Il phishing non si basa solo sulla tecnologia, ma soprattutto sulla psicologia dell’utente. Gli attaccanti sfruttano una serie di bias cognitivi, cioè scorciatoie mentali che usiamo tutti per decidere in fretta.
Oltre alle email generiche, esistono tecniche di phishing più sofisticate, spesso difficili da riconoscere.
Il link malevolo non è visibile come testo, ma è nascosto in un QR code: volantini, email stampate, cartelli con “menù digitale”, finti avvisi di corrieri o pubblicità su bacheche. Scansionando il QR con lo smartphone, si apre un sito web fasullo che chiede credenziali o dati di pagamento.
L’attaccante riproduce una finta finestra di login di Google, Microsoft o altri servizi, all’interno della pagina stessa. La finestra sembra identica a quella reale (logo, URL nella barra finta), ma in realtà non è un vero browser. L’utente inserisce la password pensando di autenticarsi in modo sicuro, ma la sta consegnando all’attaccante.
Invece di rubare direttamente la password, alcuni attacchi cercano di farti concedere permessi eccessivi a un’applicazione malevola (es. “Accedi con Google”, “Accedi con Microsoft”). Una volta autorizzata, l’app può leggere email, calendari o file, pur senza conoscere la tua password.
Spear phishing: attacco mirato a una singola persona o a un piccolo gruppo,
costruito con dati reali (colleghi, progetti, ruolo).
Whaling: versione dello spear phishing rivolta a dirigenti o figure apicali
(“balene”).
Qui l’obiettivo è spesso quello di ottenere bonifici, firmare documenti o accedere a dati
altamente sensibili.
Difendersi dal phishing significa anche proteggere la propria identità digitale nel tempo.
Molti attacchi di phishing usano siti che imitano in modo quasi perfetto quelli reali, ma il dominio non è esattamente uguale.
post3.it invece di poste.it,
arnazon.it invece di amazon.it.
https://example.com/secure/amazon/login
oppure come sottodominio di un sito sconosciuto:
https://amazon.login.example.net/.
Molti utenti ormai leggono quasi tutte le email da smartphone. Questo ha alcuni vantaggi, ma anche rischi:
Un approccio più tecnico alla difesa dal phishing parte dall’analisi del dominio a cui punta il link sospetto.
Nell’URL, concentrarsi sulla parte tra https:// e il primo /.
Il dominio principale è la parte immediatamente prima del TLD (.it, .com, .org, ...).
Esempio:
https://secure-login.amazon.example.net/account
Il dominio principale è example.net, non amazon.
Il lucchetto non garantisce che il sito sia legittimo, ma garantisce solo che la connessione è cifrata. Tuttavia, cliccando sul lucchetto è possibile vedere per chi è stato emesso il certificato e confrontarlo con il dominio.
Per studenti più grandi è possibile introdurre strumenti come:
nslookup o dig per vedere i record DNS;Domini creati di recente e con dati oscurati possono essere un ulteriore campanello d’allarme (anche se non sempre).
Ogni email contiene una serie di header tecnici che normalmente non vediamo nelle interfacce grafiche. Analizzarli permette di capire:
Anche il testo dell’email (body) e gli allegati possono essere analizzati in modo più tecnico.
bit.ly) che nascondono il dominio
finale.In molte interfacce è possibile visualizzare l’email in formato “solo testo” oppure vedere il codice HTML. Nel codice possono comparire:
.exe, .js, .bat);.docm, .xlsm);.zip, .rar) con contenuto non chiaro.Prima di aprire un allegato è bene chiedersi: «Mi aspettavo questo file? L’ho richiesto io? È coerente con il mittente?».
Anche gli utenti più attenti possono sbagliare. L’importante è reagire subito per limitare i danni.