Phishing: come riconoscerlo e difendersi

Il phishing si riconosce da alcuni segnali ricorrenti: mittente che non corrisponde al dominio reale, tono d'urgenza, link che puntano a indirizzi diversi da quelli dichiarati, richieste anomale di credenziali o pagamenti. Per difendersi servono autenticazione a più fattori, filtri email, formazione del personale e procedure di verifica per bonifici e cambi IBAN.

Che cos'è il phishing e perché colpisce anche la tua azienda

Il phishing è una tecnica di frode in cui l'aggressore si finge qualcuno di cui la vittima si fida - una banca, un corriere, Microsoft, un fornitore, perfino un collega - per convincerla a consegnare credenziali, dati o denaro. Il canale classico è l'email, ma oggi arriva anche via SMS, telefono, WhatsApp e persino QR code.

Il punto che molti imprenditori sottovalutano è che il phishing non sfrutta una falla tecnica, ma una falla umana: la fretta, l'abitudine, la fiducia. Per questo nessun firewall lo blocca al cento per cento. Nella nostra esperienza di System Integrator - lavoriamo con le PMI lombarde da oltre 25 anni - la quasi totalità degli incidenti che vediamo parte proprio da qui: un clic fatto in buona fede alle 17:45 di un venerdì, tra una consegna urgente e una telefonata.

E le conseguenze non si fermano al furto di una password. Una credenziale rubata è spesso il primo passo di un attacco più grande: accesso alla posta aziendale, frodi sui pagamenti, fino alla cifratura dei sistemi. Se vuoi capire cosa succede dopo, abbiamo dedicato una guida a come proteggere l'azienda dal ransomware.

Phishing: come riconoscerlo in pratica

Vediamo i segnali concreti da controllare prima di cliccare. Nessuno da solo è una prova definitiva, ma due o tre insieme devono far scattare l'allarme.

1. Il mittente non torna

Il nome visualizzato è facilissimo da falsificare: "Mario Rossi - Amministrazione" può nascondere qualunque indirizzo. Controlla sempre l'indirizzo email completo, e guardalo con attenzione. I truffatori usano domini quasi identici a quelli veri: intesasanpaolo-sicurezza.com invece di intesasanpaolo.com, rnicrosoft.com con la "rn" al posto della "m", oppure il dominio corretto ma con un suffisso diverso (.net invece di .it).

2. Urgenza e minacce

"Il tuo account verrà sospeso entro 24 ore", "fattura scaduta, procederemo legalmente", "conferma subito o perderai l'accesso". L'urgenza è lo strumento principale del phishing: serve a spegnere il pensiero critico. Un fornitore reale, una banca reale, non lavorano così. Quando un messaggio ti mette fretta, è il momento di rallentare.

3. Il link non porta dove dice

Prima di cliccare, passa il mouse sul link (senza premere) e leggi l'indirizzo reale che compare in basso nel browser o nel client di posta. Su smartphone, tieni premuto il link per vederne l'anteprima. Se il testo dice "portale.agenziaentrate.gov.it" ma il collegamento punta a un dominio sconosciuto, hai la risposta. Attenzione anche agli accorciatori di URL (bit.ly e simili) nei contesti in cui non hanno motivo di esserci.

4. Richieste anomale di credenziali o dati

Nessun servizio serio ti chiede via email di "confermare la password" o di inserire i dati della carta per sbloccare un pacco. Se il dubbio resta, non usare il link nel messaggio: apri il browser, digita tu l'indirizzo del servizio e verifica dal tuo account.

5. Allegati inattesi

Fatture mai richieste, "documenti di consegna" da corrieri con cui non hai spedizioni in corso, file ZIP protetti da password (la password serve a eludere l'antivirus), documenti Office che chiedono di "abilitare le macro" o le modifiche. Un allegato inatteso va trattato come sospetto fino a prova contraria, anche se il mittente sembra un collega: il suo account potrebbe essere già compromesso.

6. Errori e stranezze nel testo

Gli errori grossolani di grammatica sono sempre meno frequenti - con l'AI generativa i truffatori scrivono testi ormai impeccabili - ma restano indizi utili: saluti generici ("Gentile cliente") da chi dovrebbe conoscerti, loghi sgranati, firme incomplete, un tono diverso dal solito. Se il tuo commercialista di colpo ti scrive in un italiano formale che non ha mai usato, insospettisciti.

7. Richieste di pagamento o cambio IBAN

È il caso più costoso per le PMI: la cosiddetta truffa BEC (Business Email Compromise). L'aggressore, dopo aver letto per settimane la corrispondenza di un account compromesso, si inserisce in uno scambio reale con un fornitore e comunica "nuove coordinate bancarie". Il bonifico parte, i soldi spariscono. Regola ferrea: ogni cambio IBAN va verificato telefonicamente, chiamando il fornitore a un numero che già conosci, mai a quello indicato nell'email.

Non solo email: le varianti da conoscere

Il phishing ha cambiato canale più volte, e conviene chiamare le cose col loro nome:

• Spear phishing: attacco mirato a una persona specifica, costruito con informazioni reali (nome del capo, progetti in corso, fornitori). Molto più credibile del phishing di massa.
• Smishing: phishing via SMS. I classici messaggi "il tuo pacco è in giacenza" o "movimento anomalo sul conto" con link da cliccare.
• Vishing: phishing telefonico. Il finto operatore bancario o il finto tecnico Microsoft che ti guida "per metterti in sicurezza" mentre in realtà ti svuota il conto o prende il controllo del PC.
• Quishing: QR code fraudolenti, stampati su finti avvisi o inseriti nelle email proprio perché i filtri antispam faticano ad analizzarli.
• Frode del CEO: un messaggio che sembra arrivare dal titolare chiede a un impiegato dell'amministrazione un bonifico urgente e riservato. Fa leva sulla gerarchia e sulla riservatezza per impedire le verifiche.

▶Hai vinto... un virus! Non perdere la tua identità: il phishing spiegato

Vuoi approfondire? Guarda altri video sul nostro canale YouTube →

Come difendersi: le contromisure che funzionano in una PMI

Riconoscere il phishing è metà del lavoro. L'altra metà è costruire difese che reggano anche il giorno in cui qualcuno, inevitabilmente, cliccherà.

Autenticazione a più fattori (MFA) ovunque

È la singola misura più efficace: anche se la password viene rubata, senza il secondo fattore l'aggressore resta fuori. Va attivata su posta elettronica, VPN, gestionali e accessi cloud, senza eccezioni per "utenti fidati" o dirigenti - che anzi sono i bersagli preferiti. Attenzione però: esistono attacchi che aggirano l'MFA con pagine intermedie che rubano la sessione, quindi l'MFA non autorizza a ignorare tutti gli altri segnali.

Protezione tecnica della posta

I protocolli SPF, DKIM e DMARC configurati correttamente sul tuo dominio impediscono ai truffatori di spedire email a nome della tua azienda e aiutano i filtri altrui a riconoscere i falsi. A questi si aggiungono filtri antiphishing evoluti che analizzano link e allegati prima della consegna. Se usi Microsoft 365, buona parte di questi strumenti è già inclusa ma va configurata: ne parliamo nella nostra guida a Microsoft 365 per aziende.

Formazione continua, non il corso una tantum

La formazione funziona se è ricorrente e pratica: sessioni brevi, esempi reali, e soprattutto campagne di phishing simulato, in cui email di test misurano quante persone cliccano. Non per punire chi sbaglia, ma per capire dove serve rinforzare. Un dipendente che ha già "abboccato" a una simulazione difficilmente ci ricasca con un attacco vero.

Procedure scritte per i pagamenti

La difesa contro le frodi BEC non è tecnologica, è organizzativa: doppia approvazione per i bonifici sopra una certa soglia, verifica telefonica obbligatoria per ogni cambio di coordinate bancarie, divieto di eseguire pagamenti richiesti solo via email, per quanto urgenti. Scriverlo nero su bianco toglie al truffatore la sua arma principale: la pressione.

Un piano per quando il clic è già avvenuto

Anche con tutte le difese, prima o poi succede. Cosa fare subito:

1. Cambiare la password dell'account coinvolto (e ovunque fosse riutilizzata) e revocare le sessioni attive.
2. Avvisare l'IT o il fornitore di assistenza senza vergogna e senza aspettare: le prime ore fanno la differenza.
3. Isolare il PC se è stato aperto un allegato o installato qualcosa.
4. Verificare regole di inoltro nella casella di posta: gli aggressori le creano per continuare a leggere le email anche dopo il cambio password.
5. Monitorare conti e accessi nei giorni successivi.

Su endpoint e server, una tecnologia EDR permette di accorgersi in tempo reale di ciò che accade dopo il clic e di isolare la macchina prima che l'attacco si propaghi. E ricordiamo che per molte aziende della filiera queste misure non sono più facoltative: la direttiva NIS2 le richiede espressamente, come spieghiamo nell'articolo su cosa cambia con la NIS2 per le PMI.

Metti alla prova le difese della tua azienda

Il phishing non si elimina, si gestisce: con la tecnologia giusta, procedure chiare e persone allenate a riconoscerlo. TN Solutions affianca le PMI in tutto questo - analisi dell'esposizione, protezione della posta, MFA, campagne di phishing simulato e risposta agli incidenti - con l'approccio concreto di un System Integrator certificato ISO 9001 e ISO 27001, da oltre 25 anni al fianco delle aziende da Melzo (MI).

Scopri il nostro servizio di sicurezza informatica per aziende oppure contattaci per una valutazione senza impegno: ti diciamo, dati alla mano, quanto la tua azienda è esposta e da dove conviene partire. Chiamaci allo 02 9517550.