Phishing: significato, traduzione e definizione

Il phishing è una truffa informatica in cui un criminale si spaccia per una banca, un corriere, un ente pubblico o un collega per farsi consegnare credenziali, codici o denaro. Il phishing si ferma in tre mosse: riconoscere il messaggio, proteggere gli account con un’autenticazione resistente e sapere cosa fare nei primi minuti dopo un errore.

Il phishing non attacca un software: attacca una persona che ha fretta, si fida di un logo familiare e non ha tempo di verificare. Per questo funziona, e per questo resta la porta d’ingresso preferita del furto d’identità e delle frodi aziendali. Nel 2025 l’FBI ha ricevuto oltre 191.000 denunce per phishing e spoofing, la categoria di crimine informatico più segnalata negli Stati Uniti (FBI, Internet Crime Report 2025). In Italia il CERT-AgID ha censito nello stesso anno 3.620 campagne malevole rivolte a cittadini e pubbliche amministrazioni (CERT-AgID, Report 2025).

Cos’è il phishing?

Il phishing è una truffa informatica in cui un criminale si spaccia per un soggetto affidabile, come una banca, un corriere, un ente pubblico, un’azienda o un collega, per convincere la vittima a consegnare informazioni riservate o a compiere un’azione dannosa. Le informazioni più cercate sono credenziali di accesso, dati della carta, codici OTP e dati personali. Le azioni tipiche sono cliccare su un link, aprire un allegato, fare un bonifico o installare un’app.

Phishing, cosa significa? Il termine si pronuncia come l’inglese fishing, “pescare”. La “ph” al posto della “f” richiama il gergo degli hacker degli anni Novanta. La similitudine è quindi quella di un truffatore che lancia un’esca (cioè un messaggio credibile) e che aspetta che qualcuno abbocchi. In italiano non esiste una traduzione d’uso corrente, per cui anche la Polizia Postale e il CERT-AgID usano il termine inglese.

Attenzione, però: il phishing non è spam. Lo spam è comunicazione indesiderata, spesso pubblicitaria. Il phishing è un inganno finalizzato a sottrarre dati o denaro. Non è nemmeno malware, anche se spesso ne è la porta d’ingresso: molti attacchi servono proprio a far installare un software malevolo.

Perché il phishing è una tecnica fraudolenta di successo?

Il phishing funziona perché sfrutta l’ingegneria sociale, cioè l’insieme di tecniche che manipolano il comportamento umano anziché forzare un sistema informatico. Chi attacca fa leva su emozioni prevedibili come urgenza, paura, curiosità, senso del dovere o desiderio di un guadagno facile. Il suo obiettivo è che la vittima agisca prima di fermarsi a verificare.

Perché un attacco abbia successo devono verificarsi, in genere, quattro condizioni:

C’è poi il fattore economico. Indirizzi email e numeri di telefono sono facili da reperire, inviare migliaia di messaggi costa quasi nulla e oggi esistono phishing kit già pronti, venduti online come servizio (il cosiddetto Phishing-as-a-Service). Con questi kit anche un criminale senza competenze tecniche clona il sito di una banca in pochi minuti.

Esempi comuni di attacchi di phishing

• Email che segnalano un problema con l’account. Il messaggio sembra arrivare dalla banca o da un servizio come PayPal o Amazon, avvisa di un’attività sospetta o di un blocco imminente e chiede di cliccare per “verificare” i dati. In Italia sono frequentissimi i falsi messaggi a nome di Poste Italiane, Intesa Sanpaolo e degli altri grandi istituti.
• Avvisi di pagamento da enti pubblici. Finte multe, cartelle esattoriali, rimborsi fiscali a nome di PagoPA, INPS o Agenzia delle Entrate. Nel 2025 il CERT-AgID ha contato 328 campagne a tema PagoPA basate su false sanzioni stradali.
• Offerte troppo belle per essere vere. Vincite a concorsi mai sostenuti, sconti incredibili, investimenti con rendimenti “garantiti”, in cambio di un piccolo pagamento anticipato o dei propri dati.
• Richieste da colleghi o dirigenti (spear phishing). Il truffatore si spaccia per un collega, un capo o un fornitore e chiede un bonifico urgente, il cambio di un IBAN o l’invio di documenti riservati.
• Messaggi sui social e su WhatsApp. Link malevoli da profili falsi o da account di amici già compromessi, fino ai finti messaggi del “figlio che ha cambiato numero” e chiede soldi.
• SMS (smishing). Avvisi di una spedizione in sospeso o di un pagamento bloccato, con un link per “tracciare” o “confermare” i dettagli.

Come riconoscere le email di phishing?

Nelle email di phishing compaiono quasi sempre paura e urgenza. Il messaggio dice che l’account è stato bloccato, che un pagamento non è andato a buon fine o che serve agire entro poche ore. Lo scopo è far fare subito qualcosa al destinatario: cliccare, compilare un modulo, aprire un allegato.

I contenuti malevoli più frequenti sono tre:

• Link a pagine web fake. Siti identici agli originali per immagini, loghi e caratteri, costruiti per registrare username e password non appena vengono digitati. Molti usano un certificato HTTPS valido, quindi il lucchetto nella barra degli indirizzi non garantisce che il sito sia legittimo: indica solo che la connessione è cifrata.
• Allegati malevoli. Sembrano fatture, ricevute o documenti di spedizione, ma contengono ransomware, keylogger o trojan. I formati più usati sono PDF con link incorporati, documenti Office che chiedono di “abilitare il contenuto”, archivi .zip o .rar, file .html che aprono una finta pagina di login e immagini disco .iso.
• Moduli di compilazione falsi. Chiedono numero di telefono, dati della carta, codici di accesso o documenti d’identità con pretesti burocratici.

La checklist per riconoscere un tentativo di phishing

Prima di cliccare o rispondere, conviene controllare sei elementi:

1. Il dominio del mittente, non solo il nome visualizzato. Il nome può dire “Poste Italiane” mentre l’indirizzo reale è un dominio sconosciuto, con lettere scambiate (micros0ft.com) o parole aggiunte (poste-assistenza-clienti.com).
2. Il link reale. Su computer basta passare il mouse sopra il link senza cliccare. Su smartphone si tiene premuto per vedere l’anteprima. Attenzione ai sottodomini ingannevoli: in paypal.com.verifica-account.xyz il dominio vero è verifica-account.xyz, non PayPal.
3. Il tipo di richiesta. Banche, Poste ed enti pubblici non chiedono mai via email, SMS o telefono password, PIN, codici OTP o numeri completi della carta.
4. Il tono. Scadenze strettissime, minacce di blocco, premi inattesi: l’urgenza è il segnale più costante.
5. La personalizzazione. Formule generiche come “Gentile cliente” sono un indizio, non una prova. Il phishing mirato usa nome, cognome e ruolo della vittima.
6. La coerenza con la realtà. Il pacco era davvero atteso? Il conto è davvero in quella banca? Il fornitore ha mai cambiato IBAN via email?

Nelle email di phishing gli errori di grammatica e l’impaginazione approssimativa restano un indizio utile, ma sempre meno affidabile: oggi molti messaggi sono scritti con l’intelligenza artificiale e sono formalmente perfetti.

Prendiamo un’email di phishing a nome di American Express. Gli elementi rivelatori sono tre: il mittente non usa il dominio ufficiale della società, manca il nome del destinatario, e il testo crea urgenza per spingere l’utente su un finto portale dove “revisionare” l’account.

In caso di dubbio la regola resta la stessa: non usare i link o i numeri presenti nel messaggio. Si apre l’app ufficiale, si digita a mano l’indirizzo del sito o si chiama il numero riportato sulla carta o sul sito istituzionale.

La tecnica del verosimile che ci fa credere che possa essere vero

Nel phishing la verosimiglianza è tutto. Non basta più copiare un logo: gli attacchi più efficaci sono credibili nel contesto, nel tempo e nel comportamento. Arrivano quando la vittima aspetta davvero una consegna, imitano il modo di scrivere di un collega, si inseriscono in una conversazione email già esistente.

Gli attaccanti studiano le routine di persone e organizzazioni: scadenze fiscali, periodi di saldi, date dei pagamenti ai fornitori, nuovi servizi digitali che i cittadini stanno ancora imparando a usare. E sfruttano le asimmetrie informative. Chi riceve un avviso di multa da PagoPA difficilmente sa come appaia una comunicazione autentica, e il truffatore conta proprio su questo.

La verosimiglianza diventa anche tecnologica. Le tecniche adversary-in-the-middle (AiTM) interpongono un server tra la vittima e il sito reale. L’utente vede la vera pagina di accesso, inserisce password e codice di verifica, e il criminale intercetta la sessione già autenticata. Così aggira anche l’autenticazione a due fattori basata su SMS o codici temporanei.

Come proteggersi dal phishing: misure tecnologiche

Prima della tecnologia, contro il phishing serve formazione, sia in ambito personale sia in azienda. Nelle organizzazioni deve coinvolgere tutti i dipendenti, dirigenti compresi, che sono spesso il bersaglio preferito. Non basta insegnare a riconoscere un’email di phishing: bisogna spiegare a chi segnalarla e come comportarsi se si è già cliccato.

Altrettanto utili sono le simulazioni di attacchi di phishing condotte dagli amministratori IT. Mostrano chi apre determinati messaggi, quali pretesti funzionano meglio e da quali allegati si cade più spesso nella trappola. Misurano anche un dato prezioso: quanto velocemente le persone segnalano il tentativo.

Sul fronte tecnico le aziende possono contare su email gateway che classificano i messaggi in base alla reputazione di mittenti e link. I sistemi più evoluti usano analisi comportamentale e machine learning: cercano anomalie nel traffico, aprono i link in ambienti isolati (sandbox) per verificare se avviano download o sfruttano vulnerabilità, e mettono in quarantena i messaggi sospetti in attesa dell’analisi.

C’è poi un livello spesso trascurato: l’autenticazione del dominio email. I protocolli SPF, DKIM e DMARC permettono a chi riceve un messaggio di verificare che arrivi davvero dai server autorizzati del dominio dichiarato. Con una politica DMARC restrittiva, i messaggi che si spacciano per il dominio aziendale vengono rifiutati o messi in quarantena. Dal 2024 Google e Yahoo richiedono questi protocolli a chi invia grandi volumi di email (Google, Linee guida per i mittenti di email). Per un’azienda configurarli è il modo più diretto per impedire che qualcuno mandi phishing a suo nome.

Oltre all’attenzione personale, ci sono strumenti e configurazioni che offrono una protezione aggiuntiva:

• Autenticazione a più fattori (2FA/MFA). Va attivata su tutti gli account che la supportano, a partire da email, banca, social ed e-commerce. Anche se un criminale ruba la password, senza il secondo fattore non entra. Ma i fattori non si equivalgono: il codice via SMS è il più debole, perché può essere intercettato o carpito al telefono; le app di autenticazione sono migliori; le passkey e le chiavi di sicurezza FIDO2 sono resistenti al phishing, perché legate crittograficamente al dominio autentico e inutilizzabili su un sito clone.
• Software antivirus e antimalware. Da tenere aggiornati su computer, smartphone e tablet. Le suite moderne bloccano i siti di phishing noti, analizzano i link e intercettano i file malevoli prima che vengano eseguiti.
• Filtri antispam e antiphishing. Gmail, Outlook e gli altri servizi di posta bloccano automaticamente gran parte dei messaggi fraudolenti. Conviene verificare che siano attivi e segnalare come phishing quelli che passano: la segnalazione migliora il filtro.
• Aggiornamenti di sistema e software. Sistema operativo, browser e app vanno aggiornati: molte patch correggono vulnerabilità sfruttate proprio dopo un clic su un link malevolo.
• Password manager. Genera password uniche e compila le credenziali solo sul dominio corretto. Se su un sito non propone l’accesso, è un campanello d’allarme.
• Firewall. Quello del sistema operativo deve essere attivo e configurato per bloccare il traffico sospetto.
• Backup regolari. In caso di ransomware, spesso veicolato proprio dal phishing, una copia aggiornata dei file evita di dover scegliere tra perdere i dati e pagare un riscatto.
• Segnalazione. Ogni tentativo va segnalato al provider di posta, all’organizzazione impersonata e, se necessario, alle autorità (più avanti spieghiamo come).
• Scetticismo metodico. Niente clic su link inattesi, niente allegati non richiesti, mai dati personali o finanziari via email o messaggio. Se qualcosa sembra troppo bello per essere vero, probabilmente lo è.

Suite anti-phishing e tutela dell’identità digitale

Contro il phishing non esiste una protezione valida per tutti. Una suite di sicurezza, infatti, non sostituisce l’attenzione, ma blocca i siti noti, analizza link e file e riduce il danno quando l’errore è già stato fatto, come abbiamo spiegato nella nostra guida agli strumenti anti-phishing.

• Norton 360. La gamma va da AntiVirus Plus (un dispositivo, protezione anti-truffa di base e password manager) a Premium (fino a 10 dispositivi, 200 GB di backup in cloud e Anti-Truffa Pro, che analizza i messaggi per individuare le manipolazioni tipiche dell’ingegneria sociale). Nei livelli intermedi arrivano la VPN, utile sui Wi-Fi pubblici, e il Dark Web Monitoring, che cerca nei mercati clandestini credenziali già compromesse, così da cambiare password e bloccare le carte in tempo.
• Kaspersky. I tre piani (Standard, Plus, Premium) usano motori basati sull’intelligenza artificiale per riconoscere anche minacce zero-day e proteggono i pagamenti online con un browser isolato. Plus aggiunge VPN e Data Leak Control, che verifica se i propri dati compaiono in archivi trafugati; Premium punta sull’identità digitale e sulla protezione dei minori.
• Avast. Premium Security e Ultimate offrono un anti-phishing completo, che intercetta a livello di sistema i domini contraffatti e le email ingannevoli. Avast Secure Browser PRO protegge invece solo la navigazione dentro il proprio browser, non email e altre applicazioni.

Incogni: tutela della privacy

Le suite antivirus fanno da scudo sul dispositivo e intervengono quando la minaccia è già arrivata. Incogni lavora invece a monte. Riduce la reperibilità di email, numeri di telefono e indirizzi nei database dei data broker, le aziende che raccolgono e rivendono informazioni sulle persone. Toglie così ai cybercriminali la materia prima con cui confezionano attacchi di phishing e spear phishing credibili.

Il contributo contro il phishing è indiretto, ma concreto:

• Meno spam e truffe. Con meno dati in circolazione calano email indesiderate e chiamate commerciali aggressive, e in una casella più pulita un tentativo di phishing si nota prima.
• Spear phishing più difficile. I truffatori ricavano dai data broker data di nascita, indirizzi passati, abitudini e contatti per costruire messaggi su misura. Senza questi dati profilare la vittima costa molto di più.
• Minore rischio di furto d’identità. Il furto d’identità può essere sia il punto di partenza sia il risultato di un attacco di phishing. Meno dati esposti significa meno rischio in entrambi i casi.

Il servizio automatizza un lavoro che a mano richiederebbe di contattare centinaia di aziende. Si appoggia a normative come il GDPR in Europa e il CCPA in California, che obbligano i data broker a cancellare i dati su richiesta: scansiona periodicamente i database, invia le richieste, ne monitora l’esito e fornisce report mensili.

Le strategie dei criminali del phishing

Chi pratica il phishing affina di continuo le proprie tecniche di attacco. Alla base resta l’ingegneria sociale, ma cambiano canali, strumenti e livello di personalizzazione. Il quadro lo dà la Polizia Postale: nel 2025 ha trattato 27.085 procedimenti per cybercrime economico-finanziario, con oltre 269 milioni di euro sottratti (Polizia Postale e per la Sicurezza Cibernetica, Report annuale 2025).

Impersonificazione e credibilità

• Brand phishing. La strategia più diffusa: impersonare marchi noti come banche, servizi di streaming, social network ed e-commerce (Amazon, Apple, Microsoft, Google, PayPal). Loghi, grafica e linguaggio rendono il messaggio difficile da distinguere da quello autentico.
• Figure autorevoli. I truffatori si presentano come funzionari di banca, enti pubblici (Agenzia delle Entrate, INPS, Poste Italiane), fornitori di energia o telefonia, dirigenti, colleghi o tecnici IT. L’autorità percepita toglie la voglia di fare domande.
• Attualità. Cronaca, scadenze fiscali, bonus statali, grandi eventi sportivi o nuove piattaforme diventano pretesti per esche più credibili e urgenti.

Tattiche di pressione e manipolazione emotiva

• Urgenza e paura. Account bloccati, accessi sospetti, fatture non pagate, consegne ferme: la vittima deve agire in fretta, senza riflettere.
• Avidità e curiosità. Premi, rimborsi, sconti esclusivi, investimenti “sicuri”, oppure contenuti costruiti per stimolare la curiosità e il clic immediato.
• Senso di colpa e obbligo. Finti verbali, sanzioni o diffide spingono a pagare o a fornire dati per evitare presunte conseguenze legali.

Personalizzazione e ricerca (spear phishing e whaling)

• Spear phishing. È un attacco mirato a una persona o a un’organizzazione specifica. A differenza delle campagne di massa, il truffatore studia la vittima su social network, LinkedIn e siti aziendali, raccogliendo nome, ruolo, interessi e relazioni professionali. Il risultato è un messaggio che sembra arrivare da qualcuno di cui ci si fida: un collega che chiede un’azione specifica, un fornitore con una “fattura urgente”.
• Whaling. È lo spear phishing rivolto alle “balene” di un’organizzazione: amministratori delegati, direttori finanziari, dirigenti con accesso a dati sensibili o con il potere di autorizzare pagamenti. I messaggi sono curatissimi e imitano le comunicazioni interne di alto livello.
• Business Email Compromise (BEC). È l’evoluzione più costosa. Il criminale si inserisce in una corrispondenza reale, spesso da una casella compromessa o da un dominio quasi identico, e devia un pagamento verso un IBAN sotto il suo controllo. Nel solo 2025 le frodi BEC hanno causato perdite per oltre 3 miliardi di dollari (FBI, Internet Crime Report 2025). Per le imprese è il tema di fondo dei rischi di cyber attacco e data breach.

Vettori diversificati di attacco informatico

L’email non è più l’unico canale e, in molti casi, non è neppure il più efficace.

• Smishing (SMS phishing). Sullo smartphone l’URL completo è meno visibile, i filtri sono meno sofisticati e l’SMS è percepito come più personale. Grazie allo spoofing del nome mittente, i falsi messaggi possono comparire nella stessa conversazione di quelli autentici della banca o del corriere.
• Vishing (voice phishing). Telefonate da finti operatori bancari, dal “servizio antifrode” o da presunti tecnici, spesso con un numero falsificato che sembra quello della banca. Lo scopo tipico è farsi dettare il codice OTP o convincere la vittima a spostare i soldi su un “conto sicuro”.
• Social media phishing. Messaggi diretti, post e profili falsi con link ingannevoli, oppure account compromessi di amici usati per chiedere denaro o “votare” in un finto concorso.
• Quishing (QR code phishing). QR code malevoli su email, volantini, parcometri o finte multe, che portano a un sito di phishing o al download di malware.
• Pharming. Il traffico viene dirottato da un sito legittimo a uno fasullo senza alcun clic, tramite la compromissione del DNS o un malware sul dispositivo.
• Evil Twin Wi-Fi. Hotspot falsi che imitano reti legittime in luoghi pubblici, per intercettare il traffico di chi si connette.

Tecniche avanzate di attacchi phishing

• Clone phishing. Il truffatore riprende un’email legittima già ricevuta dalla vittima e la rimanda quasi identica, con link o allegati sostituiti da versioni malevole, presentandola come un aggiornamento o una correzione.
• Siti web contraffatti. Copie quasi perfette degli originali, spesso con certificato HTTPS valido. Gli indirizzi sfruttano il typosquatting, cioè errori di battitura plausibili (amaz0n.it, intesasanpaolo-sicurezza.com), o sottodomini ingannevoli.
• Attacchi omografici. Usano caratteri di altri alfabeti identici a quelli latini, come la “а” cirillica al posto della “a”, per creare indirizzi indistinguibili a occhio nudo.
• Allegati malevoli. PDF, documenti Office, archivi ZIP o file HTML che, una volta aperti, installano ransomware, spyware o trojan.
• Adversary-in-the-middle. Kit di phishing che fanno da intermediari con il sito reale e rubano la sessione autenticata, aggirando l’MFA basata su SMS o codici temporanei.
• ClickFix. Finti CAPTCHA o messaggi di errore invitano a copiare e incollare un comando nel computer “per verificare di essere umano”. È la vittima stessa a installare il malware. Nel 2025 il CERT-AgID ne ha registrato una crescita significativa.
• TOAD (Telephone-Oriented Attack Delivery). Un’email senza link chiede di chiamare un numero per annullare un abbonamento o un addebito. Al telefono un finto operatore guida la vittima a installare un software di controllo remoto o a fornire dati bancari.

L’impatto dell’intelligenza artificiale (AI) negli attacchi di phishing

L’intelligenza artificiale ha abbassato il costo del phishing e alzato la qualità:

• Testi impeccabili. I modelli generativi scrivono email senza errori, nel tono giusto e in qualunque lingua. In un esperimento del team IBM X-Force, un’AI generativa ha prodotto in circa 5 minuti un’email di phishing quasi efficace quanto quella che un team umano prepara in circa 16 ore. Quella umana ha vinto di poco (IBM X-Force).
• Personalizzazione di massa. Con l’AI e le informazioni pubbliche si generano migliaia di messaggi su misura per ruolo, interessi e stile di comunicazione di ciascun destinatario.
• Deepfake audio e video. Bastano pochi secondi di registrazione per clonare una voce. Il caso più citato è quello di Arup: nel 2024 un dipendente dell’ufficio di Hong Kong del gruppo britannico ha autorizzato trasferimenti per circa 25 milioni di dollari dopo una videochiamata in cui il direttore finanziario e altri colleghi erano ricostruiti in deepfake (CNN).
• Siti falsi in pochi minuti. Gli strumenti AI generano rapidamente pagine di phishing realistiche e funzionanti.

Per la prima volta, nel 2025 l’FBI ha classificato separatamente i crimini legati all’AI: oltre 22.000 denunce per perdite vicine ai 900 milioni di dollari (FBI, Internet Crime Report 2025).

Cosa fare se si cade nella trappola del phishing

Cadere nel phishing non significa aver perso tutto. Conta che cosa è successo dopo il clic e quanto in fretta si interviene. Ecco cosa fare, a seconda della situazione.

Ho aperto una mail di phishing ma non ho cliccato

Aprire un’email, nella grande maggioranza dei casi, non basta a compromettere il dispositivo. Al massimo il mittente scopre che l’indirizzo è attivo, se il messaggio contiene immagini di tracciamento. Basta non rispondere, segnalare il messaggio come phishing al provider ed eliminarlo. È utile disattivare il caricamento automatico delle immagini esterne nelle impostazioni della posta.

Ho cliccato sul link ma non ho inserito dati

Si chiude subito la pagina senza compilare nulla. Si avvia una scansione completa con un antivirus aggiornato e si controlla che non sia stato scaricato alcun file: se il browser ha scaricato qualcosa, va eliminato senza aprirlo. Nei giorni successivi conviene fare più attenzione a messaggi e chiamate che richiamano lo stesso pretesto.

Ho inserito password o credenziali

1. Cambiare subito la password dell’account coinvolto da un dispositivo sicuro, e anche quella di ogni altro servizio in cui era stata riutilizzata.
2. Chiudere le sessioni attive dalle impostazioni di sicurezza dell’account (Google, Microsoft, Apple e i social lo consentono).
3. Attivare o rafforzare l’autenticazione a più fattori, preferendo app di autenticazione o passkey agli SMS.
4. Controllare le regole della casella email: inoltri automatici o filtri creati dal truffatore possono nascondere i messaggi della banca.
5. Recuperare l’account social con la procedura ufficiale della piattaforma, senza rivolgersi a profili che promettono di “sbloccarlo” a pagamento: sono quasi sempre una seconda truffa.

Ho comunicato dati bancari, codici OTP o autorizzato un pagamento

1. Chiamare subito la banca al numero ufficiale, quello sul retro della carta o sul sito istituzionale, per bloccare carta, conto e operazioni in corso.
2. Disconoscere le operazioni non autorizzate per iscritto, conservando ricevute ed estratti conto.
3. Sporgere denuncia alla Polizia Postale o a qualunque ufficio di Polizia o dei Carabinieri. La denuncia serve anche per la pratica di rimborso.
4. Raccogliere le prove: screenshot di messaggi, SMS, numeri chiamanti, indirizzi dei siti e orari.

Ho scaricato un allegato o installato un’app

Si scollega il dispositivo dalla rete e si esegue una scansione completa. Un’app di controllo remoto o un software sconosciuto vanno disinstallati. Da un altro dispositivo pulito si cambiano poi le password principali. Sui dispositivi aziendali bisogna avvisare subito il reparto IT, senza spegnere né formattare il computer, per non perdere le tracce utili all’analisi.

Come segnalare un tentativo di phishing

Segnalare serve anche se non si è caduti nella trappola, perché aiuta a bloccare la campagna prima che colpisca altre persone.

• Polizia Postale: tramite il portale del Commissariato di PS Online, che raccoglie segnalazioni e informa sulle truffe in corso. Per una denuncia ci si rivolge a un ufficio della Polizia Postale o a qualunque presidio delle forze dell’ordine.
• L’organizzazione impersonata: banche, Poste Italiane e i principali servizi online hanno canali dedicati, indicati nelle sezioni “sicurezza” dei loro siti ufficiali.
• Il provider di posta o l’operatore telefonico: il pulsante “Segnala phishing” di Gmail o Outlook e il blocco del numero del mittente sullo smartphone.
• In azienda: il reparto IT o il team di sicurezza, con il messaggio originale inoltrato come allegato, per conservarne le intestazioni tecniche.

Cosa fare in azienda: analisi forense e contenimento

In azienda la risposta va oltre il singolo utente. Con gli strumenti della digital forensics si fa una copia forense del dispositivo e dell’account colpiti, per ricostruire email, SMS o chiamate che hanno portato all’attacco e identificare l’elemento malevolo. Si verifica poi la presenza di software spia o altri malware installati dopo l’apertura del link o dell’allegato, e si avvisano i colleghi della minaccia individuata. Chi gestisce fornitori e filiera trova un approfondimento in cybersecurity nei contratti con i fornitori.

Se l’attacco ha esposto dati personali di clienti o dipendenti si apre anche il fronte normativo. Il GDPR impone di notificare la violazione al Garante per la protezione dei dati personali entro 72 ore dalla scoperta, quando c’è un rischio per gli interessati (Regolamento UE 2016/679). I soggetti che rientrano nella disciplina NIS2 hanno inoltre obblighi specifici di notifica degli incidenti significativi all’Agenzia per la Cybersicurezza Nazionale (ACN), tramite il CSIRT Italia.

Il furto di dati e il phishing resteranno una costante dell’innovazione digitale. Si possono combinare difese tecniche sempre più robuste con persone formate a riconoscere gli attacchi e a reagire bene quando qualcosa va storto.