Email di phishing: controlla il dominio del mittente

Per riconoscere un’email di phishing, controlla l’indirizzo completo del mittente e il dominio a cui conduce il collegamento, poi verifica la richiesta da un canale ufficiale aperto da te. Il nome visualizzato e il testo di un pulsante possono essere familiari anche in un messaggio fraudolento. Il glossario di CERT-AGID descrive le email contraffatte che cercano di ottenere dati riservati o indurre azioni attraverso link e allegati.

La verifica separa tre cose: chi sembra scrivere, quale indirizzo compare dopo aver aperto i dettagli del mittente e quale sito si raggiungerebbe dal link. Una discrepanza basta per sospendere l’azione; una corrispondenza apparente, invece, non rende autentica una richiesta inattesa. Prima di inserire password, codici o dati di pagamento, cerca l’avviso direttamente nell’app o nel sito che usi abitualmente.

Cinque controlli, nell’ordine giusto

Mostra l’indirizzo completo. Il nome che appare nella posta in arrivo può indicare una banca o un servizio conosciuto, ma è un’etichetta distinta dall’indirizzo email. Espandi i dettagli del messaggio e leggi l’intera stringa, compresa la parte dopo la chiocciola. Se l’indirizzo non è quello atteso, evita di rispondere: anche la risposta andrebbe al recapito indicato nel messaggio, non necessariamente all’organizzazione che sembra averlo inviato.
Leggi il dominio da destra. In un esempio del tutto fittizio, [email protected] usa azienda.example; [email protected] usa invece azienda.example.falso.example, sotto falso.example. La presenza di «azienda» nella parte iniziale non trasforma il secondo indirizzo in un recapito della prima organizzazione. Confronta il dominio con quello pubblicato dal servizio tramite un’app, un sito o una comunicazione che avevi già verificato. Tieni presente che anche un indirizzo dall’aspetto corretto, da solo, non certifica la provenienza del messaggio.
Verifica la destinazione del link. Il testo «Area clienti» può rimandare a un indirizzo diverso da quello suggerito dalle parole visibili. Su computer, passa il cursore sul collegamento senza fare clic e leggi l’indirizzo mostrato; se il telefono o il programma di posta non offre un’anteprima affidabile, apri direttamente il servizio dal percorso abituale. Il materiale formativo CERT-PA raccomanda di osservare la destinazione del collegamento e, in caso di dubbio, di digitare nel browser l’indirizzo normalmente usato. Guarda soprattutto il nome del sito prima del percorso: in un URL fittizio come https://azienda.example.falso.example/accesso, la parola «azienda» non è il dominio principale. La sigla HTTPS segnala una connessione protetta con il sito raggiunto, non che quel sito appartenga al soggetto citato nell’email.
Considera richiesta e allegato. Un avviso su password in scadenza, conto bloccato o pagamento da confermare può indurre a decidere in fretta. L’urgenza è un motivo per controllare meglio, non una prova conclusiva: una scadenza reale può arrivare anche per email. Se il messaggio è inatteso, non aprire l’allegato per capire se l’avviso è vero. Il nome del file e l’icona di un PDF non stabiliscono se il contenuto sia sicuro; prima verifica che l’organizzazione abbia davvero inviato quella richiesta.
Cerca conferma altrove. Apri l’app ufficiale oppure digita tu l’indirizzo del servizio; per telefonare usa un numero preso dal sito ufficiale o dal retro della carta, mai quello riportato nel messaggio dubbio. Controlla se l’avviso, la fattura o l’operazione compare anche lì. Se non trovi riscontro, non usare il pulsante dell’email per «chiedere chiarimenti»: contatta il servizio dal canale indipendente e segnala il messaggio con la funzione antiphishing della tua casella.

Se hai già seguito il collegamento

Se si è aperta una pagina ma non hai inserito informazioni né scaricato file, chiudila e raggiungi il servizio dall’app o dall’indirizzo che conosci. Verifica lì se esiste davvero l’operazione richiesta. Un sito imitato può usare nomi, colori e testi familiari: ciò che conta per la decisione è la destinazione effettiva e la conferma ottenuta fuori dal messaggio.

Se il clic ha avviato un download, non aprire il file. Se invece hai già aperto un allegato o installato qualcosa, aggiorna il software di sicurezza ed esegui una scansione del dispositivo; se è un dispositivo di lavoro, avvisa anche il referente informatico dell’organizzazione. Aver visualizzato una pagina, aver aperto un file e aver consegnato credenziali sono situazioni diverse, perciò ricostruisci quale azione hai compiuto prima di scegliere il rimedio.

Se hai inserito credenziali o dati di pagamento

Accedi all’account autentico dall’app o digitando l’indirizzo abituale e cambia subito la password. Se l’avevi riutilizzata, sostituiscila anche sugli altri account interessati e attiva l’autenticazione a due fattori, se disponibile. La guida della FTC indica questi passaggi per chi ha comunicato nome utente e password; se l’accesso è già bloccato, usa la procedura ufficiale di recupero. Informa anche il gestore del servizio dell’esposizione delle credenziali, perché potrebbe aiutarti a proteggere l’account.

Se hai comunicato i dati della carta o autorizzato un pagamento, contatta immediatamente la banca o l’emittente tramite l’app ufficiale o il numero stampato sulla carta. Spiega quali dati hai fornito e quali operazioni hai eseguito, così potrà indicarti le misure adatte al caso e verificare eventuali movimenti. Conserva l’email e i riferimenti delle operazioni per la segnalazione, evitando di tornare sul collegamento ricevuto.