Phishing: un inganno pericoloso, digitale e analogico

Quante volte vi è capitato di arrabbiarvi quando improvvisamente sul vostro smartphone o nella vostra casella di posta elettronica compaiono messaggi del tipo “Il vostro pacco è in ritardo” o “Modificate subito i vostri dati di accesso”? Nella frenesia della vita quotidiana, si tende a cliccare rapidamente sul presunto tracciamento della spedizione per vedere dove si trova il pacco o ad accedere alla piattaforma apparentemente familiare per aggiornare i dati del conto. Ed è proprio qui che inizia il problema. Chi osserva più da vicino, infatti, si rende conto che spesso dietro questi messaggi non c'è il corriere o la propria banca, ma una sofisticata truffa chiamata phishing. I criminali informatici utilizzano messaggi apparentemente autentici per rubare dati sensibili come password, informazioni sulle carte di credito o dati di accesso, spesso con un solo clic. In questo articolo scoprirete cosa si nasconde esattamente dietro il termine “phishing” e come potete proteggervi.

Ingannevolmente reale: capire il phishing

Il phishing non è più un fenomeno marginale, ma è oggi una delle forme più comuni di criminalità digitale. Chi crede che solo le grandi aziende o le persone facoltose ne siano colpite, si sbaglia. La realtà è che il phishing avviene ogni giorno. Sul posto di lavoro, nella casella di posta elettronica privata e persino in modo analogico, ad esempio nella cassetta delle lettere o al telefono.

Gli attacchi diventano sempre più sofisticati e i metodi sempre più vari. Messaggi incredibilmente realistici, siti web falsi e trucchi psicologici rendono sempre più difficile riconoscere le frodi a prima vista. È quindi ancora più importante sensibilizzare l'opinione pubblica su questo pericolo, perché solo chi conosce le truffe può proteggersi in modo efficace.

Che cos'è il phishing?

Partiamo dalle nozioni di base: il phishing è un metodo fraudolento con cui gli aggressori si fingono entità affidabili per ottenere dati e informazioni sensibili. I criminali ci contattano direttamente, ad esempio tramite e-mail, spacciandosi per la nostra banca, un ente pubblico, un corriere o un fornitore di servizi IT. Il termine “phishing” deriva dall'inglese ‘fishing’ (= pesca) e descrive in modo figurato la “pesca di dati”. L'esca? E-mail manipolate o siti web ingannevolmente autentici di marchi noti. E il pesce all'amo? Purtroppo siamo noi, le vittime dell'attacco di phishing.

Non può succedere a me? Un errore pericoloso. I criminali informatici non solo utilizzano imitazioni ingannevolmente autentiche di aziende note, ma esercitano anche pressioni psicologiche. Lavorano con avvertimenti, scadenze o presunte ricompense. Il famoso prozio americano che promette il suo patrimonio di 1,8 milioni di euro in cambio di 2000 euro di spese di trasferimento è ormai un classico. Il phishing è una forma di ingegneria sociale, una manipolazione che sfrutta in modo mirato le debolezze umane come la fiducia, la disponibilità ad aiutare o la paura.

Particolarmente pericoloso è il cosiddetto “spear phishing”: un attacco mirato a singoli individui, organizzazioni o aziende. I messaggi sono spesso personalizzati, basati su dati precedentemente richiesti per telefono o tramite altri canali.

L'obiettivo dietro tutto questo? Accedere ai nostri dati sensibili. Che li inseriamo su siti web o negozi online falsi, li riveliamo tramite SMS (smishing) o al telefono (vishing), utilizziamo app manipolate o codici QR (quishing), i metodi sono molteplici. I vantaggi per i criminali vanno dal furto di identità e dall'uso improprio delle carte di credito al saccheggio dei conti bancari fino all'accesso alle reti aziendali. E sono nascosti tanto quanto i metodi che i criminali scelgono per ottenerli.

La fiducia come punto debole: la psicologia dietro al phishing & Co.

Al centro di tutti gli attacchi di phishing c'è una leva semplice ma potente: la nostra fiducia. Quando riceviamo messaggi nella nostra casella di posta elettronica, su WhatsApp o sui social media, il nostro “filtro critico” viene spesso disattivato: dopotutto, si tratta dell'ambiente a cui siamo abituati, in cui riceviamo innumerevoli messaggi ogni giorno. In queste interazioni sociali familiari, la fiducia prende il sopravvento sulla diffidenza e sullo scetticismo, e così i truffatori ci hanno attirato in acque apparentemente sicure.

Altrettanto efficaci sono i principi di scarsità e urgenza. Quando esperti apparentemente affidabili (“avviso di sicurezza urgente dalla vostra banca”) ci chiedono di modificare i nostri dati di accesso per proteggerci, di solito non mettiamo in discussione la loro autorità. Lo stesso vale quando ci viene concesso un lasso di tempo limitato (“Solo 24 ore per verificare il tuo account”). In questo caso, infatti, i truffatori generano stress in modo mirato e attivano il nostro centro della paura. Sotto la pressione di un lasso di tempo limitato, è più facile trascurare gli errori: un dominio scritto in modo errato, un indirizzo mittente fuorviante o la mancanza di un saluto personale passano inosservati. La visione ristretta che ne deriva ci impedisce di eseguire i nostri consueti controlli di sicurezza.

I metodi di spear phishing come la “frode del CEO” sfruttano in particolare il nostro rispetto per le gerarchie. Se un'e-mail sembra provenire dal proprio superiore con una richiesta urgente, ad esempio di inoltrare dati sensibili o di effettuare pagamenti, la soglia di partecipazione si abbassa drasticamente. Il tono spesso brusco ed esigente aumenta ulteriormente la pressione, perché sul lavoro temiamo conseguenze severe in caso di ritardi o contraddizioni.

Un altro fattore di successo è l'approvazione sociale. Se ci viene offerto un servizio apparentemente gratuito o ci viene inoltrata la raccomandazione di un amico, non solo viene stimolata la nostra curiosità, ma anche il nostro stato di allerta passa a “tutto è a posto”. Testimonianze false e recensioni camuffate rafforzano questa sensazione. Anche le informazioni contraddittorie vengono ignorate se la maggioranza segnala il proprio consenso.

Digitale e analogico: i metodi dei ladri di dati

È la perfida combinazione di professionalità, fiducia ingannata e manipolazione mirata che attira anche gli utenti più esperti nella trappola del phishing. Basta un solo trigger perfettamente posizionato, che si tratti di un'e-mail urgente, di un SMS apparentemente innocuo o di una lettera dall'aspetto autentico, per aprire le porte ad attacchi digitali o analogici. La gamma di metodi utilizzati spazia dai classici attacchi informatici alle tattiche offline fino a sofisticate forme ibride. Infatti, sebbene il phishing sia spesso equiparato alla frode online, i criminali utilizzano sempre più spesso anche canali analogici, combinandoli abilmente con elementi digitali per rendere i loro attacchi ancora più opachi.

Trucchi informatici nella vita di tutti i giorni: come funzionano gli attacchi di phishing digitale

Metodo	Procedura
Phishing via e-mail	I criminali informatici inviano in modo casuale un gran numero di e-mail contraffatte che rimandano a siti web fraudolenti o contengono allegati infetti, al fine di ottenere dati di accesso o informazioni di pagamento.
Spear phishing	Le informazioni personali vengono raccolte (ad esempio tramite telefono, sito web aziendale o social media) per inviare messaggi altamente personalizzati a una persona o a un gruppo specifico.
Whaling	Conosciuto anche come “frode del CEO”: una forma di spear phishing in cui gli aggressori si fingono dirigenti per ottenere dati sensibili o ingenti somme di denaro.
SMiShing	SMS fraudolenti (ad es. presunte notifiche di pacchi o avvisi di sicurezza) contengono link dannosi o numeri di richiamata che portano al furto di dati.
Quishing	Codici QR manipolati su supporti fisici o siti web portano a pagine di destinazione false che richiedono dati o diffondono malware.
Clone phishing	Le e-mail di aziende o marchi noti vengono copiate e inviate con link dannosi o allegati infetti, che sembrano autentici, manipolando anche gli indirizzi dei mittenti.
Pharming	Attraverso la manipolazione del DNS o malware, gli utenti vengono reindirizzati a siti web falsi nonostante abbiano inserito l'URL corretto.
Phishing con malware	Le e-mail o i download contengono malware (ad es. trojan) che, una volta aperti, rubano dati o infettano le reti.
Watering hole phishing	I siti web frequentati da un determinato gruppo target vengono compromessi per infettare i visitatori con malware.
Phishing angler	I siti web frequentati da un determinato gruppo target vengono compromessi per infettare i visitatori con malware.
Phishing sui motori di ricerca	Gli utenti vengono indirizzati a siti o negozi falsi tramite annunci di ricerca a pagamento o SEO manipolato, dove vengono indotti a inserire dati sensibili nei campi di login o nei moduli.
Typosquatting	Chiamato anche “URL hijacking”: i criminali informatici registrano domini con errori di battitura o altri errori ortografici di marchi noti per reindirizzare gli utenti che digitano in modo errato verso siti di phishing.
Pop-up phishing	Finestre pop-up inaspettate su siti web e negozi online richiedono l'inserimento urgente di password o l'aggiornamento del software, solo per spiare i dati.
Baiting	Lancio mirato di file allettanti ma infetti (come una chiavetta USB lasciata in biblioteca) che suscitano curiosità, ma che in realtà servono solo a raccogliere dati o installare malware.
Deepfake phishing	Utilizzo di voci, immagini o video generati dall'intelligenza artificiale che sono molto simili a persone famose e hanno lo scopo di manipolare le vittime.
Fake apps	Malware che viene installato tramite il download dell'app o che ruba dati di accesso e informazioni di pagamento.

Phishing analogico: quando i truffatori diventano personali

È risaputo che il phishing non è più un fenomeno puramente digitale. I truffatori ricorrono sempre più spesso anche a metodi analogici per ottenere dati sensibili, denaro o altri beni. Spesso vengono utilizzati approcci ibridi, ad esempio quando, prima di un attacco di spear phishing, vengono richieste informazioni specifiche per telefono al fine di rendere le successive e-mail contraffatte ancora più credibili e difficili da individuare.

Metodo	Procedimiento
Vishing	Estafa clásica por teléfono (por ejemplo, por parte de supuestos empleados de banco, policías, etc., también conocida como «truco del nieto»), en la que los delincuentes presionan a las víctimas para que revelen datos o entreguen dinero.
Phishing por correo	Cartas o folletos falsos en el buzón que parecen cartas oficiales o publicidad de bancos, oficinas públicas o servicios de paquetería. A menudo se combina con el «quishing», ya que las cartas contienen códigos QR.
Skimming en cajeros automáticos	También conocido como «manipulación de cajeros automáticos»: se manipulan las ranuras para tarjetas de los cajeros automáticos («dispositivos de skimming») y se interceptan los datos de los usuarios y los PIN mediante minicámaras.
Pretexting cara a cara	Los estafadores se hacen pasar personalmente (in situ) por técnicos, ayudantes de mudanzas o repartidores de paquetes para manipular la cerradura de la puerta o espiar datos en el ordenador o, en general, en la vivienda.
Facturas falsas	Se envían por correo postal facturas en papel que parecen auténticas y en las que se solicita una transferencia bancaria. El dinero acaba entonces en las cuentas bancarias preparadas por los delincuentes.
Flyers/carteles quishing	Otra combinación analógica-digital: los códigos QR de los carteles callejeros o los flyers enlazan con páginas de phishing, aunque el contexto impreso parezca serio.
Señuelo con llavero	Otra versión híbrida en la que se distribuyen obsequios promocionales (por ejemplo, memorias USB manipuladas) en el lugar de trabajo o por correo postal: un señuelo analógico y un ataque digital.

Riconoscere e contrastare le tattiche di phishing

Più conosciamo i diversi metodi di phishing e più sensibilizziamo noi stessi e gli altri al riguardo, meno saremo inclini a fidarci ciecamente di e-mail, siti web o SMS sospetti, e questo è un bene. Meglio controllare una volta di troppo che una volta di meno. Una volta persi dati sensibili o importi trasferiti, il danno è spesso irreversibile.

È quindi ancora più importante affrontare attivamente questo tema, indubbiamente spiacevole, informare familiari e amici sui nuovi metodi di phishing e invitare regolarmente alla cautela anche sul posto di lavoro. Corsi di formazione e misure di sensibilizzazione aiutano a riconoscere tempestivamente i rischi e a evitare danni.

Per fornirvi una sorta di “tabella di marcia”, abbiamo raccolto alcuni consigli che vi aiuteranno a proteggervi dal phishing:

20 consigli per proteggersi dal phishing

Digitare manualmente gli URL invece di cliccare sui link e prestare attenzione agli errori ortografici
Verificare sempre che si tratti di una connessione HTTPS sicura (simbolo del lucchetto nel browser)
Non rivelare mai dati personali, ad esempio tramite e-mail, telefono o SMS
Controllare attentamente il mittente, i loghi e il saluto nelle e-mail
Attivare l'autenticazione a due fattori, ove possibile
Non aprire allegati provenienti da fonti sconosciute e controllare anche quelli provenienti da mittenti noti
Aggiornare regolarmente il software di sicurezza ed eseguire gli aggiornamenti di sistema
Evitare le reti Wi-Fi pubbliche, soprattutto per transazioni sensibili
Scansionare i codici QR solo da fonti affidabili
In caso di lettere o e-mail sospette, chiedere direttamente all'azienda o alla banca
Non inserire dati sensibili in moduli online o su siti web sconosciuti
Rimanete scettici quando ricevete chiamate da “autorità” o “banche” – se necessario, chiedete di parlare con un referente personale
In caso di presunte chiamate della polizia (ad es. incidente di un familiare), contattate direttamente la persona interessata
Segnalare i tentativi di phishing al centro consumatori o alla polizia per proteggere gli altri
Attivare i filtri antispam e controllarli regolarmente
Controllare regolarmente gli estratti conto e i conti dei servizi di pagamento online
Non condividere informazioni sensibili (“Siamo in vacanza!”) sui social media
Frequentare corsi di formazione sul phishing e la criminalità informatica e consigliarli ad altri
Mantenere la calma, anche in caso di pressioni o minacce. Cercare aiuto presso persone di fiducia
In caso di dubbio, è meglio controllare una volta di troppo piuttosto che una volta di meno: l'intuizione (“sensazione viscerale”) conta

💡 Consiglio extra per le aziende:
Investi in attrezzature professionali di alta qualità per il tuo hardware di rete. Puoi trovarle a prezzi accessibili come hardware ricondizionato nel nostro negozio.

Altri articoli sul tema della criminalità informatica e del phishing che potrebbero interessarvi: