Phishing e Social Engineering: Riconoscere le Trappole e Difendersi per Davvero

Ricevi una mail dal tuo "amministratore" che ti chiede di cliccare un link per aggiornare la password. Il logo sembra giusto, l'urgenza è alta. Un attimo di distrazione e hai regalato l'accesso alla tua azienda a qualcuno che non dovrebbe averlo. Il phishing non è un errore da principianti: è un business miliardario che sfrutta la fiducia, non la tecnologia. Noi, di Meteora Web, lo vediamo ogni giorno: clienti che arrivano con account compromessi, fatture false pagate, dati rubati. E ogni volta la domanda è la stessa: "Come faccio a riconoscere una truffa prima che sia troppo tardi?"

Questa guida ti dà gli strumenti per rispondere: non solo cosa cercare, ma perché certe tecniche funzionano e come costruire una difesa che parte dal tuo cervello, non solo da un antivirus.

Cos'è il Phishing? (E perché il Social Engineering è la parte più pericolosa)

Il phishing è un attacco informatico dove un malintenzionato si finge un'entità affidabile (banca, fornitore, collega, piattaforma) per indurti a fornire informazioni sensibili. La leva non è tecnica: è psicologica. Il social engineering è l'arte di manipolare le persone per farle agire contro il proprio interesse. Un phishing ben fatto non ha bisogno di buchi di sicurezza: ha bisogno di un momento di fretta, di paura o di curiosità.

Esempio concreto: Un nostro cliente ha ricevuto una mail dall'"ufficio pagamenti" con una fattura urgente. L'indirizzo mittente era fatture@azienda-cliente.com — ma il vero dominio era azienda-cliente.com con una "i" al posto della "l" (homograph attack). Solo guardando l'intestazione completa dell'email si vedeva la differenza. Il costo? Un bonifico di 12.000€ su un conto estero. Recuperato solo in parte.

Cosa fare subito: Impara a leggere l'intestazione completa di un'email (in Gmail: clicca i tre puntini → Mostra originale). Cerca il campo Return-Path e Received from. Se il dominio mittente non corrisponde a quello del mittente visualizzato, è un campanello d'allarme.

Le facce del phishing: non solo email

Il phishing classico via email è solo l'inizio. Ecco le varianti che colpiscono più spesso le PMI:

Spear Phishing e Whaling

Non sei un bersaglio casuale. Lo spear phishing è personalizzato: il criminale raccoglie informazioni su di te (LinkedIn, sito aziendale, social) e costruisce un messaggio su misura. Il whaling è la versione per i pesci grossi: CEO, CFO, amministratori. L'attacco parte da una ricerca accurata. Più sei visibile, più sei nel mirino.

Vishing (voice phishing) e Smishing (SMS phishing)

Una telefonata dal "tuo istituto bancario" che ti chiede il codice di conferma per bloccare una transazione. Un SMS con un link a una consegna di un pacco che non hai mai ordinato. Il telefono è ancora meno tracciabile dell'email, e la voce umana disarma molte difese. Non esiste banca che ti chieda password o codici via telefono. Se lo fa, è una truffa.

Pretexting: la storia credibile

Un falso tecnico IT ti chiama dicendo che deve verificare un problema di rete e ti chiede la password di amministratore. Un fornitore "nuovo" ti invia una mail con un allegato che sembra un ordine. Il social engineering puro: crea uno scenario credibile per ottenere informazioni o accesso. Noi abbiamo visto casi in cui il truffatore aveva studiato il nome del vero commercialista e chiamato con quell'identità.

Cosa fare adesso: Stabilisci una regola in azienda: nessuna richiesta di dati sensibili o azioni urgenti via telefono, email o SMS senza una doppia verifica su un canale diverso. Se un "collega" chiama chiedendo un bonifico urgente, richiama sul suo numero diretto — non su quello da cui ti ha chiamato.

Riconoscere le bandiere rosse: la checklist visiva

Non serve essere un esperto di sicurezza per smascherare la maggior parte degli attacchi. Ecco cinque segnali da verificare sempre:

• Urgenza e pressione: "Devi agire entro 24 ore" o "Il tuo account verrà chiuso". Gli attaccanti vogliono impedirti di pensare. Fermati, respira, controlla.
• Mittente anomalo: Il nome può essere Banca Nazionale, ma l'indirizzo email è bnc@servizio-rapido.xyz. Passa il mouse sul nome (non cliccare) per vedere il vero indirizzo.
• Errori di battitura e grafia: Molte campagne di phishing sono tradotte automaticamente o scritte da non madrelingua. Frasi strane, maiuscole casuali, saluti generici come "Gentile Cliente".
• Link che non corrispondono: Il testo del link dice https://www.paypal.com/verifica, ma se guardi la barra in basso (o l'anteprima mobile) vedi http://paypaI.com/verify (con una I maiuscola).
• Allegati inaspettati: Un PDF, un .docm o .zip da un mittente sconosciuto. Anche se sembra una fattura, non aprirlo mai prima di aver verificato con il mittente reale via telefono.

Cosa fare subito: Stampa questa checklist e mettila vicino a ogni postazione di lavoro. Fai un test a sorpresa: invia un falso phishing interno (con il permesso) per vedere chi cade nella trappola. Noi lo facciamo coi nostri clienti: i risultati sono sempre illuminanti.

Come difendersi: barriere tecniche e comportamentali

La difesa migliore è a due livelli: tecnologia + formazione. Solo uno dei due non basta. Ecco cosa funziona davvero nelle PMI.

Barriere tecniche

• Autenticazione a due fattori (2FA) ovunque possibile. L'email è la linfa vitale di un'azienda: proteggila con 2FA. Se un criminale ruba la password, senza il secondo fattore non entra. Usa app authenticator, non SMS (più vulnerabili a SIM swap).
• Filtri anti-phishing su email. Molti provider (Google Workspace, Microsoft 365) offrono filtri avanzati. Attiva la protezione contro i domini sospetti e le scansioni degli allegati. Se possibile, usa un servizio specializzato come Proofpoint o Mimecast (anche per piccole aziende).
• DMARC, SPF, DKIM per il tuo dominio. Non solo per evitare che i tuoi clienti vengano ingannati a nome tuo: configurarli correttamente riduce anche la possibilità che email malevole con il tuo dominio arrivino a destinazione. Abbiamo parlato di sicurezza nei database in un'altra guida, ma i principi di difesa sono gli stessi: prevenzione, non reazione.
• Blocco degli allegati pericolosi. Configura il server di posta per bloccare eseguibili (.exe, .msi), script (.js, .vbs) e documenti con macro (.docm, .xlsm) se non espressamente autorizzati.

Barriere comportamentali: la formazione che paga

Investire in formazione costa meno di un incidente. Un paio d'ore all'anno per ogni dipendente possono salvare decine di migliaia di euro. Ecco cosa deve sapere chiunque tocchi un computer in azienda:

• Non cliccare mai su link in email inaspettate. Vai direttamente al sito digitando l'URL nel browser, o usa il segnalibro salvato.
• Verifica sempre le richieste di pagamento con una telefonata. Anche se il mittente è il tuo capo. Soprattutto se è il tuo capo: gli attacchi CEO fraud sono in aumento.
• Non fornire mai password, codici di accesso o OTP a nessuno via telefono o email. Nemmeno se si presentano come IT interno. La persona giusta non te li chiederà mai.
• Segnala immediatamente ogni sospetto al reparto IT o al referente sicurezza. Meglio un falso allarme che un attacco riuscito. Crea una casella email dedicata (es. sicurezza@azienda.it) dove inoltrare i messaggi sospetti.

Cosa fare adesso: Organizza un breve workshop di 30 minuti su phishing e social engineering. Usa esempi reali (puoi trovarli su Phishing.org). Fai simulare ai partecipanti la decisione: cliccare o non cliccare? Noi lo chiamiamo il "gioco del dubbio".

Cosa fare se sei già caduto nella trappola

Se pensi di aver cliccato un link malevolo o fornito dati sensibili, non farti prendere dal panico, ma agisci in fretta. Il tempo è il tuo peggior nemico. Segui questi passi:

1. Cambia subito le password dell'account compromesso e di tutti gli account che condividono la stessa password (meglio se usi un password manager con password uniche).
2. Abilita il 2FA se non lo era già e revoca tutte le sessioni attive (quasi tutti i servizi hanno un'opzione "Esci da tutti i dispositivi").
3. Contatta la tua banca se hai fornito dati finanziari o autorizzato pagamenti. Molte banche hanno un numero di emergenza per frodi 24/7.
4. Avvisa il tuo reparto IT o il provider del servizio. Possono controllare i log per capire se l'attacco si è diffuso (es. email inviate a tua insaputa).
5. Segnala l'email come phishing al tuo provider (Gmail: segnala come phishing; Outlook: segnala come phishing) e all'ente nazionale per la sicurezza informatica (in Italia, il CERT Nazionale).

Importante: Se hai digitato le credenziali di un servizio aziendale, informa l'amministratore immediatamente. Non aspettare per vedere se succede qualcosa: quando vedi i danni è troppo tardi. La trasparenza è parte della sicurezza.

In sintesi — cosa fare

Il phishing e il social engineering non spariranno mai: si evolveranno con l'AI, con tecniche sempre più credibili. Ma la difesa è nelle tue mani (e in quelle del tuo team). Ecco tre azioni concrete da implementare questa settimana:

• Fai una simulazione di phishing interna. Usa strumenti gratuiti come Gophish o il test di phishing di KnowBe4. Scopri chi ha bisogno di formazione extra.
• Attiva il 2FA su tutti i servizi critici (email, CRM, contabilità, fornitori). Non sono accettabili eccezioni.
• Scrivi una procedura di emergenza per la segnalazione di sospetti attacchi. Chi chiamare, cosa fare, in 5 passi. Stampala e appendila in ufficio.

Noi, di Meteora Web, vediamo ogni giorno aziende che sottovalutano il rischio. Il divario digitale è anche un divario di consapevolezza. Non serve essere un ingegnere informatico per difendersi: serve un po' di sano scetticismo e le giuste abitudini. Se hai dubbi sulla sicurezza della tua infrastruttura, parliamone — partiamo dai numeri, come sempre.