Phishing come difendersi: guida pratica agli attacchi email

Il phishing è la tecnica di inganno più diffusa per sottrarre credenziali di accesso, dati bancari e informazioni personali. Non è un attacco tecnico sofisticato — si basa sull’ingegneria sociale: convincere la vittima a consegnare volontariamente le proprie credenziali su un sito falso o a scaricare malware mascherato da documento legittimo.

Sapere come difendersi dal phishing non significa diventare esperti di sicurezza informatica. Significa riconoscere i segnali che distinguono una comunicazione legittima da un tentativo di truffa, e adottare alcune contromisure tecniche che limitano il danno anche quando si cade nella trappola.

Phishing cos’è: definizione rapida

Un attacco phishing si presenta sotto forma di email, SMS (smishing), messaggio WhatsApp o notifica social che sembra provenire da un’entità affidabile — banca, corriere, Poste Italiane, PayPal, provider di hosting, piattaforma di e-commerce. Il messaggio contiene sempre un elemento di urgenza o allarme: «Il tuo account verrà sospeso», «Pagamento non riuscito», «Verifica necessaria entro 24 ore».

Il link nel messaggio porta a una pagina clone del sito originale, identica nell’aspetto ma ospitata su un dominio diverso. L’utente inserisce le credenziali credendo di accedere al servizio reale — in realtà le sta consegnando direttamente all’attaccante. In pochi minuti, l’account compromesso viene svuotato, usato per ulteriori attacchi o venduto nel dark web.

Come riconoscere un’email phishing: segnali concreti 🔍

Gli attacchi di phishing attuali sono tecnicamente ben costruiti — grafica professionale, loghi autentici, formattazione corretta. Ma ci sono segnali che li tradiscono:

URL sospetto nel link

Il metodo più affidabile: passare il mouse sul link senza cliccare (su mobile, tenere premuto). Il browser mostra l’URL reale in basso a sinistra. Se l’email dice di provenire da Poste Italiane ma il link punta a poste-verifiche[.]com o posteverifica[.]net, è phishing. I siti legittimi usano sempre il dominio ufficiale: poste.it, paypal.com, amazon.it. Un dominio che “somiglia” ma non è esattamente quello ufficiale è sempre sospetto.

Mittente incoerente

L’indirizzo email del mittente — visibile cliccando su “Mostra dettagli” o sul nome visualizzato — spesso tradisce l’inganno. Un’email che dichiara di provenire da «Servizio Clienti Intesa Sanpaolo» ma arriva da noreply@servizio-clienti-sicurezza[.]info è falsa. Le banche e i servizi legittimi usano domini aziendali riconoscibili. Attenzione: il nome visualizzato può essere falsificato facilmente — conta solo l’indirizzo email effettivo tra parentesi angolari.

Senso di urgenza artificiale

«Il tuo account verrà chiuso entro 48 ore», «Verifica immediata richiesta», «Ultimo avviso». Il phishing fa leva sulla fretta per bypassare il pensiero critico. I servizi reali non minacciano mai la chiusura immediata dell’account via email — hanno procedure più articolate, con avvisi graduali e canali di contatto multipli.

Errori grammaticali e sintattici

Molti attacchi phishing provengono da gruppi internazionali che usano traduttori automatici. Frasi mal costruite, punteggiatura errata, uso anomalo delle maiuscole sono segnali di scarsa professionalità — improbabile in comunicazioni ufficiali di banche o aziende strutturate. Non è garanzia assoluta (alcuni attacchi mirati sono linguisticamente perfetti), ma rimane un indicatore utile.

Richiesta di credenziali via email

Regola semplice: nessun servizio legittimo chiede mai credenziali via email. Non password, non PIN, non codici di sicurezza. Se un’email chiede di «verificare i dati di accesso», «confermare la password», «inserire il codice della carta» — è phishing senza eccezioni. Le piattaforme serie gestiscono l’autenticazione solo attraverso i loro siti ufficiali, mai tramite link in email.

Esempi concreti di phishing bancario e postale

Gli attacchi più comuni riguardano servizi con alto valore economico o grande base utenti:

📧 Phishing Poste Italiane

Email che avvisa di un pacco in giacenza o di un problema con la carta Postepay. Il link porta a una pagina che imita perfettamente il portale Poste, chiedendo di inserire credenziali e dati della carta per «sbloccare» la consegna o risolvere il problema. Poste Italiane comunica le giacenze tramite avviso cartaceo fisico nella cassetta postale, non via email con link diretti al login.

💳 Phishing bancario (Intesa Sanpaolo, UniCredit, BNL)

Comunicazione di «accesso sospetto» o «operazione da confermare» con richiesta di login tramite link in email. La pagina falsa raccoglie username, password e spesso anche il codice OTP generato dall’app o ricevuto via SMS. Le banche inviano notifiche generiche via email, ma l’autenticazione va sempre effettuata aprendo manualmente il browser e digitando l’URL ufficiale della banca — mai cliccando link in email.

📦 Phishing corrieri (DHL, FedEx, Amazon)

Notifica di mancata consegna con link per riprogrammare. La pagina chiede dati personali e dettagli di pagamento per «tasse doganali» o «costi di giacenza». I corrieri reali lasciano sempre un avviso cartaceo fisico e non chiedono mai pagamenti tramite link in email casuali.

💰 Phishing PayPal / servizi di pagamento

Email che segnala un problema con il conto o una transazione sospetta da verificare. Il sito clone raccoglie credenziali PayPal e spesso anche dati della carta collegata. PayPal comunica anomalie tramite notifiche nell’app e nel dashboard web — qualsiasi richiesta di login via email è sospetta.

Phishing come difendersi: tecniche preventive

La difesa più efficace contro il phishing è una combinazione di vigilanza umana e barriere tecniche che limitano il danno se l’utente cade nell’inganno.

1. Verificare sempre l’URL prima di inserire credenziali

Controllare che l’indirizzo nella barra del browser corrisponda esattamente al dominio ufficiale del servizio. Presenza del lucchetto HTTPS non basta — anche i siti phishing usano certificati SSL. Il dominio deve essere identico: paypal.com, non paypal-verify.com o secure-paypal.net. In caso di dubbio, chiudere la pagina e digitare manualmente l’URL del servizio o cercarlo su Google.

2. Usare un password manager

I gestori di password come quelli analizzati nella guida sul password manager hanno una funzione difensiva spesso sottovalutata: riconoscono il dominio del sito e propongono le credenziali salvate solo se il dominio corrisponde esattamente. Se il password manager non compila automaticamente i campi su una pagina che sembra quella della propria banca, è un segnale di allarme — probabilmente il dominio è diverso da quello legittimo.

3. Attivare l’autenticazione a due fattori ovunque possibile

Anche se l’attaccante ottiene username e password tramite phishing, senza il secondo fattore non può accedere all’account. L’autenticazione a due fattori trasforma il phishing da compromissione totale a tentativo fallito. Usare preferibilmente app TOTP (Google Authenticator, Authy) invece di SMS — più sicure contro attacchi di SIM swapping.

4. Non cliccare link in email non sollecitate

Se arriva un’email da un servizio che si usa raramente o che non si ricorda di aver richiesto, non cliccare alcun link. Aprire il browser, digitare manualmente l’URL ufficiale del servizio, fare login e verificare se ci sono notifiche reali nell’area personale. Se la comunicazione è legittima, apparirà anche lì.

5. Configurare filtri antiphishing su email e browser

Gmail, Outlook e provider email moderni hanno filtri antiphishing integrati che bloccano automaticamente molti tentativi. Chrome, Firefox e Safari mantengono blacklist di siti phishing noti e mostrano warning rossi prima di aprirli. Tenere aggiornati browser e client email garantisce l’accesso alle liste più recenti. Per una protezione più ampia della privacy online, filtri e configurazioni corrette fanno la differenza.

Cosa fare se si è cliccato su un link phishing 🚨

Se si è inserito username e password su un sito sospetto, o si è scaricato un allegato da un’email phishing, la finestra per limitare il danno è breve — da pochi minuti a qualche ora.

Procedura di emergenza immediata:

1. Cambiare la password immediatamente — accedere al servizio reale (da un altro dispositivo se possibile) e modificare la password. Se l’account è già compromesso e la password non funziona, usare la procedura di recupero.
2. Verificare accessi recenti — controllare il log degli accessi nel pannello di sicurezza dell’account. Servizi come Google, Facebook, banche mostrano IP e dispositivi usati per accedere. Se ci sono accessi anomali, revocarli.
3. Attivare subito la 2FA — se non era già attiva. Questo blocca ulteriori accessi anche se l’attaccante ha ancora la vecchia password.
4. Controllare le impostazioni dell’account — verificare che email di recupero, numero di telefono, indirizzi di spedizione (per e-commerce) non siano stati modificati.
5. Monitorare movimenti bancari — se sono stati inseriti dati di carta o accesso bancario, controllare transazioni recenti. In caso di addebiti sospetti, bloccare la carta immediatamente.
6. Avvisare i contatti — se l’account compromesso è email o social, avvisare i contatti che potrebbero ricevere messaggi phishing a propria volta.
7. Scansione antimalware — se si è scaricato un allegato, eseguire scansione completa con antivirus aggiornato. Alcuni allegati phishing installano keylogger o trojan bancari.

Se l’account compromesso contiene dati sensibili o accesso ad altri servizi (email principale usata per il recupero password di tutto), valutare la sostituzione completa dell’account — processo lungo ma più sicuro che tentare di sanificare un account già esposto.

Database di credenziali rubate: verificare l’esposizione

Molte credenziali sottratte tramite phishing finiscono in database pubblici venduti o condivisi nel dark web. Quando questi database vengono esposti, è possibile verificare se le proprie credenziali sono coinvolte. La guida sul database di credenziali rubate spiega come controllare la propria esposizione e quali azioni intraprendere in caso di compromissione confermata.

Phishing mirato e spear phishing

Il phishing generico invia milioni di email identiche sperando che qualcuno abbocchi. Lo spear phishing è mirato: l’attaccante studia la vittima — profilo social, email aziendale, contatti — e costruisce un messaggio personalizzato credibile. «Ciao Marco, il CEO mi ha chiesto di inviarti questo documento urgente per la riunione di domani» con allegato malevolo che sembra provenire dall’ufficio amministrazione.

La difesa contro lo spear phishing richiede maggiore attenzione: verificare sempre l’indirizzo email completo del mittente (anche se il nome visualizzato è corretto), chiamare il collega o il mittente dichiarato per conferma prima di aprire allegati inaspettati, diffidare di richieste urgenti che bypassano le procedure standard.

Navigazione sicura e consapevolezza digitale

Sapere come difendersi dal phishing è parte di un quadro più ampio di sicurezza digitale. I consigli per navigare in sicurezza coprono anche altri aspetti della protezione online che si integrano con la difesa dal phishing — dall’uso di VPN su reti pubbliche al blocco di tracker e cookie invasivi.

Il phishing sfrutta la stessa logica delle tecniche di tracciamento invasive: raccogliere dati senza che l’utente se ne accorga. La differenza è che nel phishing l’utente consegna volontariamente le informazioni, convinto di interagire con un’entità legittima.

Per approfondire le tecniche di attacco e le contromisure avanzate in ambito aziendale, Cybersecurity360 offre un’analisi dettagliata che copre anche le varianti più sofisticate e le strategie di difesa organizzative.