In breve: Il phishing è un messaggio che imita un mittente fidato per far cliccare un link, aprire un allegato o pagare. Si riconosce da urgenza, richieste insolite, indirizzi simili ma diversi e link che non portano dove dichiarano. In azienda funzionano regole semplici: verifica per un'altra via le richieste di pagamento, autenticazione a due fattori e una procedura per segnalare subito.
Il phishing è la porta d'ingresso più usata nelle truffe informatiche contro le aziende. Non richiede competenze tecniche: richiede una persona che si fida di un messaggio. Chi lavora con molte email, ordini e fatture è un bersaglio naturale. Riconoscere i segnali e avere due o tre regole fisse fa la differenza.
Come si presenta
- Finto fornitore o corriere: «il tuo pacco non può essere consegnato», «fattura insoluta», «aggiorna i dati di pagamento».
- Finta banca o servizio: «accesso sospetto al tuo conto», «conferma la tua identità».
- Finto direttore: un messaggio che sembra del titolare e chiede a un collaboratore un bonifico urgente o l'acquisto di buoni regalo.
- Finto cambio IBAN: un fornitore «comunica» nuove coordinate per le prossime fatture.
- Finto avviso di sicurezza di Google, Microsoft o del tuo hosting con un link per «verificare» l'account.
Segnali che dovrebbero fermarti
- Urgenza o minaccia. «Entro un'ora», «account sospeso», «ultimo avviso».
- Richieste insolite rispetto a come lavorate: un pagamento fuori procedura, un riservato «non dirlo a nessuno».
- Indirizzo mittente simile ma diverso. Una lettera cambiata o un dominio con un'estensione diversa. Il nome visualizzato può essere falso: guarda l'indirizzo vero.
- Link che non portano dove dicono. Passa il mouse sopra e leggi l'indirizzo in basso. Sul telefono tieni premuto.
- Allegati inattesi, specie archivi compressi e documenti che chiedono di «abilitare le macro».
- Toni o formule fuori posto rispetto al mittente reale. I testi scritti con l'intelligenza artificiale sono spesso impeccabili: l'assenza di errori non è una garanzia.
Le regole che proteggono un'azienda
Verifica per un altro canale
Ogni richiesta di pagamento nuova e ogni cambio di IBAN si conferma con una telefonata a un numero che avevi già, mai a quello scritto nel messaggio. Vale anche se il messaggio sembra del titolare.
Due persone per i pagamenti importanti
Chi dispone e chi approva sono persone diverse. Si evita che un solo messaggio convincente basti a spostare denaro.
Autenticazione a due fattori ovunque
Se un collaboratore inserisce la password in un sito falso il secondo fattore rende l'accesso molto più difficile. Un codice temporaneo via SMS o app può essere intercettato: passkey e chiavi di sicurezza resistono anche a questo. Vedi password e autenticazione a due fattori.
Autenticazione del dominio
I record SPF, DKIM e DMARC rendono più difficile falsificare messaggi che sembrano provenire dal tuo dominio. Vedi SPF, DKIM e DMARC.
Una procedura per segnalare
Un indirizzo o un canale dove chiunque inoltra il messaggio sospetto. Nessun rimprovero per chi segnala o per chi ha cliccato e avvisa subito: chi teme conseguenze nasconde l'errore.
Se qualcuno ha cliccato
- Non inserire nulla. Chiudi la pagina.
- Se hai inserito dati: cambia la password da un altro dispositivo e termina le sessioni aperte.
- Avvisa subito chi gestisce i sistemi.
- Controlla la posta: regole di inoltro e di cancellazione che non hai creato.
- Se hai pagato: chiama la banca subito per tentare il blocco o il richiamo del bonifico e presenta denuncia alla Polizia Postale.
- Se sono coinvolti dati personali il titolare valuta la notifica al Garante: il GDPR prevede 72 ore dalla conoscenza della violazione, salvo i casi di rischio improbabile per le persone.
Formazione breve e ripetuta
Nella nostra esperienza venti minuti due volte all'anno con esempi reali dell'azienda valgono più di un corso lungo fatto una volta sola. Mostra messaggi veri ricevuti e chiedi di individuare i segnali. Ripeti quando cambia una procedura.
Approfondimenti: ransomware · backup · presidio e manutenzione
Domande frequenti
Cos'è il phishing?
È un tentativo di truffa in cui un messaggio, spesso un'email, imita un mittente fidato come una banca, un corriere o un fornitore per ottenere password, dati o pagamenti.
Cos'è la truffa del falso fornitore?
Un criminale si inserisce in una comunicazione reale o la imita e comunica un nuovo IBAN per le fatture. La regola di difesa è confermare ogni cambio di coordinate bancarie con una telefonata a un numero già noto.
Cosa devo fare se ho cliccato su un link sospetto?
Non inserire dati. Se li hai inseriti cambia subito la password da un altro dispositivo e attiva l'autenticazione a due fattori. Avvisa chi gestisce i sistemi e controlla le regole di inoltro della posta.
Dove si segnala una truffa informatica in Italia?
Alla Polizia Postale tramite il Commissariato di P.S. online e, per gli incidenti informatici, al CSIRT Italia dell'Agenzia per la cybersicurezza nazionale.