Riceve un messaggio dalla "Sua banca" che Le chiede di confermare i dati con urgenza. Oppure la fattura di un fornitore con un IBAN nuovo. O un avviso secondo cui la Sua casella di posta è piena e verrà bloccata oggi stesso. Sembra vero, ma potrebbe essere phishing: un'email falsa creata per rubare password, dati bancari o denaro.
In una piccola azienda basta un clic distratto per causare un danno serio. La buona notizia è che la maggior parte di queste email presenta segnali riconoscibili in pochi secondi, se sa dove guardare.
1. Il mittente e i destinatari non tornano
Non guardi solo il nome visualizzato: controlli l'indirizzo completo. Un'email di "Intesa Sanpaolo" inviata da intesa-assistenza@gmail.com, o di "Poste Italiane" inviata da poste-consegne.info, è falsa. Diffidi anche dei domini quasi identici a quello vero, con una lettera cambiata o in più, come aiod0.pt invece di aiodo.pt. E ricordi che molti enti non inviano nemmeno questo tipo di messaggi via email: nel dubbio, verifichi sul sito ufficiale quali indirizzi utilizzano.
Controlli anche dove va a finire la risposta. Quando preme "Rispondi", l'indirizzo che compare nel campo "A" deve essere lo stesso del mittente. Se l'email dice di arrivare dal Suo fornitore ma la risposta viene indirizzata a un altro indirizzo (il cosiddetto reply-to), è un classico segnale di frode, soprattutto nelle richieste di pagamento.
Infine, osservi a chi è stata inviata. Un avviso sul "Suo account" o sulla "Sua fattura" dovrebbe essere indirizzato solo a Lei. Se arriva a decine di destinatari visibili, o con "Undisclosed recipients" (destinatari nascosti) nel campo "A", è stata inviata in massa e non è un messaggio personale.
Consiglio: sullo smartphone, tocchi il nome del mittente per vedere l'indirizzo reale.
Consiglio avanzato: alcuni programmi di posta mostrano, nei dettagli del messaggio, un campo "List-ID". Indica che l'email è stata inviata a una lista di distribuzione, come una newsletter. In una newsletter è normale, ma se il messaggio sembra personale, come una fattura o un avviso sul Suo account, diffidi.
2. Mette fretta o minaccia
"Il Suo account sarà sospeso entro 24 ore." "Ultimo avviso." "Pagamento scaduto, eviti la sanzione." L'urgenza è l'arma preferita di chi fa phishing, perché chi ha fretta non verifica. Una banca, l'Agenzia delle Entrate o un fornitore serio non La obbligano a risolvere tutto nei prossimi minuti tramite un link.
3. I link portano altrove
Prima di cliccare, passi il mouse sopra il link (sul computer) o tenga premuto il dito sul link (sullo smartphone) per vedere l'indirizzo reale. Se il testo dice agenziaentrate.gov.it ma il link punta a un indirizzo strano, non clicchi. Nel dubbio, digiti Lei stesso l'indirizzo del sito nel browser o usi l'app ufficiale.
4. Chiede dati, codici o pagamenti
Nessun ente serio Le chiederà via email la password, il codice ricevuto via SMS o i dati completi della carta.
Massima attenzione a un caso molto frequente nelle aziende: l'email di un "fornitore" o di un "cliente" che comunica di aver cambiato IBAN. Prima di pagare, verifichi sempre per telefono, chiamando un numero che aveva già, e mai il numero indicato nell'email stessa.
5. Contiene un allegato inatteso
Fatture, ordini, "documenti scansionati" o file compressi (.zip) che non ha richiesto sono un modo classico per installare virus. Se non si aspettava l'allegato, non lo apra: contatti prima chi lo avrebbe inviato e verifichi.
E gli errori di italiano?
Per anni sono stati il segnale più facile da individuare. Oggi, con i traduttori automatici e l'intelligenza artificiale, molte email false sono scritte bene. Gli errori restano un campanello d'allarme, ma un testo corretto non è più garanzia di nulla.
Ho cliccato. E adesso?
Può capitare a chiunque. L'importante è agire in fretta:
- Cambi la password dell'account colpito e degli altri in cui usa la stessa.
- Se ha fornito dati bancari, chiami subito la Sua banca e chieda di bloccare la carta o l'operazione.
- Attivi l'autenticazione a due fattori sull'email e sugli account più importanti.
- Avvisi il team e i Suoi contatti, soprattutto se l'email è partita dal Suo account.
- Segnali il caso alla Polizia Postale tramite il portale del Commissariato di P.S. Online; per le aziende, anche il CSIRT Italia dell'Agenzia per la Cybersicurezza Nazionale (ACN) raccoglie le segnalazioni di incidenti informatici.
Come proteggere l'email della Sua azienda
- Usi password diverse per ogni servizio e un password manager. Per creare password robuste può usare il nostro generatore di password.
- Attivi l'autenticazione a due fattori ovunque sia possibile.
- Usi un'email con il dominio aziendale (nome@suaazienda.it) invece di caselle gratuite: trasmette fiducia ed è più facile da proteggere.
- Si assicuri che il dominio abbia configurati i record SPF, DKIM e DMARC: aiutano a impedire che qualcuno invii email false a nome della Sua azienda. Può verificarlo in pochi secondi con il nostro verificatore email del dominio.
- Tenga aggiornati computer e smartphone.
- Ne parli con il Suo team. Cinque minuti di conversazione evitano molti problemi.
Ha bisogno di aiuto?
In aiodo aiutiamo le piccole aziende ad avere un sito e un'email professionale, con dominio proprio e la configurazione giusta. Se ha dubbi sulla sicurezza dell'email della Sua azienda, o ha ricevuto un messaggio sospetto e non sa cosa fare, ci contatti.
