un negozio online su un pagamento bloccato.

L'obiettivo è quasi sempre uno di questi quattro:

Nell'ultimo caso, al momento non succede nulla di grave. "Chi si occupa dei pagamenti da voi?" sembra una domanda normale. Ma con la risposta l'aggressore può in seguito inviare una mail molto più convincente, indirizzata esattamente a quella persona. Si chiama spear phishing (lezione 1.2).

I cinque tasti su cui preme il phishing

Il phishing funziona perché Le fa agire prima che Lei pensi. Per farlo, preme su alcuni tasti fissi della nostra mente. Quasi ogni messaggio di phishing ne usa almeno due.

1. Urgenza. "Entro 24 ore", "oggi stesso", "ultimo promemoria". La pressione del tempo è il trucco più importante, perché Le impedisce di prendersi il tempo per verificare.
2. Autorità. Il messaggio arriva presumibilmente da qualcuno che Lei prende sul serio: la banca, l'Agenzia delle Entrate, il direttore, la polizia, il Suo fornitore di hosting, un avvocato.
3. Paura. Il Suo account verrà bloccato, riceverà una multa, i Suoi dati sono trapelati, il Suo dominio sta per scadere, c'è stata un'intrusione sul Suo conto.
4. Curiosità. "Guardi le foto dell'evento", "ha ricevuto un documento condiviso", "c'è un messaggio vocale per Lei", "prospetto-stipendio-2026.pdf".
5. Ricompensa. Un rimborso, un buono regalo, un premio vinto, un upgrade gratuito, un grosso ordine da un nuovo cliente.

Attenzione: questi tasti compaiono anche in messaggi autentici. Una fattura vera ha una data di scadenza, una banca vera talvolta invia un avviso. Un solo trucco non rende quindi falso un messaggio. Diventa sospetto quando la pressione è alta e il messaggio chiede qualcosa che Lei normalmente non farebbe.

Caratteristiche fisse, a prescindere dal testo

Oltre ai trucchi, i messaggi di phishing hanno alcune caratteristiche che ricorrono quasi sempre:

• Un invito ad agire subito (call to action): un pulsante, un link, un allegato, un numero di telefono da chiamare.
• Un canale che non corrisponde. La Sua banca chiede via mail di accedere, il Suo fornitore chiede un pagamento via WhatsApp, un collega chiede via sms dei buoni regalo.
• Una richiesta che non corrisponde. Comunicare una password o un codice di accesso, modificare un IBAN, effettuare un pagamento al di fuori della procedura normale, installare software su richiesta di chi chiama.
• Un'anomalia nel mittente o nel link. L'indirizzo o il link non corrisponde esattamente all'organizzazione che Lei si aspetta. Come leggerlo esattamente lo imparerà nelle lezioni 3.2 e 3.3.
• Riservatezza o aggiramento della procedura. "Non ne parli ancora con gli altri", "sono in riunione, non mi chiami", "faccia pure fuori dal sistema abituale".

Quest'ultima caratteristica è il segnale più forte nelle frodi del tipo CEO fraud e nelle frodi sulle fatture: un direttore autentico non ha alcun interesse a farLe saltare il normale controllo.

Perché gli errori di ortografia non sono più un buon indicatore

Un tempo si riconosceva il phishing da un italiano scorretto, da un'intestazione strana e da una grafica scadente. Questo non funziona più. Con i modelli linguistici (IA), un aggressore scrive in pochi secondi una mail impeccabile e cordiale in qualsiasi lingua, nello stile dell'organizzazione che sta imitando. L'ACN (Agenzia per la Cybersicurezza Nazionale) avverte anch'essa che il phishing generato con l'IA diventa più difficile da riconoscere: meno errori linguistici e pagine di accesso sempre più verosimili.

A ciò si aggiunge che il phishing a volte proviene da una casella di posta autentica. Se la casella di posta di un fornitore è stata compromessa, l'aggressore risponde semplicemente all'interno di uno scambio di mail esistente, con tanto di firma, tono e messaggi precedenti. Questo si chiama thread hijacking (dirottamento della conversazione). Mittente, formattazione e lingua sono allora tutti autentici. Solo la richiesta non è corretta: "Abbiamo un nuovo conto bancario, può pagare la fattura in sospeso su quello?"

Per questo motivo non si deve guardare all'aspetto di un messaggio, ma a cosa Le viene chiesto. Il phishing si riconosce raramente da una sola caratteristica, ma dal quadro d'insieme.

Il riflesso: stop, verifica, chiedi

Non deve conoscere ogni singolo trucco. Le serve un solo riflesso da usare ogni volta che un messaggio Le chiede qualcosa.

Stop. Sente fretta, spavento, curiosità o gioia? È esattamente il momento di non cliccare. Metta da parte il messaggio per un attimo. Le organizzazioni autentiche Le concedono quasi sempre tempo sufficiente per verificare.

Verifichi attraverso il Suo percorso personale. Non prosegua attraverso il messaggio stesso. Non clicchi sul link, non chiami il numero indicato nel messaggio e non risponda alla mail. Vada Lei stesso sul sito tramite il Suo segnalibro o digitando l'indirizzo, oppure chiami un numero che aveva già (la Sua contabilità, il retro della Sua carta bancaria, il sito ufficiale). La fattura esiste davvero? Il pacco è davvero in viaggio?

Chieda. Se ha ancora dubbi, lo chieda a un collega o alla persona che presumibilmente ha inviato il messaggio, tramite un altro canale. Si accordi con il Suo team che una domanda del genere non è mai fastidiosa. Meglio chiedere dieci volte inutilmente che pagare una sola volta per errore.

Questo riflesso funziona anche con una mail perfetta proveniente da una casella di posta compromessa. La verifica tramite il Suo percorso personale aggira completamente l'aggressore, perché questi non si trova nel Suo segnalibro né al telefono del Suo fornitore.

Nella pratica: ecco come si presenta

Tre messaggi simulati che il Forno Example (info@example.com) riceve in una sola mattina. Tutti i nomi sono inventati.

Messaggio 1: il pacco

Da: Corriere espresso <service@koeriersdienst-track.example>
Oggetto: Consegna non riuscita: azione richiesta
Gentile cliente, oggi abbiamo tentato di consegnare un pacco. L'indirizzo era incompleto. Programmi una nuova consegna entro 48 ore e paghi i costi di riconsegna di 1,95 euro, altrimenti il pacco tornerà al mittente.

Trucchi: urgenza (48 ore), paura (il pacco torna indietro), un importo piccolo affinché Lei non ci pensi troppo. L'obiettivo sono i dati della Sua carta. Verifica: sta aspettando un pacco? Cerchi la spedizione tramite il sito o l'app del corriere stesso.

Messaggio 2: il fornitore

Da: Fornitore Farine <administratie@leverancier.example>
Oggetto: RE: fattura 2026-0412
Salve, come concordato ecco la fattura. Attenzione: a causa di un cambio di banca La preghiamo di pagare d'ora in poi sul nostro nuovo numero di conto. Può farlo già oggi? Così potremo programmare la consegna di venerdì.

Trucchi: autorità (fornitore conosciuto, scambio di mail esistente), urgenza, ricompensa (la consegna). Il mittente può essere autentico: la casella di posta del fornitore potrebbe essere stata compromessa. Verifica: chiami il fornitore al numero presente nella Sua contabilità, non quello indicato in questa mail.

Messaggio 3: il programma di contabilità

Da: Programma di contabilità <noreply@boekhoudpakket.example>
Oggetto: Il Suo abbonamento verrà sospeso
Non siamo riusciti a elaborare il Suo ultimo pagamento. Effettui l'accesso entro 24 ore per aggiornare i Suoi dati di pagamento, altrimenti perderà l'accesso alla Sua contabilità.
[Accedi]

Trucchi: paura, urgenza, autorità. Se il mittente è corretto lo scoprirà nella lezione 3.3; dove porta il pulsante nella lezione 3.2. Verifica: apra Lei stesso l'app o il segnalibro del programma di contabilità. Se lì non compare alcun avviso, la mail è falsa.

Riepilogo

• Il phishing funziona tramite una storia (pretesto) adatta a Lei, con l'obiettivo di ottenere credenziali di accesso, denaro, accesso al Suo dispositivo o informazioni.
• I cinque tasti: urgenza, autorità, paura, curiosità e ricompensa. Di solito ne vengono usati due o più contemporaneamente.
• Gli errori di ortografia non sono più un indicatore affidabile: l'IA scrive mail impeccabili e le caselle di posta compromesse inviano messaggi autentici.
• Guardi cosa Le chiede un messaggio e attraverso quale canale, non il suo aspetto.
• Riflesso: stop, verifichi attraverso il Suo percorso personale, chieda in caso di dubbio.

Quiz

Esercizio

Esercizio A3.1: Riconoscere i trucchi. Riceverà sei messaggi simulati. Scelga per ciascun messaggio quali trucchi contiene (urgenza, autorità, paura, curiosità, ricompensa) e cosa fare: gestirlo normalmente, oppure verificare prima attraverso il Suo percorso personale. Il programma correggerà le Sue risposte e spiegherà per ciascun messaggio cosa Le è sfuggito.

Per saperne di più

I passaggi descritti negli articoli di WebOké valgono per l'ambiente di WebOké; presso altri fornitori il funzionamento è simile.

• Questa email è davvero di WebOké? Riconoscere il phishing e utilizzare il codice promozionale
• ACN, risorse sul phishing: https://www.acn.gov.it/
• CSIRT Italia: https://www.csirt.gov.it/
• Polizia Postale e delle Comunicazioni, per segnalare frodi e phishing: https://www.commissariatodips.it/