Che cosa sono il phishing e lo smishing
Il phishing è una truffa informatica basata sull’ingegneria sociale (social engineering), ovvero lo studio e lo sfruttamento del comportamento umano. Secondo le definizioni dell’Agenzia per l’Italia Digitale (CERT-AgID) e del Garante per la protezione dei dati personali, i truffatori inviano e-mail o messaggi di testo (pratica nota come smishing) simulando comunicazioni veritiere e familiari per indurre la vittima a compiere azioni dannose o a rivelare dati riservati.
I segnali per riconoscere un messaggio falso
Come evidenziato dal Garante Privacy e dal CERT-AgID, i messaggi ingannevoli tendono a fare leva sull’urgenza o su proposte allettanti per spingere le persone a reagire d’impulso. È importante prestare attenzione ad alcuni elementi tipici:
- Toni intimidatori o di fretta: avvisi urgenti su presunti blocchi del conto corrente, della carta di credito, scadenze imminenti di password, o notifiche di multe e rate non pagate.
- Promesse e offerte irrealistiche: proposte di lavoro che chiedono dati bancari, sconti eccezionali o ricariche a prezzi bassissimi.
- Anomalie nei mittenti e nel testo: messaggi inviati da numeri corti o sconosciuti, o testi che presentano errori di grammatica e sintassi. Si ricorda che i malintenzionati possono sferrare attacchi di spoofing, ovvero falsificare l’identità o il numero di mittenti noti o conoscenti.
- Richiesta di dati riservati: e-mail o SMS che invitano a inserire PIN, password o codici OTP (le credenziali temporanee di sicurezza) tramite link o chiamate. Le banche e le istituzioni ufficiali non richiedono mai tali informazioni via e-mail o messaggistica.
Come difendere i propri dispositivi e i propri dati
Per limitare i rischi di intrusione e la sottrazione di informazioni, il CERT-AgID e il Garante suggeriscono alcune buone pratiche di prevenzione:
- Non salvare mai PIN, password o codici bancari all’interno dello smartphone.
- Non aprire allegati né cliccare su collegamenti presenti in messaggi di mittenti incerti, poiché potrebbero installare programmi malevoli (malware) capaci di prendere il controllo del dispositivo.
- Se si naviga su un sito web, verificare che la connessione impieghi il protocollo HTTPS e che l’indirizzo (dominio) mostrato sia esattamente quello ufficiale dell’ente.
- Impiegare password robuste, cambiarle con frequenza e non riutilizzare mai la stessa parola chiave per servizi diversi.
- Installare un programma antivirus aggiornato sul computer e fare affidamento sui filtri antispam della propria casella di posta.
- Attivare i servizi di avviso automatico (alert) per verificare costantemente i movimenti del proprio conto o della carta.
Cosa fare se si è cascati nella truffa
Nel caso in cui si siano inserite le proprie credenziali su un sito falso o si siano condivisi dati sensibili, è opportuno agire tempestivamente seguendo questi passi:
- Cambiare immediatamente la password sul portale ufficiale del servizio coinvolto.
- Avvisare l’amministratore o il gestore del sito ufficiale dell’accaduto.
- Contattare subito la propria banca o l’istituto di credito attraverso i canali ufficiali e conosciuti per segnalare la truffa e chiedere l’attivazione delle misure di protezione o il blocco delle transazioni.
- Segnalare l’evento alle autorità di polizia in caso di furto di denaro o sottrarzione di dati.