Modulo 3 · 3.1
Come funziona un messaggio di phishing
Modulo 3: Riconoscere il phishing · Tempo di lettura: 11 minuti
Obiettivo della lezione: Dopo questa lezione sarà in grado di riconoscere i trucchi psicologici e le caratteristiche fisse di un messaggio di phishing, anche quando il testo è impeccabile, e reagirà con il riflesso fermarsi, verificare, chiedere.
Concetti chiave: urgenza, autorità, paura, curiosità, ricompensa, pretesto, phishing scritto con l'IA, il riflesso "fermarsi, verificare, chiedere"
Il phishing è una storia, non una tecnica
Il phishing è un messaggio che Le fa fare qualcosa di vantaggioso per il mittente e dannoso per Lei: cliccare su un link, accedere a una pagina contraffatta, aprire un allegato, effettuare un pagamento o comunicare un codice. La tecnica alla base è spesso semplice. Ciò che fa davvero il lavoro è la storia.
Questa storia si chiama pretesto: un'occasione credibile. "Il Suo pacco non è potuto essere consegnato." "La Sua casella di posta è piena." "C'è una fattura in sospeso." "Il Suo account verrà bloccato." Un buon pretesto si adatta alla Sua situazione. Un panificio riceve una mail su un fornitore di farina, uno studio legale su una citazione in giudizio, un negozio online su un pagamento bloccato.
L'obiettivo è quasi sempre uno di questi quattro:
| Obiettivo | Cosa vuole l'aggressore | Cosa deve fare Lei per caderci |
|---|---|---|
| Credenziali di accesso | La Sua password e possibilmente anche il Suo codice di accesso | Accedere a una pagina contraffatta |
| Denaro | Un pagamento sul suo conto | Pagare una fattura o modificare un IBAN |
| Accesso al Suo dispositivo | Malware sul Suo computer | Aprire un allegato o un download |
| Informazioni | Dati per un attacco successivo | Rispondere a una domanda "innocente" |
Nell'ultimo tipo di attacco, al momento non succede nulla di grave. "Chi si occupa dei pagamenti nella Sua azienda?" sembra una domanda normale. Ma con la risposta l'aggressore può in seguito inviare una mail molto più convincente, indirizzata proprio a quella persona. Questo si chiama spear phishing (lezione 1.2).
I cinque pulsanti su cui preme il phishing
Il phishing funziona perché La induce ad agire prima che Lei possa riflettere. Per farlo, preme su alcuni pulsanti fissi della nostra mente. Quasi ogni messaggio di phishing ne usa almeno due.
- Urgenza. "Entro 24 ore", "oggi stesso", "ultimo avviso". La pressione del tempo è il trucco più importante, perché Le impedisce di prendersi il tempo per verificare.
- Autorità. Il messaggio sembra provenire da qualcuno che Lei prende sul serio: la banca, l'Agenzia delle Entrate, il direttore, la polizia, il Suo fornitore di hosting, un avvocato.
- Paura. Il Suo account verrà bloccato, riceverà una multa, i Suoi dati sono stati compromessi, il Suo dominio sta per scadere, c'è stata un'intrusione nel Suo conto.
- Curiosità. "Guardi le foto dell'evento", "ha ricevuto un documento condiviso", "c'è un messaggio vocale per Lei", "prospetto-stipendi-2026.pdf".
- Ricompensa. Un rimborso, un buono regalo, un premio vinto, un upgrade gratuito, un grande ordine da un nuovo cliente.
Attenzione: questi pulsanti compaiono anche in messaggi autentici. Una fattura vera ha una scadenza, una banca vera a volte invia un avviso. Un solo trucco quindi non rende falso un messaggio. Diventa sospetto quando la pressione è alta e il messaggio chiede qualcosa che normalmente Lei non farebbe.
Caratteristiche fisse, indipendenti dal testo
Oltre ai trucchi, i messaggi di phishing hanno alcune caratteristiche che ricorrono quasi sempre:
- Un invito ad agire subito (call to action): un pulsante, un link, un allegato, un numero di telefono da chiamare.
- Un canale che non corrisponde. La Sua banca Le chiede per mail di accedere, il Suo fornitore chiede tramite WhatsApp un pagamento, il Suo collega chiede tramite sms buoni regalo.
- Una richiesta che non corrisponde. Comunicare una password o un codice di accesso, modificare un IBAN, effettuare un pagamento al di fuori della normale procedura, installare software su richiesta di chi chiama.
- Un'anomalia nel mittente o nel link. L'indirizzo o il link non corrispondono esattamente all'organizzazione che Lei si aspetta. Come leggerli con precisione lo imparerà nella lezione 3.2 e 3.3.
- Segretezza o aggiramento della procedura. "Non lo dica ancora agli altri", "sono in riunione, non mi chiami", "lo faccia al di fuori del sistema".
L'ultima caratteristica è il segnale più forte nelle frodi di tipo CEO e nelle frodi sulle fatture: un vero direttore non ha alcun interesse a farLe saltare il normale controllo.
Perché gli errori ortografici non sono più un buon indicatore
In passato riconosceva il phishing da un italiano scorretto, da un'intestazione strana e da una grafica trascurata. Questo non funziona più. Con i modelli linguistici (IA), un aggressore scrive in pochi secondi una mail impeccabile e cordiale in qualsiasi lingua, nello stile dell'organizzazione che sta imitando. Anche l'NCSC olandese avverte che il phishing generato con l'IA diventa più difficile da riconoscere: meno errori linguistici e pagine di accesso sempre più realistiche.
A questo si aggiunge che il phishing a volte proviene da una casella di posta autentica. Se la casella di posta di un fornitore è stata compromessa, l'aggressore risponde semplicemente in una conversazione già esistente, con tanto di firma, tono e messaggi precedenti. Questo si chiama thread hijacking. Mittente, formattazione e lingua sono tutti autentici. Solo la richiesta non è corretta: "Abbiamo un nuovo conto bancario, può pagare la fattura in sospeso su quello?"
Per questo non deve guardare come appare un messaggio, ma cosa Le chiede. Il phishing si riconosce raramente da una sola caratteristica, ma dal quadro d'insieme.
Il riflesso: fermarsi, verificare, chiedere
Non deve conoscere ogni trucco. Le serve un unico riflesso da usare ogni volta che un messaggio Le chiede qualcosa.
Fermarsi. Sente fretta, spavento, curiosità o gioia? È esattamente il momento di non cliccare. Metta da parte il messaggio per un attimo. Le organizzazioni autentiche Le danno quasi sempre tempo sufficiente per verificare.
Verificare attraverso il proprio canale. Non proceda tramite il messaggio stesso. Non clicchi sul link, non chiami il numero indicato nel messaggio e non risponda alla mail. Vada Lei stesso sul sito tramite il Suo segnalibro o digitando l'indirizzo, oppure chiami un numero che già conosceva (la Sua amministrazione, il retro della Sua carta bancaria, il sito ufficiale). La fattura è davvero presente? Il pacco è davvero in viaggio?
Chiedere. Se ha ancora dei dubbi, lo chieda a un collega o alla persona che presumibilmente ha inviato il messaggio, tramite un altro canale. Si accordi con il Suo team che una domanda del genere non è mai fastidiosa. Meglio chiedere dieci volte inutilmente che pagare una volta sbagliata.
Questo riflesso funziona anche con una mail perfetta proveniente da una casella di posta compromessa. La verifica tramite il proprio canale aggira completamente l'aggressore, perché questi non si trova nel Suo segnalibro né al telefono del Suo fornitore.
Nella pratica: ecco come si presenta
Tre messaggi simulati che il Panificio Example (info@example.com) riceve in una sola mattina. Tutti i nomi sono inventati.
Messaggio 1: il pacco
Da: Corriere Express <service@koeriersdienst-track.example>
Oggetto: Consegna non riuscita: azione richiesta
Gentile cliente, oggi abbiamo provato a consegnare un pacco. L'indirizzo era incompleto. Pianifichi una nuova consegna entro 48 ore e paghi i costi di riconsegna di 1,95 euro, altrimenti il pacco tornerà al mittente.
Trucchi: urgenza (48 ore), paura (il pacco tornerà indietro), un importo piccolo affinché Lei non ci rifletta troppo. L'obiettivo sono i dati della Sua carta. Verifica: sta aspettando un pacco? Cerchi la spedizione tramite il sito o l'app del corriere stesso.
Messaggio 2: il fornitore
Da: Fornitore Farina <administratie@leverancier.example>
Oggetto: RE: fattura 2026-0412
Buongiorno, come concordato Le invio in allegato la fattura. Attenzione: a causa di un cambio di banca, da ora in poi La preghiamo di effettuare i pagamenti sul nostro nuovo numero di conto. Può farlo oggi stesso? Così possiamo organizzare la consegna di venerdì.
Trucchi: autorità (fornitore conosciuto, conversazione già esistente), urgenza, ricompensa (la consegna). Il mittente può essere autentico: la casella di posta del fornitore potrebbe essere stata compromessa. Verifica: chiami il fornitore al numero presente nella Sua amministrazione, non quello indicato in questa mail.
Messaggio 3: il software di contabilità
Da: Software di Contabilità <noreply@boekhoudpakket.example>
Oggetto: Il Suo abbonamento sta per essere sospeso
Non siamo riusciti a elaborare il Suo ultimo pagamento. Effettui l'accesso entro 24 ore per aggiornare i Suoi dati di pagamento, altrimenti perderà l'accesso alla Sua contabilità.
[Accedi]
Trucchi: paura, urgenza, autorità. Se il mittente è corretto lo scoprirà nella lezione 3.3; dove porta il pulsante nella lezione 3.2. Verifica: apra personalmente l'app o il Suo segnalibro del software di contabilità. Se lì non compare alcuna notifica, la mail è falsa.
Riepilogo
- Il phishing funziona tramite una storia (pretesto) che si adatta a Lei, con l'obiettivo di ottenere credenziali di accesso, denaro, accesso al Suo dispositivo o informazioni.
- I cinque pulsanti: urgenza, autorità, paura, curiosità e ricompensa. Di solito ne vengono premuti due o più contemporaneamente.
- Gli errori ortografici non sono più un indicatore affidabile: l'IA scrive mail impeccabili e le caselle di posta compromesse inviano messaggi autentici.
- Osservi cosa Le chiede un messaggio e attraverso quale canale, non come appare.
- Riflesso: fermarsi, verificare attraverso il proprio canale, chiedere in caso di dubbio.
Quiz
Esercizio
Esercizio A3.1: Riconoscere i trucchi. Riceverà sei messaggi simulati. Scelga per ogni messaggio quali trucchi contiene (urgenza, autorità, paura, curiosità, ricompensa) e cosa fare: gestirlo normalmente, oppure verificare prima attraverso il proprio canale. Il programma correggerà le Sue risposte e spiegherà per ogni messaggio cosa ha tralasciato.
Per saperne di più
I passaggi descritti negli articoli di WebOké valgono per l'ambiente di WebOké; presso altri fornitori il funzionamento è simile.
- Questa email è davvero di WebOké? Riconoscere il phishing e utilizzare il codice promozionale
- ACN (Agenzia per la Cybersicurezza Nazionale), risorse sul phishing: https://www.acn.gov.it/
- CSIRT Italia, informazioni sulle minacce informatiche: https://www.csirt.gov.it/
- Polizia Postale e delle Comunicazioni, per segnalare frodi e phishing: https://www.commissariatodips.it/