Hai ricevuto un’email sospetta? Cosa controllare prima di cliccare.

01 / Fermarsi e verificare

La prima cosa da fare

Se un’email ti chiede un’azione inattesa, verifica la richiesta usando un percorso indipendente dal messaggio. Apri l’app ufficiale oppure digita l’indirizzo del servizio che conosci già. Per un collega o un fornitore, usa un numero salvato in precedenza.

Questo evita di dover decidere se un pulsante sia autentico solo dal suo aspetto. Una richiesta reale può essere verificata anche senza usare il collegamento ricevuto.

Si parla di phishing quando qualcuno si presenta come un soggetto affidabile per ottenere dati, denaro o un’azione da parte tua. Può chiederti di inserire una password in una pagina falsa o di aprire un documento. La definizione del CERT-AgID descrive il meccanismo di questa frode.

02 / Il nome non basta

Controlla chi ti sta scrivendo

Il nome visualizzato può essere “Amministrazione”, “Assistenza” o quello di una persona che conosci. Apri i dettagli del mittente e leggi l’indirizzo completo. Un indirizzo diverso da quello abituale o con lettere cambiate è un motivo per fermarsi.

Per esempio, il nome “Ufficio ordini” non ti dice a chi appartiene ufficio@avvisi-fornitore.example. È un indirizzo inventato a scopo illustrativo: il nome del reparto può essere scelto da chi invia il messaggio.

Anche un indirizzo corretto non chiude la verifica: una casella può essere compromessa e una richiesta fraudolenta può inserirsi in una conversazione esistente. Se un fornitore cambia improvvisamente coordinate o modalità di pagamento, conferma con un contatto già noto. L’FBI spiega come nomi, indirizzi e siti possano essere imitati.

03 / Prima di aprire

Link, allegati e QR code

Il testo “Accedi al tuo account” può nascondere una destinazione diversa. Da computer, passando il puntatore su un collegamento puoi spesso leggerne l’indirizzo senza aprirlo. Sul telefono le anteprime dipendono dall’app: se non riesci a verificare la destinazione, passa direttamente dall’app o dal sito ufficiale.

Conta il dominio effettivo, non la presenza del nome di un marchio in un punto qualsiasi dell’indirizzo. In https://accesso.example/nome-della-banca, per esempio, il sito è accesso.example. Questo è un esempio fittizio, mostrato come testo e non come link.

• Allegato inatteso: verifica con il mittente prima di aprirlo, anche se si chiama “fattura” o “documento”.
• Richiesta di abilitare macro o installare programmi: fermati e chiedi conferma al referente tecnico.
• QR code nel messaggio: porta a una destinazione come un normale link; non offre una garanzia aggiuntiva.
• Codice di accesso o conferma: non comunicarlo a chi ti contatta e non approvare richieste di autenticazione che non hai avviato.

Il Canadian Centre for Cyber Security descrive anche i tentativi via QR code e le richieste inserite in conversazioni compromesse.

04 / Esempi illustrativi

Tre messaggi da riconoscere

Quelli che seguono sono esempi inventati di situazioni comuni, non messaggi ricevuti dai miei clienti.

“Il pacco è fermo: aggiorna i dati”

Stai aspettando un acquisto e il messaggio sembra arrivare al momento giusto. Prima di compilare il modulo, apri l’ordine dal sito su cui hai comprato o dall’app del corriere. Il fatto che tu stia aspettando un pacco rende la storia plausibile, ma non conferma chi ti ha scritto.

“Fattura corretta: usa il nuovo IBAN”

L’email usa il nome di un fornitore e chiede di sostituire i dati del pagamento. Chiama il referente al numero che avevi già, non a quello aggiunto nella firma del messaggio. Fai verificare il cambiamento prima di disporre il pagamento.

“Account bloccato tra un’ora”

Il pulsante porta a un modulo di accesso dall’aspetto familiare. Chiudi il messaggio e accedi al servizio dal percorso che usi normalmente. Se serve una verifica, controlla gli avvisi nell’account o contatta l’assistenza attraverso i recapiti ufficiali.

05 / Aspetto e affidabilità

Logo, italiano corretto e HTTPS

Un logo si può copiare e un testo fraudolento può essere scritto bene. Gli errori grammaticali possono destare sospetto; la loro assenza non rende autentico il messaggio.

Anche HTTPS ha un compito preciso: cifra la connessione con il sito aperto. Non certifica che quel sito appartenga alla tua banca o al tuo fornitore. Un sito che imita una pagina di accesso può avere una connessione HTTPS valida.

Il team di Chrome ha spiegato questo equivoco sul lucchetto. Nella guida su HTTP e HTTPS trovi la distinzione tra protezione della connessione e affidabilità del sito.

06 / Cosa fare adesso

Se hai già cliccato o inserito dati

Agisci in base a ciò che è successo. In azienda avvisa subito il referente IT: indica quando è arrivato il messaggio e quali azioni hai compiuto. Segnalare presto aiuta a ricostruire l’accaduto.

Hai aperto il link

Chiudi la pagina e interrompi l’interazione. Un clic, da solo, non dimostra che il dispositivo sia stato compromesso. Controlla eventuali download, mantieni aggiornati sistema e browser ed esegui una scansione con un software di sicurezza affidabile, se disponibile. Non installare strumenti suggeriti dalla pagina sospetta.

Hai inserito una password o approvato un accesso

Da un dispositivo affidabile, apri autonomamente il servizio ufficiale e cambia la password. Cambiala anche sugli altri account dove l’avevi riutilizzata. Controlla gli accessi recenti, revoca sessioni e autorizzazioni sconosciute e verifica i dati di recupero. Per la posta, controlla anche inoltri e filtri che non hai configurato.

Attiva la verifica in due passaggi se manca, ma considera che anche un codice temporaneo può essere sottratto con una pagina falsa. Se non riesci più a entrare, usa il recupero ufficiale del servizio. Google pubblica una procedura per proteggere un account compromesso.

Hai aperto un allegato o installato qualcosa

Interrompi l’uso del dispositivo per attività sensibili e contatta il supporto tecnico. Se sospetti un’infezione, scollegalo dalla rete e segui le indicazioni del referente. Conserva il messaggio per l’analisi, senza inoltrare allegati sospetti ai colleghi.

Hai comunicato dati di pagamento o inviato denaro

Contatta subito la banca o il gestore della carta usando l’app o un recapito ufficiale. Spiega l’accaduto e chiedi le misure disponibili per bloccare lo strumento o tentare di fermare l’operazione. Conserva messaggi e ricevute: il recupero del denaro non è garantito.

Il NCSC distingue le azioni da compiere dopo un link, un download o la comunicazione di dati. Per segnalare il messaggio usa la funzione “Segnala phishing” del servizio di posta o il canale previsto dalla tua organizzazione.

07 / Da tenere a portata di mano

La checklist prima di agire

1. Mi aspettavo questa richiesta? La fretta imposta dal messaggio è un motivo per verificare.
2. Ho letto l’indirizzo completo del mittente? Il nome visualizzato non basta.
3. Posso controllare dal sito o dall’app ufficiale? Apro il servizio autonomamente.
4. Mi chiedono password, codici, allegati o un pagamento diverso? Confermo con un contatto già noto.
5. Ho già fatto qualcosa? Interrompo l’interazione e seguo il caso corrispondente qui sopra.

Puoi condividere questa guida con chi usa la posta insieme a te. Concordare in anticipo come verificare una richiesta insolita evita di dover improvvisare mentre qualcuno sollecita una risposta.