Il phishing è una truffa basata sull’ingegneria sociale: qualcuno si presenta come un’azienda, una banca, un collega, un servizio online o un’altra persona affidabile per convincerti a fare qualcosa che normalmente non faresti. Può chiederti di inserire una password, comunicare un codice di verifica, aprire un allegato, autorizzare un pagamento o accedere a una pagina costruita per sembrare autentica.
Il problema è che il phishing non si riconosce più semplicemente da un italiano improbabile o da un logo sgranato. Una comunicazione fraudolenta può essere scritta bene, utilizzare HTTPS, riprodurre quasi perfettamente un servizio conosciuto e perfino arrivare da un account reale che è stato precedentemente compromesso.
Per questo conviene ragionare in modo diverso: non chiederti soltanto “questa email sembra vera?”, ma chi sta chiedendo cosa, attraverso quale dominio, con quale urgenza e perché dovresti fidarti del percorso che ti viene proposto.
E se hai già aperto il messaggio o cliccato sul link, niente risposte generiche: le operazioni da fare cambiano molto a seconda che tu abbia soltanto visualizzato l’email, visitato una pagina, inserito una password oppure aperto un file.
Cos’è il phishing e come funziona davvero
Phishing significato: ingegneria sociale, impersonificazione e furto di credenziali
Il termine phishing descrive una famiglia di attacchi in cui il criminale cerca di indurre la vittima a collaborare involontariamente all’attacco.
È questa la differenza fondamentale rispetto a molte vulnerabilità tecniche.
In un attacco che sfrutta una falla software, l’aggressore cerca un errore nel codice. Nel phishing cerca invece una decisione: un clic, una password, un’autorizzazione, un pagamento.
La Polizia Postale descrive il phishing proprio come un meccanismo in cui comunicazioni apparentemente provenienti da soggetti affidabili portano verso pagine che imitano servizi reali con l’obiettivo di acquisire informazioni riservate.
Le credenziali sono uno degli obiettivi più comuni, ma non l’unico. Un tentativo può cercare di ottenere:
- username e password;
- codici OTP o conferme di autenticazione;
- dati bancari e delle carte;
- documenti e informazioni personali;
- accesso alla posta elettronica;
- credenziali WordPress, hosting, cloud o pannelli aziendali;
- installazione di malware attraverso file o software contraffatti;
- autorizzazione a un pagamento o a una modifica delle coordinate bancarie.
Il phishing è quindi soprattutto un problema di fiducia manipolata.
L’attaccante cerca di creare un contesto sufficientemente credibile da portarti a saltare una verifica che, in condizioni normali, avresti probabilmente fatto.
Dal messaggio alla pagina falsa: il meccanismo di un attacco di phishing
Un attacco classico può essere rappresentato così:
identità credibile → messaggio → pressione → azione richiesta → pagina o file controllato dall’attaccante → acquisizione dell’accesso
Immagina di ricevere un messaggio che sembra provenire dal servizio con cui gestisci la posta aziendale.
Ti informa che l’account verrà sospeso se non confermi immediatamente l’identità.
Il pulsante riporta qualcosa come “Verifica account”. La pagina aperta presenta logo, colori e modulo di login molto simili a quelli che conosci.
Inserisci email e password.
La pagina mostra un errore oppure ti rimanda al sito autentico.
Per te può sembrare che non sia successo nulla. In realtà le credenziali potrebbero essere già state inviate all’attaccante.
Una variante più avanzata può provare a ottenere anche il secondo fattore di autenticazione. Altre campagne non mostrano alcun form: cercano di farti scaricare un allegato, autorizzare un’applicazione o effettuare un pagamento.
Quello che cambia è lo strumento. Il principio rimane l’induzione dell’utente a compiere un’azione utile all’aggressore.
Phishing, spam, spoofing e malware non sono la stessa cosa
Sono concetti che spesso si sovrappongono, ma non sono sinonimi.
Lo spam è soprattutto comunicazione indesiderata inviata su larga scala. Può essere fastidioso, commerciale o fraudolento, ma un messaggio spam non è automaticamente phishing. Se vuoi approfondire questa distinzione trovi una guida specifica sul significato dello spam e su come riconoscerlo.
Lo spoofing consiste invece nella falsificazione o manipolazione di elementi dell’identità del mittente. Può essere utilizzato all’interno di una campagna di phishing, ma non esaurisce il concetto.
Il malware è software malevolo. Un’email di phishing può servire a distribuirlo, ma esistono moltissimi tentativi di phishing che cercano soltanto credenziali e non installano alcun programma sul dispositivo.
Questa distinzione diventa importante quando devi capire cosa fare dopo l’incidente. Aver visitato una pagina falsa e aver eseguito un file sconosciuto sono due eventi diversi e richiedono controlli diversi.
Come riconoscere un’email o un messaggio di phishing
Non esiste un singolo indicatore che permetta di classificare ogni messaggio con certezza.
Il metodo più affidabile consiste nel mettere insieme più segnali: identità, dominio, contesto, azione richiesta e percorso proposto.
Controlla mittente, dominio e destinazione reale dei link
Il nome visualizzato dal client di posta conta poco.
Un messaggio può apparire come:
Banca XYZ
ma provenire da un dominio completamente diverso.
Controlla quindi l’indirizzo completo e soprattutto la parte che segue @.
Occhio anche alle variazioni che sembrano corrette a una lettura rapida:
- caratteri aggiunti;
- lettere invertite;
- trattini insoliti;
- sottodomini costruiti per confondere;
- domini che imitano il nome del servizio ma non gli appartengono.
La stessa regola vale per i link.
Il testo di un pulsante può dire “Area clienti” mentre la destinazione reale porta altrove. Su desktop puoi spesso visualizzare la destinazione senza aprirla; su mobile l’approccio più sicuro resta non usare il collegamento ricevuto quando hai un dubbio.
Apri invece il browser e raggiungi autonomamente il sito o l’applicazione che conosci.
È un piccolo cambio di abitudine che elimina una parte importante della manipolazione: non stai più chiedendo all’attaccante di decidere dove portarti.
Urgenza, autorità, fatture e reset password: come viene costruita l’esca
Molti tentativi cercano di ridurre il tempo che dedichi alla verifica.
Per farlo utilizzano leve come:
- “account sospeso”;
- “password in scadenza”;
- “pagamento rifiutato”;
- “fattura in allegato”;
- “accesso anomalo”;
- “pacco non consegnato”;
- “documento condiviso”;
- “rimborso disponibile”;
- richiesta urgente del titolare o di un responsabile;
- modifica improvvisa dell’IBAN di un fornitore.
L’urgenza da sola non dimostra nulla: anche una comunicazione autentica può richiedere un intervento rapido.
Il segnale interessante nasce quando l’urgenza viene usata per impedirti di verificare attraverso un secondo canale.
Se una richiesta economica o amministrativa esce dalla procedura abituale, fermati. Se il messaggio sembra provenire da una persona conosciuta, verifica telefonicamente utilizzando un numero che possiedi già, non quello riportato nella comunicazione sospetta.
Questo è particolarmente importante in azienda, dove una singola casella compromessa può rendere estremamente plausibile una richiesta fraudolenta.
Logo corretto, italiano perfetto e HTTPS non dimostrano che il messaggio sia autentico
“Ci sono errori grammaticali?” può essere un controllo utile, ma non è più una strategia.
Testo, grafica e tono possono essere estremamente convincenti.
Anche il lucchetto HTTPS va interpretato correttamente: significa che la connessione tra browser e quel dominio è cifrata. Non significa che il proprietario del dominio sia la banca, Microsoft, il tuo hosting o il tuo fornitore.
Un criminale può registrare un dominio ingannevole e dotarlo di un normale certificato TLS.
La domanda corretta non è quindi:
Il sito è in HTTPS?
ma:
Sono davvero sul dominio che intendevo visitare?
C’è poi una situazione ancora più insidiosa: il mittente potrebbe essere autentico.
CERT-AGID ha documentato campagne distribuite attraverso caselle email precedentemente compromesse, utilizzate per contattare destinatari con cui quella casella aveva già avuto comunicazioni legittime.
In quel caso nome, dominio e storia del mittente possono essere perfettamente plausibili.
Il controllo deve spostarsi sulla richiesta: è normale che quella persona mi chieda questa operazione? Il documento era atteso? Perché devo rifare un login? Posso confermare attraverso un altro canale?
Esempio di email phishing: come analizzarla senza cliccare
Prendiamo un esempio fittizio:
Oggetto: Accesso sospeso — verifica richiesta
Abbiamo rilevato un accesso anomalo. Il tuo account verrà disabilitato entro 30 minuti. Conferma le credenziali attraverso il pulsante “Verifica account”.
Non bisogna decidere che sia phishing solo perché utilizza urgenza.
Analizzalo invece per passaggi.
Primo: conosci realmente il servizio?
Secondo: il dominio del mittente corrisponde a quello ufficiale?
Terzo: l’azione richiesta è coerente con il modo in cui quel servizio normalmente gestisce gli avvisi di sicurezza?
Quarto: puoi verificare l’avviso aprendo direttamente il sito o l’app, senza utilizzare il pulsante?
Quinto: la pagina eventualmente raggiunta appartiene esattamente al dominio corretto?
Se puoi completare la verifica senza usare il percorso suggerito dal messaggio, fallo.
Questo principio funziona meglio di una lista infinita di “parole sospette”, perché continua a essere utile anche quando il phishing cambia forma.
Ho aperto una mail di phishing: cosa fare in base a ciò che è successo
Qui è importante evitare due errori opposti: ignorare un incidente reale oppure trattare qualsiasi apertura di un messaggio come se l’account fosse già stato compromesso.
La risposta deve partire da ciò che hai effettivamente fatto.
| Cosa è successo | Rischio principale | Prima risposta |
|---|---|---|
| Hai soltanto aperto l’email | tracking, ulteriore targeting, rischio generalmente limitato | non interagire, segnala, conserva eventuali prove |
| Hai cliccato ma non inserito dati | pagina malevola, download o redirect | chiudi, controlla eventuali download, non autorizzare nulla |
| Hai inserito una password | compromissione dell’account | cambia password dal sito ufficiale, revoca sessioni, controlla account |
| Hai inserito OTP o approvato una richiesta MFA | possibile accesso attivo dell’attaccante | revoca immediatamente sessioni/accessi e recupera l’account |
| Hai aperto/eseguito un allegato sospetto | malware o compromissione del dispositivo | isola e verifica il dispositivo, coinvolgi IT/security se necessario |
Hai soltanto aperto il messaggio
Se hai semplicemente visualizzato una normale email e non hai cliccato link, scaricato file, inserito dati o concesso autorizzazioni, non significa automaticamente che la password sia stata rubata.
Alcuni messaggi possono però utilizzare immagini remote o altri sistemi di tracciamento per ottenere informazioni sull’apertura. Le protezioni dipendono dal client e dalle impostazioni utilizzate.
La cosa utile è quindi:
- non interagire con il messaggio;
- utilizzare la funzione “Segnala phishing” o equivalente del provider;
- se riguarda un account aziendale, informare chi gestisce la sicurezza quando previsto dalle procedure interne;
- non rispondere al mittente sospetto;
- conservare il messaggio se può servire per analisi o segnalazioni.
Non serve cambiare automaticamente tutte le password solo perché hai visualizzato il testo dell’email.
Hai cliccato sul link ma non hai inserito dati
Chiudi la pagina senza interagire ulteriormente.
Poi chiediti cosa è successo dopo il clic:
- è stato scaricato un file?
- il browser ha chiesto di installare qualcosa?
- hai autorizzato notifiche o estensioni?
- hai effettuato un login?
- hai approvato una richiesta di autenticazione?
- il sito ha aperto altre finestre o reindirizzamenti?
Se hai solamente visitato una pagina e non hai fornito dati né eseguito file, il rischio è diverso da quello di una compromissione già confermata.
Controlla comunque la cartella dei download e non aprire eventuali file ottenuti dal sito.
Su un dispositivo aziendale è sensato segnalare anche il semplice clic, perché il team IT può verificare log, proxy, endpoint protection e altri indicatori che l’utente finale non vede.
Hai inserito password, codici MFA o informazioni personali
In questo caso devi considerare la credenziale potenzialmente compromessa.
Non tornare alla pagina attraverso il messaggio.
Apri direttamente il sito o l’app ufficiale e:
- cambia immediatamente la password;
- se la stessa password è stata riutilizzata su altri servizi, sostituiscila anche lì;
- termina le sessioni attive quando il servizio lo consente;
- controlla dispositivi e accessi recenti;
- verifica che email, telefono e metodi di recupero non siano stati modificati;
- controlla regole di inoltro della posta o altre configurazioni create dall’attaccante;
- rimuovi applicazioni o autorizzazioni che non riconosci;
- attiva un secondo fattore più robusto o una passkey dove disponibile.
Se hai fornito anche un codice OTP o approvato una notifica di accesso, la semplice modifica della password potrebbe non essere sufficiente: un aggressore potrebbe avere già ottenuto una sessione valida.
In quel caso la revoca delle sessioni e degli accessi autorizzati diventa prioritaria.
Se hai fornito dati bancari o di pagamento, utilizza esclusivamente i contatti ufficiali della banca o dell’emittente e comunica immediatamente l’accaduto.
Hai scaricato o aperto un allegato
“Ho aperto un allegato” non identifica ancora un unico incidente.
Un PDF, un archivio, un documento con macro, uno script o un programma eseguibile hanno superfici di rischio differenti. Conta inoltre cosa hai autorizzato dopo l’apertura.
Se hai eseguito un file sconosciuto, abilitato contenuti attivi o osservi comportamenti anomali, evita di continuare a utilizzare normalmente il dispositivo.
In un ambiente aziendale contatta subito IT o il team di sicurezza. Se esiste un rischio concreto di malware attivo, può essere opportuno isolare il dispositivo dalla rete per limitare comunicazioni o propagazione, preservando però le informazioni necessarie all’analisi.
Esegui le verifiche con gli strumenti di sicurezza gestiti o affidabili presenti sull’ambiente, non scaricando casualmente il primo “cleaner” trovato tramite una ricerca.
Se dal dispositivo potenzialmente compromesso hai effettuato accessi importanti, valuta la rotazione delle credenziali da un dispositivo affidabile.
Quando il phishing colpisce un’azienda, il problema non finisce con una password rubata
Un account personale compromesso è già un problema serio. In azienda, però, la casella violata può diventare un nuovo strumento di attacco.
L’aggressore può osservare conversazioni, firme, clienti, fornitori, documenti e modalità con cui l’organizzazione lavora.
A quel punto non deve più inventare completamente la storia: può inserirsi in una relazione autentica.
Spear phishing, whaling e Business Email Compromise
Il spear phishing è più mirato rispetto alle campagne inviate indistintamente a migliaia di persone.
L’attaccante seleziona un soggetto o un gruppo e costruisce l’esca utilizzando informazioni specifiche.
Il termine whaling viene normalmente utilizzato quando il bersaglio è una figura di alto livello: amministratore, dirigente, titolare o persona con potere decisionale.
Il Business Email Compromise (BEC) riguarda invece frodi nelle quali l’identità aziendale o un account di posta vengono utilizzati per ottenere pagamenti, informazioni o altre operazioni. Phishing e BEC possono sovrapporsi: il furto iniziale dell’account può diventare il punto di partenza per una frode molto più credibile.
Ecco perché una richiesta improvvisa di pagamento, cambio IBAN o invio di documenti sensibili non dovrebbe essere validata soltanto perché arriva dall’indirizzo giusto.
Un account compromesso può rendere credibili i tentativi successivi
Immagina che venga violata la casella di un fornitore con cui lavori da anni.
L’attaccante può vedere:
- come vi salutate;
- quali documenti scambiate;
- quando vengono emesse le fatture;
- chi approva i pagamenti;
- quali nomi compaiono nelle conversazioni;
- quali servizi utilizzate.
A quel punto una falsa richiesta non deve più imitare superficialmente il fornitore: parte dalla sua vera casella e dalla sua vera cronologia.
È uno dei motivi per cui la formazione basata soltanto su “controlla il mittente” è insufficiente.
Per le operazioni ad alto impatto serve una seconda regola organizzativa: la conferma deve viaggiare attraverso un canale indipendente.
Cosa deve controllare un’azienda dopo il furto di credenziali
Una password aziendale rubata richiede un controllo più ampio della sola sostituzione della password.
A seconda del servizio coinvolto, vanno verificati:
- sessioni e dispositivi connessi;
- metodi di recupero;
- secondi fattori registrati;
- regole di inoltro e filtri della posta;
- deleghe e autorizzazioni;
- applicazioni OAuth o integrazioni autorizzate;
- messaggi inviati dall’account;
- modifiche amministrative;
- accessi a file, cloud o gestionali collegati;
- eventuali richieste inviate a clienti e fornitori.
L’obiettivo è capire cosa è successo durante il periodo in cui l’attaccante potrebbe aver avuto accesso, non semplicemente impedire il login successivo.
Phishing e WordPress: perché riguarda anche chi gestisce un sito
Se amministri WordPress, il phishing ti riguarda da due direzioni.
La prima è ovvia: possono essere rubate le tue credenziali.
La seconda lo è molto meno: il tuo sito compromesso può essere utilizzato per attaccare altre persone.
Le credenziali WordPress e hosting sono un bersaglio come qualsiasi altro account
Una pagina falsa può imitare:
wp-login.php;- il pannello del provider hosting;
- il webmail;
- un servizio DNS;
- un sistema di backup;
- una piattaforma cloud;
- un servizio per la gestione del dominio.
L’obiettivo può essere ottenere accesso amministrativo e poi utilizzare quel privilegio per modificare il sito.
Per questo la sicurezza dell’account è parte della sicurezza WordPress, ma non coincide con essa: una password forte non risolve vulnerabilità nei plugin e un sito aggiornato non impedisce a un amministratore di consegnare involontariamente la propria password a una pagina falsa.
Sono superfici diverse che vanno protette insieme.
Un sito WordPress compromesso può diventare l’infrastruttura di una campagna di phishing
Quando un aggressore ottiene accesso a un sito, non è obbligato a distruggerlo.
Può avere più interesse a mantenerlo apparentemente funzionante e inserire:
- pagine estranee;
- file nascosti;
- redirect;
- script malevoli;
- contenuti destinati soltanto a determinati visitatori;
- pagine che imitano servizi esterni e raccolgono credenziali.
Google include esplicitamente le pagine ingannevoli e il phishing nelle proprie indicazioni sulla social engineering applicata ai siti web.
Questo scenario è particolarmente insidioso perché il dominio compromesso può avere una storia reale, essere indicizzato e non apparire immediatamente come il classico dominio usa-e-getta di una truffa.
Se scopri pagine di phishing sul tuo dominio, non basta cancellare la singola URL.
Devi trovare il punto di ingresso e verificare l’intera compromissione. La guida dedicata a un WordPress hackerato approfondisce proprio la diagnosi, la rimozione delle backdoor e il ripristino del controllo.
Search Console, Safe Browsing e il warning “Sito ingannevole”
Google Safe Browsing può mostrare avvisi quando rileva contenuti di social engineering o altre minacce.
Per chi possiede il sito, uno dei punti da controllare è il rapporto Problemi di sicurezza in Search Console.
La sequenza corretta non è:
warning → richiedi subito una revisione
ma:
warning → identifica il contenuto → individua la causa → ripulisci completamente → chiudi la falla → verifica → richiedi revisione
Chiedere la rimozione dell’avviso senza aver eliminato la causa non risolve l’incidente.
Se il problema è già una compromissione reale e non riesci a stabilire cosa sia stato modificato, un intervento di rimozione malware da WordPress diventa pertinente: l’obiettivo non è soltanto eliminare la pagina visibile, ma rimuovere persistence e backdoor e riportare il sito in uno stato affidabile.
Come proteggere account, azienda e WordPress dal phishing
Non esiste una singola tecnologia in grado di eliminare il phishing.
La strategia migliore utilizza più livelli: credenziali uniche, autenticazione robusta, protezioni email, procedure organizzative e capacità di riconoscere quando una richiesta esce dal normale workflow.
Password uniche e password manager riducono il danno, ma non eliminano il phishing
Una password lunga e casuale è utile, ma se viene digitata volontariamente nella pagina controllata dall’attaccante la sua complessità non la salva.
Qui entra in gioco il password manager.
Oltre a generare credenziali uniche, molti password manager associano la credenziale al dominio per cui è stata salvata. Se arrivi su un dominio diverso, il comportamento può quindi diventare un ulteriore segnale di allarme.
Soprattutto, non riutilizzare la stessa password.
Se una credenziale rubata apre soltanto un account, il danno resta più circoscritto. Se la stessa password protegge email, WordPress, hosting e altri servizi, un singolo phishing può propagarsi molto più lontano.
2FA, passkey e autenticazione phishing-resistant: la differenza che conta
Aggiungere un secondo fattore è utile, ma non tutti i metodi offrono la stessa protezione dal phishing.
Un codice OTP digitato manualmente può essere intercettato attraverso una pagina fraudolenta e trasmesso in tempo reale al servizio autentico.
Per questo il NIST distingue l’autenticazione resistente al phishing dalle modalità in cui l’utente copia manualmente un codice verso il servizio.
Tecnologie come FIDO2/WebAuthn e le passkey possono invece legare crittograficamente l’autenticazione al sito corretto. Una pagina ospitata su un dominio imitazione non può semplicemente prendere quel segreto e riutilizzarlo come una password.
Anche la documentazione ufficiale dedicata alla protezione degli accessi WordPress tratta oggi 2FA e passkey/WebAuthn come controlli distinti. WordPress core non fornisce nativamente tutte queste modalità: in base all’architettura possono essere aggiunte attraverso plugin mantenuti o sistemi di identità esterni.
Questo non rende impossibile qualsiasi attacco all’account. Restano importanti recovery, dispositivi compromessi e altre superfici. Riduce però una delle debolezze centrali del phishing tradizionale: la possibilità di convincerti a consegnare una credenziale riutilizzabile al dominio sbagliato.
SPF, DKIM e DMARC aiutano contro lo spoofing del dominio, ma non fermano ogni phishing
Per un’azienda che utilizza un proprio dominio email, SPF, DKIM e DMARC sono controlli importanti.
In termini semplificati:
- SPF consente al dominio di dichiarare quali sistemi sono autorizzati a inviare posta;
- DKIM permette di firmare crittograficamente i messaggi;
- DMARC definisce come interpretare SPF/DKIM in relazione al dominio visibile e quale politica applicare ai messaggi che non superano i controlli.
Le linee guida NCSC sull’email anti-spoofing spiegano nel dettaglio il ruolo dei tre meccanismi.
Ma c’è un limite da non perdere di vista.
Questi standard possono rendere molto più difficile falsificare direttamente il tuo dominio. Non impediscono a un aggressore di registrare un dominio simile, utilizzare un altro dominio perfettamente autenticato o inviare email da un account legittimo precedentemente compromesso.
DMARC è quindi una difesa importante, non un “antiphishing universale”.
Processi di verifica separati per pagamenti, accessi e richieste urgenti
In azienda alcune difese migliori non sono plugin.
Sono procedure.
Una richiesta di cambio IBAN, un bonifico fuori standard, l’aggiunta di un nuovo amministratore o la consegna di documenti sensibili dovrebbero prevedere una verifica indipendente.
Per esempio:
richiesta via email → conferma telefonica usando un numero noto → autorizzazione secondo procedura
Non:
richiesta via email → telefono al numero scritto nella stessa email
Nel secondo caso l’attaccante controlla potenzialmente entrambi i passaggi.
Il principio è semplice: per un’operazione ad alto impatto, la fonte della richiesta non deve controllare anche l’unico metodo usato per verificarla.
Come segnalare phishing e siti fraudolenti
Segnalare un tentativo serve a più livelli: può aiutare il provider a filtrare campagne simili, permette al soggetto impersonato di conoscere l’abuso del proprio marchio e, quando esiste un reato o un danno, consente di attivare i canali appropriati.
Prima di eliminare tutto, conserva gli elementi che possono essere utili: messaggio originale, mittente, orario, URL, eventuali ricevute, screenshot e informazioni sull’operazione eseguita.
Non pubblicare però online credenziali, documenti o altri dati personali nel tentativo di “mostrare la truffa”.
Segnalare il messaggio al provider e all’organizzazione impersonata
La maggior parte dei servizi di posta offre una funzione specifica come Segnala phishing.
È generalmente preferibile usarla invece di rispondere al mittente, perché il provider può acquisire informazioni tecniche sul messaggio e utilizzarle nei propri sistemi di rilevamento.
Se viene impersonata una banca, un servizio online o un’altra organizzazione, verifica sul suo sito ufficiale se esiste un canale dedicato per l’invio delle segnalazioni.
Ancora una volta: raggiungi il sito autonomamente, non attraverso i contatti presenti nella comunicazione sospetta.
Polizia Postale: quando fare una segnalazione e quando serve una denuncia
Una segnalazione e una denuncia non sono la stessa cosa.
Il portale della Polizia Postale dedicato alle segnalazioni indica i diversi canali disponibili e ricorda che, quando sei in presenza di un reato informatico, può essere necessario entrare in contatto con gli uffici competenti.
Il servizio “Segnala online” non deve essere confuso con una denuncia.
Se hai effettivamente subito un reato, ad esempio una sottrazione di denaro, un accesso illecito o una compromissione con conseguenze concrete, verifica il percorso appropriato. Il Commissariato di P.S. online pubblica anche le informazioni relative alla denuncia per reati telematici.
Se sono coinvolte carte o conti, la denuncia non sostituisce il contatto immediato con banca o emittente per bloccare o contestare le operazioni quando possibile.
Come segnalare una pagina di phishing a Google Safe Browsing
Se hai individuato una pagina costruita per imitare un altro sito e sottrarre informazioni personali, Google mette a disposizione una procedura per segnalare phishing e malware.
Non devi interagire ulteriormente con la pagina per effettuare la segnalazione.
Se invece il dominio è tuo e hai scoperto che la pagina fraudolenta si trova sul tuo sito, il problema è diverso: prima devi trattarlo come incidente di sicurezza, identificare la compromissione e ripulire il sito.
La segnalazione del singolo URL non sostituisce la remediation.
Conclusione
Il modo più utile per difendersi dal phishing non è imparare a memoria una lista di email “brutte”.
È sviluppare un controllo che regga anche quando la comunicazione è scritta bene, il sito utilizza HTTPS e il mittente sembra conosciuto.
Chiediti chi sta richiedendo l’azione, perché dovresti eseguirla, su quale dominio e se puoi verificare la stessa informazione attraverso un percorso indipendente.
Se il tentativo è già avvenuto, parti invece dall’azione compiuta: aprire un’email, cliccare un link, inserire una password, approvare un secondo fattore ed eseguire un allegato non sono lo stesso incidente.
Per un privato questo approccio limita il danno. Per un’azienda diventa ancora più importante, perché un account violato può essere utilizzato per rendere credibili gli attacchi successivi.
E per chi gestisce WordPress c’è un’ulteriore conseguenza: proteggere le credenziali serve a impedire l’accesso al proprio sito, ma controllare il sito serve anche a evitare che un’eventuale compromissione venga usata per colpire gli altri.
La sicurezza efficace nasce proprio da questa continuità: riconoscere l’inganno, reagire in base a ciò che è realmente successo e rendere il prossimo tentativo molto più difficile da trasformare in un accesso valido.