Come riconoscere una mail di phishing e cosa fare nel dubbio

Un messaggio sembra arrivare dalla tua banca, da un corriere o da un ufficio pubblico e ti chiede di fare qualcosa subito. Il phishing funziona proprio così: spinge a reagire prima di riflettere.

Questa guida mette insieme le indicazioni del Garante per la protezione dei dati personali sullo smishing e sul vishing, cioè il phishing via SMS e per telefono, e i consigli della Polizia Postale sul phishing. Non aggiunge nulla che queste pagine non dicano.

Come funziona la truffa

Il Garante descrive lo smishing come phishing tramite SMS e sistemi di messaggistica, compresi quelli dei social media, per appropriarsi di dati personali a fini illeciti, per esempio per sottrarre denaro da conti e carte. Il vishing è il phishing vocale: il truffatore usa il telefono, di solito fingendosi un operatore di una banca o di una società di carte, e parla di presunte anomalie per convincerti a collaborare a false procedure di sicurezza.

Gli schemi ricorrenti, secondo le due pagine, sono questi:

• un link che porta a un modulo online dove inserire dati personali, bancari o della carta;
• un allegato da scaricare, che può contenere programmi malevoli;
• una richiesta di rispondere inviando dati come codice fiscale, PIN, numero e codice di sicurezza della carta o la password temporanea (OTP);
• un numero da richiamare, dove un finto operatore o un sistema automatico chiede informazioni, compresi dati bancari;
• una app da installare, presentata come protezione per conti e carte ma che può funzionare da programma malevolo.

I segnali d'allarme

Il filo comune è la pressione. I truffatori fanno leva sul timore di un rischio incombente per spingerti ad abbassare la guardia. Il Garante suggerisce di diffidare dei messaggi con toni ultimativi o intimidatori e di quelli che spingono ad agire con fretta.

Alcuni esempi di messaggi da valutare con cautela:

• una banca o un gestore di carte che segnala un account compromesso o anomalie da verificare subito;
• offerte di sconti straordinari o ricariche telefoniche a prezzi molto bassi;
• bollette o rate non pagate da saldare con urgenza, pacchi o raccomandate da ritirare;
• amministrazioni pubbliche che chiedono dati o segnalano multe e cartelle da pagare;
• piattaforme social o di messaggistica che segnalano una violazione dell'account e chiedono di fare qualcosa.

Per le chiamate, il Garante aggiunge altri indizi: istituzioni e aziende di solito chiamano da numeri fissi e con prefissi nazionali, quindi numeri anonimi, cellulari o prefissi stranieri sono anomali. Sono sospetti anche gli operatori scortesi o troppo confidenziali. Un numero all'apparenza ordinario, comunque, non basta da solo a considerare la chiamata sicura.

Anche gli errori nel testo possono essere un indizio: il Garante cita errori linguistici, grammaticali o lessicali. Un SMS può inoltre arrivare da numerazioni particolari, per esempio con poche cifre, o da un contatto che il truffatore ha preso sotto controllo, la tecnica chiamata spoofing.

Cosa fare quando ricevi un messaggio sospetto

Le indicazioni delle tre pagine si possono riassumere così:

• Non dare mai dati sensibili a sconosciuti. Il Garante ricorda che PIN, password, codici di accesso e dati della carta non vanno comunicati. Banche e istituzioni non ti chiedono di fornire questi dati per SMS o messaggistica, e non ti chiedono di dare informazioni che di solito ti invitano a tenere riservate.
• Non cliccare e non aprire allegati nei messaggi di sconosciuti.
• Non fidarti del link in una mail che sembra della banca. Secondo la Polizia Postale, se credi che la mail sia autentica devi comunque diffidare del link e collegarti al sito digitando direttamente nel browser l'indirizzo che conosci. In caso di richiesta di dati riservati, ci si può recare di persona presso la banca.
• Controlla l'indirizzo. La Polizia Postale invita a verificare che l'URL sia quello del sito che vuoi visitare e non una copia creata per carpire dati, e a controllare che la trasmissione dei dati avvenga con protocollo cifrato.
• Passa il mouse sul link senza cliccare: in basso a sinistra deve comparire l'indirizzo indicato, non uno diverso.
• Verifica i numeri da richiamare. Se il messaggio chiede di richiamare un numero, controlla che sia quello ufficiale, per esempio sul sito dell'azienda. Per estrema sicurezza puoi rivolgerti al centralino o all'URP.
• Chiedi conferma al contatto reale. Se il messaggio sembra arrivare da un conoscente o da un ente con cui hai rapporti, contattalo su un canale affidabile e chiedi se la richiesta è vera.

Tra i consigli della Polizia Postale c'è anche quello di installare sul computer un filtro anti-spam. Il Garante suggerisce inoltre di non conservare sullo smartphone le credenziali di conti e carte, di controllare spesso i movimenti e di attivare gli avvisi automatici per ogni operazione.

Se hai già risposto o cliccato

Se hai il dubbio di essere stato vittima di phishing e di aver fornito dati bancari o della carta, il Garante consiglia di contattare immediatamente la banca o il gestore della carta attraverso canali di comunicazione conosciuti e affidabili, per segnalare l'accaduto. Se è stato sottratto denaro, puoi chiedere il blocco delle transazioni. Puoi anche segnalare la truffa alle autorità di polizia.

Cosa le fonti non dicono

Le pagine consultate non indicano un numero di telefono, un indirizzo di posta o un modulo specifico per le segnalazioni, né cosa fare se hai già installato un'app o aperto un allegato oltre al contatto con la banca. Non forniscono statistiche. Per questi aspetti conviene consultare direttamente i siti degli enti citati.

L'analisi gratuita di Remove Me

Remove Me offre un'analisi gratuita, senza bisogno di creare un account: inserisci i tuoi dati e il servizio cerca nei risultati web visibili pubblicamente, nelle violazioni di dati note (Have I Been Pwned) e in un registro di data broker, poi mostra un report. Il report si sblocca con un codice a 6 cifre inviato per e-mail. Remove Me non invia ancora richieste di cancellazione per tuo conto.

Il team di Remove Me