Introduzione

Il phishing è un tentativo di farti fare qualcosa che non faresti a mente fredda: cliccare un link, aprire un allegato, digitare una password, trasferire soldi.

Non è un virus. È ingegneria sociale. Il messaggio è lo strumento. Tu sei il bersaglio.

Dieci anni fa lo riconoscevi dal inglese sgrammaticato e dal logo storto. Oggi no. Arriva da una PEC che sembra vera. Da una fattura XML. Da un WhatsApp del "titolare". Da un SMS di Poste, INPS o Agenzia delle Entrate.

In questa guida vedi:

com'è fatto il phishing oggi, non quello da manuale 2012
come ispezionare un messaggio prima di toccare qualsiasi cosa
cosa fare se hai già cliccato
come ridurre il rischio in modo banale e duraturo
gli errori che vediamo più spesso

Non serve essere tecnici. Serve un metodo. Mittente, dominio, link, urgenza, allegato. Sempre in quest'ordine. Poi decidi.

Il phishing oggi non è l'email in inglese storto

Il truffatore non ha bisogno di "hackerare" il server. Deve solo farti credere che il messaggio venga da qualcuno che conosci o da un ente che temi.

Il canale cambia. La logica no: urgenza + autorità + un'azione da fare subito.

Email e PEC che sembrano ufficiali

La PEC in Italia ha un peso. Se arriva una PEC, molti la trattano come un atto. I truffatori lo sanno.

Non serve una PEC vera. Basta un mittente che assomiglia a agenziaentrate, inps, posteitaliane, aruba-pec, legalmail. Una lettera in più, un trattino, un dominio .online al posto di .gov.it.

Apri l'intestazione. Non fermarti al nome visualizzato. Il nome lo scrive chiunque. Conta l'indirizzo completo e il dominio dopo la @.

Una PEC legittima di un ente pubblico arriva da un dominio dell'ente, non da un indirizzo Gmail con oggetto "PEC - Notifica atto".

Fatture, DDT e "bonifico urgente"

In azienda il phishing più costoso è quello da contabilità.

Arriva una fattura PDF. O un XML "SDI". O una mail del commercialista con IBAN nuovo. O un messaggio del titolare: "paga questo fornitore oggi, poi ti spiego".

Il PDF può essere pulito. Il danno sta nel bonifico. O nell'allegato che esegue una macro.

Se un fornitore "cambia IBAN", non pagare. Chiama tu il numero che hai già in rubrica, non quello scritto nella mail.

WhatsApp: "sono il titolare"

Lo schema è fisso.

Un numero nuovo scrive: "Sono Mario, ho rotto il telefono, usa questo. Mandami i codici della banca / paga questo fornitore / compra gift card".

A volte il profilo ha la foto giusta. Copiata. A volte il messaggio parte da un collega a cui hanno già clonato l'account.

WhatsApp non è un canale ufficiale per pagamenti, password o codici 2FA. Mai.

SMS e falsi Microsoft, INPS, Poste, Agenzia delle Entrate

L'SMS è corto. Non c'è spazio per dubitare. Quello è il punto.

Esempi tipici:

"Il tuo account Microsoft sarà disattivato. Accedi qui."
"INPS: c'è un rimborso da 340 euro. Conferma i dati."
"Poste: il tuo pacco è in giacenza. Paga 1,90 euro."
"Agenzia delle Entrate: cartella esattoriale. Scarica l'avviso."
"SPID in scadenza. Rinnova ora."

Il link è un accorciatore o un dominio che assomiglia a inps-servizi.it, poste-login.com, agenziaentrate-info.net. L'ente vero sta su inps.it, poste.it, agenziaentrate.gov.it, microsoft.com.

Se il messaggio ti dice di chiamare un numero, non chiamarlo. È parte della truffa. Il centralino dall'altra parte è loro. Ti chiederanno codice dispositivo, OTP, password o un "codice di sblocco". Chiudi. Cerca tu il numero ufficiale sul sito dell'ente, digitandolo a mano.

Come ispezionare un messaggio

Non "fidarti dell'istinto". Istinto e fretta sono il terreno del phishing. Usa una checklist.

1) Il mittente, non il nome

Il nome visualizzato può essere "Agenzia delle Entrate" o "Ufficio Personale". È una etichetta.

Guarda l'indirizzo intero. Su Outlook: apri il messaggio, clicca sul nome, leggi l'indirizzo. Su Gmail: mostra originale se hai un dubbio serio.

Domande utili:

Il dominio dopo la @ è quello che usi di solito per quella persona o quell'ente?
C'è un carattere strano? rn al posto di m, uno zero al posto di una o, un .it.com
È un indirizzo gratuito (gmail, outlook, libero) che pretende di essere un ufficio pubblico?

Domini da trattare come sospetti

Qualsiasi cosa che contiene il nome dell'ente ma non è il dominio ufficiale
Sottodomini lunghi tipo login.microsoft.com.secure-auth.net: il dominio vero è l'ultimo, non il primo
PEC o "notifiche" da indirizzi che non hai mai usato per quel fornitore
Mittente interno con indirizzo esterno: il nome è del collega, la mail no

2) Il link, senza cliccare

Su computer: passa il mouse sul link e leggi la destinazione in basso a sinistra. Non cliccare "per vedere".

Su telefono è peggio. Il preview è piccolo. Tieni premuto il link e leggi l'URL intero prima di aprire.

Cosa guardare:

Il dominio vero, non il percorso. In https://poste.it.verifica-pacco.net/login il sito è verifica-pacco.net
https non basta. Anche i siti falsi hanno il lucchetto
Accorciatori (bit.ly, tinyurl, link di SMS) nascondono la destinazione. Non aprirli da un messaggio a freddo

Se devi accedere a INPS, Poste, Agenzia delle Entrate o Microsoft, apri tu il browser e digita l'indirizzo. Non entrare mai dal link del messaggio.

3) Il dominio, con calma

Copia l'URL in un foglio. Spezzalo.

https:// è solo il protocollo.

Poi viene l'host. L'host è quello che conta. Tutto dopo il primo / è scenografia.

Confronta con il sito che usi di solito. Non a memoria vaga: aprilo tu in un'altra scheda.

4) L'urgenza

"Entro 2 ore". "Account sospeso". "Cartella esecutiva". "Il titolare è in riunione, paga adesso".

L'urgenza è il meccanismo. Ti toglie il tempo di controllare.

Un ente vero raramente ti chiede password o pagamento via SMS. Una banca vera non ti chiede l'OTP al telefono. Un titolare vero, se ha rotto il telefono, lo puoi verificare in un altro canale.

Nessun tecnico Microsoft, nessuna banca e nessun commercialista serio ti chiederà via chat il codice che ti arriva sul telefono. Quel codice è la chiave. Se lo detti, hai già perso l'account.

5) Gli allegati

Tratta come ostili, finché non hai verificato il mittente:

.html e .htm (pagina falsa che sembra login)
.iso, .img, .lnk
.js, .vbs, .wsf, .bat, .cmd, .ps1
.zip / .rar con password "per il antivirus" (classico)
Office con macro: .docm, .xlsm, .pptm
PDF che ti manda su un modulo di login

Un PDF o un XML di fattura può essere innocuo come file e pericoloso come contenuto (IBAN falso). Il file non deve "esplodere" per farti danni.

Puoi procedere

Mittente noto, stesso dominio di sempre
Nessun link: ti dicono di entrare dal sito che usi già
Nessuna richiesta di password, OTP, IBAN nuovo
Puoi confermare in un altro canale

Fermati

Urgenza + pagamento o credenziali
Link con dominio che non riconosci
Allegato inatteso, anche da un nome noto
"Non dire a nessuno" / "sono occupato, fai in fretta"

Segnali d'allarme, in una tabella

Non ti serve indovinare. Ti serve contare i segnali. Due o tre insieme bastano per non toccare nulla.

Segnale	Perché conta	Cosa fare
Nome noto, indirizzo diverso	Il nome è falso, l'indirizzo no	Confronta con una mail vecchia vera
Dominio "simile"	`microsft`, `inps-it`, `.gov.com`	Apri tu il sito ufficiale
Urgenza + soldi o password	È lo schema, non un dettaglio	Non cliccare, verifica a voce
Link accorciato in SMS	Nasconde la destinazione	Non aprire, entra dal sito
Allegato inatteso	Macro, HTML, archivio con password	Non aprire, chiedi conferma
IBAN o beneficiario nuovi	Compromissione del fornitore o mail falsa	Chiama il numero in rubrica
"Chiama questo numero"	Centralino della truffa	Cerca tu il recapito ufficiale
Richiesta di OTP / codice app	Stanno entrando nel tuo account in diretta	Non dettare, cambia password da sito
WhatsApp da numero nuovo	Account clonato o identità inventata	Chiama il numero che conosci già
PEC da dominio sconosciuto	Sfrutta il rispetto che hai per la PEC	Controlla l'indirizzo intero

Un solo segnale può essere un errore onesto (un collega che scrive da Gmail). Urgenza più credenziali o più pagamento non è un errore. È una truffa.

Cosa fare se hai già cliccato

Succede. Il punto non è nasconderlo. Il punto è chiudere il danno in minuti, non in giorni.

Hai solo aperto il messaggio

Se non hai cliccato link e non hai aperto allegati, in genere non è successo nulla. Non inoltrare. Non rispondere. Segnala come phishing e cancella.

Hai cliccato il link, ma non hai inserito nulla

Chiudi la scheda. Non "esplorare" il sito.

Su quel computer: non usare password, non aprire file aziendali, non fare bonifici finché non hai controllato.

Se il browser ha chiesto di scaricare qualcosa e l'hai salvato, non aprirlo. Eliminalo. Svuota il cestino.

Hai inserito utente e password

Quell'account è da considerare compromesso. Subito.

Da un altro dispositivo se puoi, apri tu il sito ufficiale (non il link della mail)
Cambia la password
Se hai 2FA, controlla i dispositivi e le sessioni attive e chiudile
Se l'account è la mail aziendale, avvisa chi gestisce l'IT. Quella casella può inoltrare truffe ai clienti
Se la stessa password la usavi altrove, cambiala anche lì. Sì, andava già evitata

Hai inserito un codice OTP o un codice dell'app

Qualcuno sta entrando adesso. Cambia password, revoca le sessioni, se la banca lo consente blocca l'accesso dall'app ufficiale. Chiama tu il numero sul retro della carta o sul sito della banca.

Hai aperto un allegato o installato un "aggiornamento"

Scollega la rete (Wi-Fi e cavo) se è un PC di lavoro con dati di clienti o accessi a gestionali.

Da un altro telefono avvisa chi gestisce i sistemi. Non "provare a pulire" con tool scaricati da Google. Il rischio è peggiorare o mandare i file a un finto supporto.

Ordine di intervento (se hai già cliccato)

Non inserire altri dati su quella pagina
Cambia le password degli account toccati, dal sito ufficiale
Revoca sessioni e dispositivi collegati
Controlla se è partito un bonifico o una modifica IBAN
Avvisa IT, titolare o commercialista se è un canale di lavoro
Segnala il messaggio (vedi i link in fondo)

Hai già cliccato un link o aperto un allegato e non sai da dove partire? Contattaci

Come ridurre il rischio (senza diventare paranoici)

Non esiste "non ricevere più phishing". Esiste rendere il clic inutile.

Password diverse e un password manager

Se la password della mail è la stessa del gestionale, un phishing alla casella apre il resto.

Un password manager genera password lunghe e diverse. Tu ne memorizzi una. Il resto lo fa lui. Se un sito falso chiede la password, il manager non la propone: il dominio non torna.

Ne abbiamo scritto qui: password manager e 2FA.

2FA, quella giusta

L'SMS è meglio di niente. Un'app di autenticazione o una chiave hardware è meglio dell'SMS. L'SMS si può dirottare.

Attivala sulla mail, sulla banca, su Microsoft 365, su Google, sullo SPID se disponibile, sul gestionale.

La 2FA non ti salva se detti il codice a qualcuno. Serve a bloccare chi ha solo la password. Il codice resta tuo.

Come lavori in azienda

Tre regole che costano zero:

I pagamenti nuovi o gli IBAN nuovi si confermano a voce, con un numero già in rubrica
Il titolare non chiede bonifici e gift card su WhatsApp
PEC e fatture sospette si aprono in un flusso unico: chi le riceve non paga da solo

Se siete in pochi, basta una chat interna: "mi è arrivato questo, lo vedi?". Il secondo sguardo taglia la maggior parte delle truffe.

Segnalare

Segnalare non è burocratico. Toglie il sito dalla circolazione e addestra i filtri.

Inoltra o carica il messaggio alle segnalazioni di CERT-AGID
Per truffe e frodi online: Commissariato di P.S. online (Polizia Postale)
Se è un falso Microsoft o un sito di login: segnalazione phishing Microsoft

In Outlook e Gmail c'è "Segnala phishing". Usalo. Non inoltrare la mail a dieci colleghi "per avvisare": inoltri anche il link e l'allegato.

Se hai già cliccato, il danno si limita nei primi minuti: password nuove, sessioni chiuse, IT avvisato, niente altri dati su quella pagina.

Vuoi mettere in sicurezza caselle, PEC e procedure di pagamento in azienda? Parliamone

Risorse utili (autorevoli):

CERT-AGID — segnalazioni e avvisi sul phishing in Italia
Commissariato di P.S. online — Polizia Postale, truffe e frodi online
Segnalare un sito non sicuro a Microsoft
Agenzia delle Entrate — sito ufficiale
INPS — sito ufficiale
Poste Italiane — sito ufficiale

Riconoscere il phishing: come non cascarci