Come verificare un'email — La guida completa anti-phishing

Il primo passo è esaminare l'indirizzo email completo, non solo il nome visualizzato. I truffatori usano indirizzi leggermente modificati:

Per vedere l'indirizzo completo in Gmail, clicca sulla freccia accanto al nome del mittente. In Outlook, fai doppio clic sull'email per aprire la finestra completa.

I truffatori sofisticati usano tecniche di spoofing che rendono difficile distinguere un indirizzo reale da uno falso a prima vista. Presta particolare attenzione ai domini che usano caratteri simili (omografi) come la lettera "о" cirillica al posto della "o" latina. Queste differenze sono invisibili ad occhio nudo ma portano a siti completamente diversi.

Un'altra tecnica comune è l'uso di sottodomini ingannevoli. Un indirizzo come security-paypal.com sembra legittimo, ma il dominio reale è security-paypal.com, non paypal.com. Verifica sempre il dominio di secondo livello (la parte immediatamente prima del .com o .it).

Su desktop, passa il mouse sui link senza cliccare. L'URL reale appare in basso nel browser. Su mobile, tieni premuto il link per vedere un'anteprima.

I link accorciati come bit.ly o tinyurl sono particolarmente pericolosi perché nascondono la destinazione reale. Se ricevi un link accorciato in un'email sospetta, usa un servizio di espansione URL o semplicemente non cliccarlo.

Un'altra tecnica crescente è l'uso di pagine di phishing ospitate su domini legittimi compromessi. Un hacker potrebbe aver violato un sito web innocuo e avervi caricato una pagina di login falsa. In questo caso, il dominio potrebbe apparire legittimo, ma il percorso specifico (/login, /verify, /secure) è sospetto. Controlla sempre l'intero URL, non solo il dominio principale.

Gli allegati sono un vettore principale di malware. Diffida di:

Il ransomware è spesso distribuito tramite allegati che sembrano innocui. Una fattura PDF, un curriculum Word o una fattura Excel possono contenere macro maligne che crittografano tutti i tuoi file una volta aperti.

Se ricevi un allegato inaspettato, anche da un contatto fidato, contatta quella persona tramite un altro canale (telefono, messaggio) per confermare che abbia effettivamente inviato il file. Gli account email vengono compromessi costantemente e i truffatori usano proprio questi account per distribuire malware ai contatti della vittima.

Servizi gratuiti ti permettono di sapere se il tuo indirizzo email è stato compromesso in una data breach:

Se scopri che la tua email è stata violata, non farti prendere dal panico, ma agisci rapidamente. Cambia la password di quell'account e, fondamentale, cambia la password ovunque l'abbia riutilizzata. I criminali sfruttano le violazioni per tentare accessi su altri servizi usando la stessa password.

Considera anche l'attivazione dell'autenticazione a due fattori su tutti gli account importanti. Anche se la tua password viene rubata in una breach futura, il 2FA impedirà agli attaccanti di accedere senza il secondo fattore.

Oltre a verificare singole email sospette, esistono abitudini che puoi adottare per ridurre drasticamente il rischio di cadere vittima del phishing nel lungo termine.

La gestione delle password è il pilastro fondamentale della sicurezza online. Un gestore di password come Bitwarden, 1Password o Keeper genera password uniche e complesse per ogni servizio e le inserisce automaticamente solo sui siti corretti. Se provi a inserire le credenziali su un sito di phishing, il gestore di password non si attiverà perché il dominino non corrisponde.