Come riconoscere un'email di phishing: 12 segnali d'allarme

Un'email di phishing è un messaggio che finge di arrivare da qualcuno di cui ti fidi per farti cliccare un link, aprire un file, consegnare una password o inviare denaro. Puoi riconoscerne la maggior parte controllando chi ha davvero inviato il messaggio, dove puntano realmente i suoi link e se ti spinge ad agire in fretta su qualcosa che non ti aspettavi.

Il phishing sfrutta la fiducia: il logo di una banca, il nome di un collega, il tono di un corriere. Le abitudini qui sotto richiedono pochi secondi e funzionano in qualsiasi app di posta.

I 12 segnali d'allarme di un'email di phishing

1. Il nome visualizzato e l'indirizzo non corrispondono. "PayPal Support" può essere associato a qualsiasi indirizzo. Tocca il nome o passaci sopra il cursore per vedere l'indirizzo completo. Un marchio che scrive da un account webmail gratuito o da un dominio non correlato è un chiaro campanello d'allarme.
2. Un dominio simile o camuffato. Gli aggressori registrano domini che differiscono per un solo carattere (rnicrosoft.com con "r n" al posto di "m"), aggiungono parole (paypal-secure-login.com) o usano il nome vero come sottodominio (paypal.com.account-check.net, che appartiene a account-check.net). I nomi di dominio internazionalizzati consentono lettere di altri alfabeti identiche a quelle latine, come una "а" cirillica al posto di una "a". La loro forma di base inizia con xn-- (punycode); se vedi quel prefisso in un link o in un indirizzo che non ti aspettavi, consideralo sospetto.
3. Urgenza, paura o pressione. "Il tuo account sarà chiuso entro 24 ore", "fattura non pagata", "azione legale". Le scadenze artificiali servono a impedirti di controllare.
4. Link il cui testo e la cui destinazione sono diversi. Il testo visibile di un link può dire qualsiasi cosa. La destinazione reale compare quando passi il mouse sopra, nella barra di stato o in un suggerimento. Se il testo indica un sito e la destinazione è un altro, non cliccare.
5. Allegati inattesi. Diffida di qualsiasi file che non ti aspettavi, e soprattutto dei file HTML (possono aprire una falsa pagina di accesso convincente salvata sul tuo computer), degli archivi ZIP o di altro tipo, delle immagini disco ISO e IMG, degli archivi protetti da password con la password scritta nel corpo dell'email e dei documenti Office che ti chiedono di "abilitare il contenuto" o le macro. Archivi e immagini disco sono molto usati perché possono nascondere il vero tipo di file ai filtri della posta.
6. Una richiesta di credenziali o dati personali. Le aziende legittime non ti chiedono di confermare password, PIN, numero completo della carta o codice monouso via email o tramite un link in un'email.
7. Un codice QR da inquadrare. Il phishing con QR ("quishing") mette il link dentro un'immagine in modo che i filtri non possano leggerlo e lo apri sul telefono, spesso meno protetto di un computer aziendale. Diffida dei codici QR nelle email che parlano di configurazione dell'MFA, firma di documenti o problemi con l'account.
8. Un indirizzo Reply-To diverso. La riga Da può sembrare corretta mentre le risposte vanno altrove. Quando premi Rispondi, controlla l'indirizzo che compare nel campo A. Una discrepanza è frequente nelle frodi sulle fatture.
9. Un saluto generico o dati sbagliati. "Gentile cliente", "Gentile utente" o il tuo indirizzo email usato come nome fanno pensare a una campagna di massa. Però un nome corretto non dimostra nulla.
10. Un'offerta troppo bella per essere vera. Rimborsi inattesi, premi, eredità, rendimenti in criptovalute o un lavoro per cui non ti sei mai candidato sono esche. Lo è anche una piccola somma richiesta per sbloccare un grosso pagamento.
11. Una modifica dei dati di pagamento o bancari. Nella business email compromise, un fornitore, un collega o un dirigente "aggiorna" il proprio conto bancario o chiede un bonifico urgente o delle carte regalo. L'email può arrivare da un account davvero compromesso, quindi può superare tutti i controlli tecnici.
12. Richieste o codici MFA che non hai richiesto. Una raffica di richieste di approvazione sul telefono, o un'email che ti chiede di comunicare un codice, significa che qualcuno potrebbe già avere la tua password e sta cercando di superare il secondo fattore. Nega la richiesta e cambia la password.

Riepilogo rapido: dove guardare

Come controllare un link senza aprirlo

1. Su un computer, passa il cursore sul link e aspetta che l'indirizzo vero compaia in fondo alla finestra o in un suggerimento.
2. Su un telefono, tieni premuto il link per vedere l'indirizzo. Alcuni telefoni mostrano un'anteprima dal vivo della pagina, quindi è più sicuro copiare il link e incollarlo in un'app per appunti.
3. Individua il dominio registrato: leggi il nome host da destra, fino alla prima barra singola. In https://login.example.com.secure-verify.io/account il dominio è secure-verify.io, non example.com.
4. Se devi visitare il servizio, digita tu stesso il suo indirizzo, oppure usa un segnalibro o l'app ufficiale invece del link.

Il nostro analizzatore di email di phishing controlla il testo o le intestazioni che incolli alla ricerca di link ingannevoli, mittenti falsificati e altri segnali d'allarme, senza che tu debba aprire nulla.

Come leggere in sicurezza le intestazioni di un'email

Ogni email contiene intestazioni nascoste che registrano quali server l'hanno gestita e se ha superato l'autenticazione. Visualizzarle è sicuro perché stai solo leggendo del testo. Dove trovarle:

• Gmail: apri il messaggio, scegli il menu con i tre puntini, poi Mostra originale.
• Outlook sul web e nuovo Outlook: apri il messaggio, scegli il menu con i tre puntini, poi Visualizza e Visualizza dettagli messaggio.
• Outlook classico per Windows: apri il messaggio, poi File, Proprietà, e guarda in Intestazioni Internet.
• Apple Mail: Vista, Messaggio, Tutte le intestazioni oppure Sorgente originale.

La riga più utile è di solito Authentication-Results, aggiunta dal tuo provider di posta:

Authentication-Results: mx.example.net;
  spf=pass smtp.mailfrom=bounce.example-shop.com;
  dkim=pass header.d=example-shop.com;
  dmarc=pass header.from=example-shop.com

Controlla che i domini indicati qui corrispondano al marchio che ti aspetti. Confronta anche gli indirizzi From, Reply-To e Return-Path, e leggi le righe Received dal basso verso l'alto per vedere da dove è partito il messaggio. Incollando le intestazioni nel nostro analizzatore intestazioni email vedi ogni passaggio e ogni risultato di autenticazione in una forma leggibile.

Cosa possono e cosa non possono dirti SPF, DKIM e DMARC

Questi tre standard permettono a un server ricevente di verificare se un messaggio arriva davvero dal dominio che dichiara:

• SPF elenca i server autorizzati a inviare posta per un dominio, e viene verificato rispetto al mittente della busta (il Return-Path).
• DKIM aggiunge una firma crittografica che dimostra che un dominio si è assunto la responsabilità del messaggio e che le parti firmate non sono state alterate.
• DMARC richiede che SPF o DKIM siano superati per un dominio allineato con l'indirizzo Da visibile, e dice ai destinatari cosa fare quando non lo sono: niente, quarantena o rifiuto.

Quando un marchio pubblica una policy DMARC rigorosa, i criminali non riescono facilmente a inserire proprio quel dominio nella riga Da. Per questo il phishing usa così spesso domini simili, trucchi sul nome visualizzato o account compromessi. Un messaggio da paypa1-billing.com può superare perfettamente SPF, DKIM e DMARC per il proprio dominio. Un esito positivo dimostra chi ha inviato l'email, non che il mittente sia onesto. Un fallimento su un messaggio che dichiara di arrivare da un grande marchio, invece, è un forte motivo di sospetto.

Se gestisci un dominio, controlla che i tuoi record siano a posto con la nostra verifica SPF e DMARC, e leggi SPF, DKIM e DMARC spiegati per i dettagli sulla configurazione.

Cosa fare con un'email sospetta

1. Non cliccare sui link, non aprire gli allegati, non inquadrare i codici QR e non rispondere.
2. Verifica tramite un canale separato: chiama la persona a un numero che hai già, oppure accedi al servizio digitando tu stesso il suo indirizzo.
3. Segnalala. Al lavoro, usa il pulsante "Segnala phishing" oppure inoltrala come richiede il tuo reparto IT. In Gmail e Outlook usa l'opzione integrata Segnala phishing. Nel Regno Unito puoi inoltrare le email sospette all'NCSC (il centro nazionale per la sicurezza informatica) all'indirizzo report@phishing.gov.uk; negli Stati Uniti puoi segnalare le frodi alla FTC (l'autorità federale per la tutela dei consumatori) su reportfraud.ftc.gov.

Cosa fare se hai già cliccato

Ciò che conta è cosa è successo dopo il clic. Agisci in fretta:

1. Se hai inserito una password, cambiala subito sul sito vero, digitandone l'indirizzo a mano, e su ogni altro account che usa la stessa password. Poi disconnettiti da tutte le altre sessioni, cosa che la maggior parte dei grandi servizi offre nelle impostazioni di sicurezza.
2. Attiva o controlla l'MFA. Rimuovi i dispositivi, le password per app o le registrazioni di app di autenticazione che non riconosci. Le passkey e le chiavi di sicurezza hardware resistono al phishing perché funzionano solo sul sito autentico.
3. Controlla le impostazioni della tua casella di posta. Chi riesce a entrare in un account email spesso aggiunge regole di inoltro o filtri che nascondono le risposte. Cerca regole che non hai creato tu.
4. Se hai aperto un allegato o eseguito un file, scollega il dispositivo dalla rete e contatta il tuo reparto IT, oppure, se è un dispositivo personale, esegui una scansione completa con un software di sicurezza aggiornato.
5. Se hai inviato denaro o dati della carta, chiama subito la tua banca o l'emittente della carta usando il numero stampato sulla carta o sul suo sito ufficiale. La rapidità aumenta la probabilità di bloccare un pagamento.
6. Avvisa le persone che potrebbero essere colpite subito dopo, come colleghi o contatti, se il tuo account è stato usato per inviare messaggi.

Domande frequenti

Si può essere hackerati solo aprendo un'email di phishing?

Per gli utenti comuni con app di posta aggiornate, aprire semplicemente un'email è raramente sufficiente. Il pericolo viene dal cliccare sui link, aprire gli allegati, inserire dati o rispondere. Caricare le immagini remote può confermare al mittente che il tuo indirizzo è attivo.

Qual è la differenza tra phishing e spear phishing?

Il phishing viene inviato a un gran numero di persone con un'esca generica. Lo spear phishing prende di mira una persona o un'organizzazione specifica e usa nomi, ruoli, progetti o fornitori reali per sembrare credibile, il che lo rende più difficile da riconoscere.

Se un'email supera SPF, DKIM e DMARC, è sicura?

No. Un esito positivo mostra solo che il dominio nell'indirizzo Da ha autorizzato il messaggio. I criminali possono registrare propri domini simili con record validi, e anche gli account reali compromessi superano i controlli. Valuta sempre il dominio stesso e cosa ti chiede il messaggio.

Come faccio a controllare se un link in un'email è sicuro?

Passaci sopra il cursore oppure copialo senza aprirlo, individua il dominio registrato leggendo da destra e confrontalo con il vero dominio dell'organizzazione. Nel dubbio, vai direttamente al sito invece di usare il link.

Perché le email di phishing usano i codici QR?

Un codice QR nasconde il link dentro un'immagine che molti filtri non decodificano, e ti sposta sul telefono, che può non avere le protezioni di un computer aziendale gestito e rende più difficile ispezionare l'indirizzo completo.