“Io il phishing lo conosco.” Lo conoscono quasi tutti. Eppure è ancora il modo più usato per entrare in un account, perché chi lo prepara non conta sulla tua ignoranza: conta sul fatto che sei di fretta.
Perché il phishing funziona anche con chi lo conosce?
Perché lavora sulle emozioni, non sulla conoscenza. Le leve sono sempre le stesse quattro:
- Fretta: “entro 24 ore”, “ultimo avviso”, “il conto verrà bloccato”.
- Paura: un accesso sospetto, una multa, un pacco fermo, un debito.
- Autorità: la banca, la polizia, il capo, il fisco, il fornitore.
- Curiosità o speranza: una vincita, un documento condiviso, una foto in cui “sei taggato”.
Quando una di queste leve scatta, il cervello va in automatico: risolvere il problema, subito. Ed è proprio in quell’automatismo che la password esce.
Il video: il trucco visto dall’altra parte
Nel 2020 ho registrato questo video (4 minuti e mezzo) per mostrarti il trucco dal punto di vista di chi lo prepara. La tecnica non è cambiata: cambiano solo la grafica delle pagine e le scuse usate per farti cliccare.
Il momento sbagliato è il bersaglio
Il messaggio di phishing non deve ingannare te nel tuo momento migliore: gli basta il peggiore. La sera tardi, al telefono mentre fai altro, il lunedì mattina con cento email da leggere. Per questo la difesa non può essere “stare attenti”: deve essere una regola fissa che non dipende da quanto sei lucido in quel momento.
La regola più semplice: un link ricevuto non apre mai una pagina dove si scrive una password. Il sito lo apri tu, dall’app o scrivendo l’indirizzo.
Il Metodo 3V: tre domande contro le quattro leve
Ogni domanda disinnesca una leva. È il Metodo 3V del libro «Sicurezza informatica per professionisti», spiegato nella guida al social engineering.
| Cosa chiederti | Quale leva ferma | |
|---|---|---|
| Verifica | Chi me lo chiede è davvero chi dice di essere? | Autorità: il nome del mittente si falsifica, la verifica la fai tu da un canale che conosci. |
| Validazione | Anche se fosse lui, la richiesta ha senso? | Paura e speranza: una banca non chiede la password via email, un premio non costa la spedizione. |
| Velocità controllata | Chi mi mette fretta, e perché? | Fretta: un problema vero sopporta dieci minuti di controllo. |
Cosa fare quando un messaggio ti mette fretta
- Fermati: la fretta è il segnale, non il motivo per agire.
- Non usare il link: apri tu l’app o il sito.
- Chiedi a qualcuno se hai un dubbio: un collega, un familiare. Dirlo ad alta voce spesso basta.
- Se hai già cliccato e scritto la password, cambiala subito dal sito vero.
Segnala il messaggio: in Svizzera all’Ufficio federale della cibersicurezza UFCS, in Italia alla Polizia Postale. Se hai un dubbio su un link, controllalo su sito-ok.com senza aprirlo.
Domande frequenti
Perché la gente clicca ancora sui link di phishing?
Perché il messaggio arriva nel momento sbagliato e tocca un'emozione: fretta, paura, autorità o curiosità. In quell'attimo non si controlla l'indirizzo. Non è una questione di intelligenza: capita anche agli esperti quando sono stanchi o distratti.
Come faccio a non cadere nel phishing?
Con una regola fissa che non dipende dalla tua attenzione: la password si scrive solo nel sito o nell'app che hai aperto tu, mai da un link ricevuto. Aggiungi la verifica in due passaggi sugli account importanti e le tre domande del Metodo 3V quando un messaggio ti mette fretta.
Ho cliccato un link ma non ho scritto niente: è grave?
Di solito il danno nasce quando scrivi password o dati, o quando scarichi e apri un file. Se hai solo aperto la pagina, chiudila. Se hai scaricato qualcosa o hai dubbi, fai controllare il dispositivo e cambia le password importanti da un altro apparecchio.
Nel prossimo episodio, l’account più importante per molti: Phishing #4, la password di Gmail. Per il quadro completo c’è la guida al phishing.
