-
Phishing via e-mail, messaggistica e SMS:
come riconoscere e prevenire gli attacchi
Il phishing è una delle minacce informatiche più comuni e pericolose. I cybercriminali spesso si fingono aziende, organizzazioni o individui noti e cercano di ingannarti per farti rivelare dati sensibili o infettare il tuo computer/smartphone con malware tramite messaggi fraudolenti. Questi attacchi si verificano frequentemente via e-mail, app di messaggistica o SMS e possono avere gravi conseguenze.
Aumento dell'attività di phishing – si prega di rimanere all'erta
I criminali informatici spesso cercano di ingannare i clienti con e-mail o messaggi dall'aspetto molto autentico. I mittenti possono fingersi istituzioni affidabili e chiedere ai destinatari di cliccare su link o divulgare informazioni sensibili.
Pertanto, sii sempre vigile quando ricevi e-mail o messaggi inaspettati che affermano di provenire dalla tua banca.
Come proteggerti: Non aprire link o allegati da e-mail o messaggi sconosciuti. Controlla criticamente i mittenti e il contenuto per individuare i tipici segnali di frode: Sii particolarmente sospettoso di un linguaggio urgente, minacce o richieste di divulgazione di dati personali. Se sospetti una frode, contatta la tua banca tramite i canali di comunicazione a te noti.
Punti chiave:
I messaggi di phishing spesso contengono link dall'aspetto autentico o allegati provenienti da indirizzi di mittenti apparentemente affidabili che possono rubare le credenziali di accesso o diffondere malware.
I criminali utilizzano l'ingegneria sociale e l'AI per rendere i loro attacchi più credibili e personalizzati per le loro vittime.
Sii sospettoso dei messaggi inaspettati e controlla attentamente gli indirizzi dei mittenti e i link inclusi prima di rispondere.
Quali sono i segnali di phishing?
I cybercriminali scelgono un pretesto per farti seguire le loro istruzioni. Si fingono identità affidabili e forniscono motivi urgenti che sembrano plausibili. Spesso, i messaggi inviati contengono link malevoli o allegati infetti che possono compromettere il tuo dispositivo o rubare le tue credenziali di accesso.
Caratteristiche tipiche dei messaggi di phishing:
Pressione e urgenza
Sei incoraggiato ad agire immediatamente, e ti viene detto che, in caso contrario, si verificheranno presunte conseguenze negative.
Identità dall'aspetto affidabile:
I mittenti si fingono aziende, banche, membri della famiglia o autorità ben note.
Link a siti web falsi:
Cercano di indirizzarti a copie dall'aspetto reale di siti web con URL leggermente diversi che possono essere utilizzati per rubare le tue credenziali di accesso.
Allegati con malware:
Documenti o file ZIP possono contenere trojan o ransomware.
Numeri di richiamata al posto dei link:
Al posto di un link, può esserci un numero di telefono fraudolento (vedi attacco TOAD) che ti invita a richiamare.
Come proteggerti dal phishing
Controlla attentamente l'indirizzo del mittente o il numero di telefono
- Clicca sul nome del mittente per verificare l'indirizzo e-mail o il numero di telefono sottostante.
- Presta attenzione a piccole deviazioni, ad esempio, "organizzazioneg1obal.com" invece di "organizzazioneglobal.com" e verifica il numero di telefono confrontandolo con il numero di contatto che già possiedi o che hai trovato sul sito web ufficiale.
- Sii sospettoso delle e-mail provenienti da servizi di posta privati (ad esempio, nomedell'azienda@gmail.com) a nome di aziende note.
Casella informativa
Attenzione: Anche i numeri di telefono possono essere falsificati. Nel caso di una chiamata o un SMS, il numero di telefono visualizzato può essere diverso da quello da cui la chiamata proviene effettivamente, o l'SMS è stato inviato (il cosiddetto spoofing telefonico). Sii cauto con le richieste inaspettate o urgenti. In caso di dubbio, riaggancia e richiama il contatto utilizzando un numero che conosci essere corretto.
I messaggi di phishing possono contenere numeri di richiamata al posto di link o allegati. Quando richiami, sarai manipolato per visitare siti web pericolosi o per concedere ai truffatori l'accesso remoto al tuo computer (il cosiddetto Attacco di Consegna Telefonico (TOAD)). Non seguire la richiesta di richiamata se hai il minimo sospetto che qualcosa non va. Invece, chiama l'azienda o l'organizzazione in questione utilizzando un numero proveniente da una fonte affidabile e fai domande sull'email che hai ricevuto.
Non cliccare su link o allegati in messaggi dubbi.
Anche se un messaggio sembra importante: controlla il mittente e rifletti prima di cliccare! I criminali spesso trasmettono un senso di urgenza per far agire le loro vittime in fretta.
Come riconosco i siti web "sicuri"?
Non inserire dati personali su siti web con una connessione non crittografata. Puoi riconoscere se un sito web utilizza una connessione crittografata dalla sigla "https://" nella barra degli indirizzi e dal piccolo simbolo del lucchetto accanto alla barra degli indirizzi del browser. Sebbene un numero crescente di siti falsi utilizzi anche questa crittografia, è comunque importante prestarvi attenzione.
Segnala immediatamente le e-mail sospette.
Segnala i messaggi sospetti al tuo provider di posta elettronica o, ad esempio, all'agenzia di protezione dei consumatori. In un ambiente professionale, dovresti informare il tuo superiore, il dipartimento IT, i responsabili della protezione dei dati e i tuoi colleghi per proteggere te e la tua organizzazione dagli attacchi informatici.
Link e allegati pericolosi: cosa c'è dietro
Il phishing è uno dei tipi di attacchi informatici più segnalati. Il furto di credenziali di accesso sta diventando sempre più redditizio per i cybercriminali, poiché la metà degli attacchi riusciti sfrutta account utente rubati. Le e-mail di phishing sono il mezzo principale per diffondere malware, inducendo le vittime a cliccare su link o scaricare allegati. Gli attacchi si verificano anche tramite messaggistica e SMS.
Pagine di accesso false
Se incontri un attacco di phishing con questo metodo, atterrerai su una pagina di accesso dopo aver cliccato su un link. Queste pagine spesso assomigliano alle pagine di accesso ufficiali di Microsoft 365 o del banking online. Sono visivamente quasi indistinguibili da quelle reali, ma l'indirizzo web di solito rivela la frode. Pertanto, accedi sempre alle pagine di accesso direttamente tramite l'indirizzo web ufficiale e salvale come preferite nel tuo browser. Sii particolarmente cauto con gli annunci nei motori di ricerca, poiché possono anch'essi portare a pagine false.
Siti web falsi per la raccolta di dati.
Molti siti fraudolenti mirano a rubare dati personali come nome, indirizzo, dettagli bancari o numero di carta di credito. Questi siti spesso sembrano reali e ti chiedono di inserire informazioni. Non inserire mai dati confidenziali tramite link nelle e-mail, ma accedi sempre manualmente ai siti web pertinenti tramite l'URL che conosci.
Malware negli allegati e nei download.
Molte e-mail di phishing contengono allegati o link che possono caricare ransomware, software di estorsione o altro malware sul tuo dispositivo. I criminali spesso mascherano questi file come documenti apparentemente innocui, materiali di richiesta o aggiornamenti software. I codici QR possono anche portare a link pericolosi che diffondono malware. Pertanto, sii particolarmente cauto se ti viene inviato un file inaspettato e controlla attentamente la fonte prima di aprirlo.
Casella informativa
Riconosci il phishing con un semplice trucco: Passa il mouse sopra un link (senza cliccare). L'indirizzo effettivo viene visualizzato nella parte inferiore del browser o in Outlook. È diverso dall'obiettivo specificato? Non cliccare.
Social Engineering e AI: nuovi trucchi dei truffatori.
Attacchi di phishing altamente individualizzati (spear-phishing)
I cybercriminali utilizzano l'ingegneria sociale mirata per rivolgersi individualmente alla persona target. I settori delle infrastrutture critiche e le persone in posizioni di leadership sono più propensi a essere colpiti, in quanto da loro si possono ottenere informazioni preziose.
Testi di phishing tramite intelligenza artificiale (AI)
I cybercriminali utilizzano sempre più generatori di testo basati sull'AI per creare messaggi grammaticalmente e ortograficamente corretti e che, quindi, appaiono affidabili.
FAQ: Domande frequenti sul phishing.
Show content of Come riconosco un indirizzo e-mail falso?
- Domini deviati: [nome.cognome@organizzazioneg1obal.com] invece di [nome.cognome@organizzazioneglobal.com]
- Lettere sostituite: Cirillico "o" invece di Latino "o"
- Caratteri aggiunti: [nome.cognome@organisazione.com]
Show content of Come riconosco un URL affidabile?
- HTTPS invece di HTTP: I siti sicuri utilizzano "https://" con un simbolo di lucchetto
- Nessun errore di battitura/"caratteri sbagliati": Controlla ortografie o caratteri insoliti di altri alfabeti (ad esempio, "g00gle.com" invece di "google.com")
- Domini ufficiali: controlla quale dominio utilizza abitualmente l'azienda o l'organizzazione; le grandi aziende utilizzano anche estensioni note (.com, .de)
- Nessun carattere superfluo: URL lunghi o criptici sono solitamente sospetti
- Inserimento manuale: Evita di cliccare sui link nelle e-mail, digita tu stesso l'URL
Show content of Il phishing può verificarsi tramite SMS o app di messaggistica?
- Sì, è possibile. Nel cosiddetto "smishing", i truffatori inviano SMS o messaggi di testo tramite app di messaggistica in cui ti chiedono di cliccare su un link contenuto sotto un pretesto. Questo porta a una pagina di accesso falsa o a un download che contiene malware.
- Gli attacchi di phishing tramite SMS o messaggi di testo in nome di servizi di consegna come DHL e FedEx sono particolarmente comuni, annunciando presunti pacchi o problemi con la loro consegna.
