In breve. Nel 2023 avevamo scritto una guida su come proteggersi dalle e-mail pericolose: riconoscere la truffa dagli errori di italiano, dal mittente strano, dal tono sgangherato. Quei segnali funzionano ancora e smascherano la maggior parte delle e-mail-truffa, che restano rozze: tienili, sono il tuo primo filtro. Ma da allora è cambiato qualcosa. Con l’IA le esche migliori vengono scritte in modo perfetto e cucite sulla tua azienda, e arrivano anche via SMS o con una telefonata dalla voce clonata. Contro quelle, riconoscere non basta più. Serve un secondo livello: mettere in sicurezza l’azione che l’e-mail ti chiede. Ecco come, senza buttare via quello che già sai.
Cosa è cambiato dal 2023
Quando abbiamo pubblicato quella guida, nel 2023, riconoscere una truffa era spesso un esercizio di buon senso: italiano sgrammaticato, “gentile cliente” generico, un logo storto, un mittente improbabile. Chi ci faceva caso si salvava, e in buona parte è ancora così: la maggior parte delle e-mail-truffa resta grezza, e quei segnali la fermano.
A cambiare sono gli attacchi più sofisticati. Oggi un modello generativo scrive in dieci secondi un’e-mail cucita sulla tua azienda, partendo dal tuo sito: il tuo settore, il tuo gergo, il nome del tuo responsabile amministrativo. Nessun errore di grammatica, tono giusto, richiesta plausibile. E non ne scrive una: ne sforna mille varianti senza fatica. Lo stesso attacco non passa più solo dall’e-mail: arriva via SMS, via messaggio, a volte con una telefonata dove la voce di un fornitore è clonata da pochi secondi di audio.
Il risultato pratico: la vecchia regola “se è scritta male, è una truffa” resta utile, ma non basta più. Se ti fidi solo di quella, sei scoperto proprio contro gli attacchi fatti bene, che sono i più pericolosi.
I segnali di sempre restano il primo filtro
Prima di tutto, non buttare via quello che già sai. Il mittente e il dominio veri (non solo il nome visualizzato), i link da controllare prima di cliccare, le richieste di password o dati che nessun fornitore serio fa via e-mail, l’urgenza che serve a spegnere il giudizio, l’allegato che non aspettavi: contro la massa di truffe fatte male questi segnali funzionano ancora e ti risparmiano gran parte dei guai. Li abbiamo messi in fila nella guida su come proteggersi dalle e-mail pericolose: restano il tuo primo filtro.
Il problema è quando non scattano.
Quando i segnali non bastano: difendi l’azione
Contro l’esca fatta bene, quella che supera il filtro qui sopra, chiederti “sembra legittima?” non ti dice più niente.
Un’e-mail di phishing non ti chiede di ammirarla: ti chiede di fare qualcosa.
Un pagamento, aprire un allegato, inserire le credenziali, cambiare l’IBAN di un fornitore. E su ognuna di quelle azioni puoi mettere una barriera che non dipende dal tuo occhio.
La domanda giusta, quindi, non è più “questa e-mail è vera?” ma “questa richiesta è normale, e come la verifico prima di eseguirla?”. È un cambio piccolo ma decisivo: sposti la difesa da qualcosa che ormai non sai più giudicare (com’è scritto il messaggio) a qualcosa che controlli sempre (cosa stai per fare).
Verifica su un secondo canale
È la mossa che disinnesca la maggior parte delle truffe mirate, e non costa niente. Davanti a una richiesta di soldi, di credenziali o di un cambio di dati, verifica su un canale diverso da quello con cui è arrivata.
Il finto amministratore delegato ti chiede un bonifico urgente? Lo richiami sul numero che già conosci, non su quello scritto nell’e-mail. Un fornitore ti comunica che è cambiato il suo IBAN? Lo confermi con una telefonata al riferimento di sempre, prima di toccare qualsiasi pagamento. La fretta e l’urgenza sono la leva su cui punta l’attacco: prenderti quei due minuti per verificare è esattamente ciò che l’attaccante spera tu non faccia.
I controlli tecnici che reggono anche se ci caschi
Le persone attente sbagliano lo stesso, perché l’esca è perfetta e arriva nel momento sbagliato. Per questo servono controlli che funzionano anche quando qualcuno clicca.
- MFA a prova di phishing. Se attivi l’autenticazione a più fattori, una password rubata da sola non apre niente. Meglio ancora con le passkey (o chiavi FIDO2): con quelle, anche se digiti le credenziali su un sito-truffa perfetto, l’accesso non parte. È il singolo controllo che blocca la maggior parte dei furti di credenziali.
- Autenticazione del tuo dominio e-mail (SPF, DKIM, DMARC). Sono tre impostazioni che dicono al mondo quali server possono spedire a nome tuo, e fanno scartare le e-mail che si fingono il tuo dominio. Difendono i tuoi clienti dalle finte e-mail “da parte tua”, e sono la base per fermare lo spoofing.
- Controllo sui domini-sosia. Alcuni attacchi usano indirizzi identici a vederli ma scritti con caratteri di altri alfabeti: una lettera cirillica al posto di una latina, e per il tuo occhio il sito è lo stesso, per il computer è tutto un altro. Qui non c’è attenzione che tenga, serve uno strumento che smascheri l’inganno.
- Dall’antivirus all’EDR. Il consiglio del 2023 era “tieni antivirus e firewall aggiornati”. Resta vero, ma oggi si è alzata l’asticella: gli strumenti moderni (EDR) non si limitano a riconoscere un virus noto, si accorgono dei comportamenti sospetti, come un allegato che una volta aperto inizia a fare cose che non dovrebbe.
Il processo sulle azioni a rischio
Sui movimenti che fanno male se vanno storti, non affidarti alla singola persona: mettici una regola.
Doppia approvazione sui pagamenti sopra una certa soglia. Verifica obbligatoria, su un secondo canale, per ogni cambio di IBAN di un fornitore. Accessi dati con il minimo dei privilegi necessari, così una casella compromessa non apre l’intero archivio. Così, perché la truffa vada a segno, non basta più un errore: ne servono due, indipendenti.
E poi la cosa più sottovalutata: la cultura della segnalazione. Chi ci casca non va messo alla gogna, va ringraziato quando lo dice. Se sbagliare diventa motivo di vergogna, il primo effetto è che nessuno segnala più quando è successo davvero, ed è esattamente il contrario di quello che ti serve. Una segnalazione veloce è spesso ciò che trasforma un incidente grave in un fastidio da niente.
In pratica
Se vuoi partire da qui, in ordine:
- Attiva l’MFA su tutto, a cominciare dalla posta e dagli accessi importanti. Dove puoi, passa alle passkey.
- Verifica su un secondo canale ogni richiesta di soldi, credenziali o cambio dati. Sempre, anche quando “sembra proprio lui”.
- Metti in ordine il dominio e-mail (SPF, DKIM, DMARC) e i tuoi strumenti di protezione (dall’antivirus all’EDR).
- Fai regole sui pagamenti: doppia firma sopra soglia, conferma out-of-band sui cambi di IBAN.
- Rendi facile e senza colpa segnalare un’e-mail sospetta. Chi la segnala presto ti sta facendo un favore.
Nessuno di questi strati, da solo, ti mette al sicuro. È la loro somma che regge: le persone verificano, la tecnica copre le spalle, il processo evita che un singolo clic diventi un bonifico partito.
Perché lo raccontiamo
Le e-mail pericolose sono il fronte più caldo del fattore umano, il primo dei gradini su cui lavoriamo con Security UP, il percorso con cui alziamo la sicurezza dei clienti un pezzo alla volta. Lo mettiamo per primo perché è dove l’IA fa più danno e dove, spesso, si investe di meno.
Questo articolo è il seguito naturale della nostra guida del 2023, come proteggersi dalle e-mail pericolose: là trovi i segnali per riconoscere una truffa a colpo d’occhio, qui cosa fare quando quei segnali non scattano. E se cerchi le basi pensate per chi lavora in ufficio, resta utile anche la nostra guida pratica per riconoscere un’e-mail di phishing per i dipendenti.
In caso di dubbio su un’e-mail o un link, fermati un momento e chiedi: è più economico verificare che rimediare. Se hai bisogno di una mano a mettere in ordine posta, identità e strumenti, è esattamente il lavoro che facciamo.
Domande frequenti
Ma se le e-mail ormai sono perfette, come faccio a difendermi?
Non tutte lo sono: la maggior parte resta riconoscibile dai soliti segnali (mittente, link, urgenza), che vanno sempre usati come primo filtro. Ma contro le migliori, scritte con l’IA, riconoscere non basta: lì difendi l’azione che l’e-mail ti chiede. Verifica ogni richiesta di soldi o credenziali su un secondo canale, tieni l’MFA attiva così una password rubata non basta, e metti regole sui pagamenti. L’e-mail può anche essere perfetta: se il bonifico richiede una conferma telefonica e il login è protetto dall’MFA, la truffa non va a segno lo stesso.
Basta un buon antivirus?
Aiuta, ma da solo no. L’antivirus ferma le minacce che riconosce; il phishing moderno punta a farti fare tu l’azione, e lì l’antivirus non entra. Serve tenerlo insieme all’MFA, all’autenticazione del dominio e a un minimo di processo sulle richieste sensibili.
Cos’è l’MFA e perché la citate sempre?
È l’autenticazione a più fattori: oltre alla password serve un secondo elemento (un’app, una chiave, una passkey). La citiamo sempre perché è il controllo con il miglior rapporto tra fatica di attivazione e attacchi che blocca: rende quasi inutile una password rubata.
Cosa faccio se ho appena cliccato o inserito le credenziali?
Segnalalo subito, senza vergognarti: la velocità conta più di tutto. Cambia la password degli account coinvolti, verifica che l’MFA sia attiva, e avvisa chi si occupa dei tuoi sistemi. Un incidente detto in tempo è quasi sempre un incidente piccolo.
