Riconoscere le e-mail di phishing: esempi dalla Svizzera e cosa fare in caso di clic

Un’e-mail di phishing si riconosce soprattutto da tre elementi: l’indirizzo del mittente non corrisponde al presunto mittente, il link porta a un dominio estraneo e le si chiede, sotto pressione, di pagare qualcosa o di inserire dati di accesso. La regola più sicura è: non agire tramite il link dell’e-mail, ma aprire da sé l’app o il sito del fornitore. Ciò che lì non compare è con ogni probabilità falso.

Truffe di phishing tipiche in Svizzera

I truffatori si spacciano volentieri per mittenti con cui si ha comunque a che fare regolarmente. In Svizzera ricorrono soprattutto questi schemi:

Posta, pacchi e tasse doganali

Un pacco sarebbe stato trattenuto, la consegna non sarebbe riuscita o ci sarebbero ancora tasse doganali o di deposito da pagare, spesso pochi franchi. Il link porta a una pagina copiata che sottrae i dati della carta. Secondo la Posta, non vengono mai chiesti via SMS o e-mail password, codici di sicurezza o dati completi della carta di credito.

Banca e carta di credito

Il suo conto starebbe per essere bloccato, un pagamento andrebbe confermato o i suoi dati aggiornati. Spesso segue una telefonata in cui qualcuno si spaccia per un impiegato di banca in una lingua impeccabile. Nessuna banca chiede password o la conferma dei dati della carta via e-mail. Apra l’e-banking solo tramite l’app o un indirizzo digitato da lei.

Rinnovo del dominio e servizi di iscrizione

I titolari di domini ricevono e-mail o lettere che sembrano una fattura di rinnovo: il suo dominio .ch starebbe per scadere e sarebbero dovute diverse centinaia di franchi per la registrazione o un «servizio di iscrizione», da pagare su un conto estero. Le polizie cantonali mettono regolarmente in guardia da queste presunte fatture per domini. Rinnovi il dominio solo presso il registrar presso cui è registrato; glielo mostra qualsiasi ricerca WHOIS.

Fattura di hosting e casella piena

Un pagamento non sarebbe andato a buon fine e il suo sito verrebbe sospeso, oppure la sua casella e-mail sarebbe piena e alcuni messaggi trattenuti. Il link porta a una falsa pagina di accesso al webmail o all’area clienti. Verifichi sempre le fatture aperte direttamente nell’area clienti del suo provider.

Verificare il mittente

Il nome visualizzato di un’e-mail può essere scelto liberamente. Conta l’indirizzo dietro, soprattutto il dominio dopo la @. Tocchi o clicchi sul nome per vedere l’indirizzo completo.

• Dominio estraneo: il nome dice «La Posta», ma l’indirizzo termina con @consegna-pacchi.info o @gmail.com.
• Dominio simile: caratteri scambiati o aggiunti come p0st.ch, post-ch.com o sicurezza-sua-banca.ch.
• Indirizzo di risposta diverso: le risposte vanno a un indirizzo diverso da quello del mittente.
• Saluto impersonale come «Gentile cliente», benché il vero fornitore conosca il suo nome.

Se vuole approfondire, apra le intestazioni dell’e-mail (in molti programmi «Mostra originale» o «Sorgente»). Alla voce «Authentication-Results» vede se SPF, DKIM e DMARC sono stati superati. Un «fail» su un’e-mail che dice di venire dalla sua banca è un chiaro campanello d’allarme. Al contrario, un «pass» significa solo che l’e-mail proviene davvero dal dominio indicato, non che quel dominio sia affidabile.

Verificare i link senza cliccare

Al computer passi il mouse sul link e attenda che in fondo alla finestra compaia l’indirizzo di destinazione. Sullo smartphone tenga premuto il link finché appare l’anteprima. Legga poi il dominio da destra a sinistra, partendo dalla prima barra semplice:

Attenzione anche ai codici QR in e-mail o lettere: nascondono l’indirizzo allo stesso modo. E un lucchetto nella barra degli indirizzi significa solo che la connessione è cifrata. Anche i siti di phishing usano HTTPS.

Consiglio: Crei dei segnalibri per banca, Posta, imposte e provider di hosting, oppure usi le app ufficiali. Così non dovrà mai seguire un link ricevuto per e-mail.

Altri segnali d’allarme

• Urgenza: «entro 24 ore», «ultimo sollecito», «il suo conto verrà cancellato».
• Allegati inattesi, soprattutto file ZIP, HTML o Office con macro.
• Importo o numero di fattura che non corrispondono a nessuna fattura nel suo conto cliente.
• Richiesta di cambiare coordinate bancarie o di pagare su un nuovo IBAN.
• Errori di ortografia, lingue mescolate o un orario di invio insolito.

Ha cliccato o inserito dati: e adesso?

Se ha solo cliccato sul link senza inserire né scaricare nulla, di solito non c’è alcun danno. Chiuda la pagina. Se ha inserito dati o aperto un allegato, agisca subito:

1. Cambiare la password dell’account interessato e ovunque usi la stessa password. Se riguarda il suo account e-mail, cambi anche le password dei servizi collegati a quell’indirizzo.
2. Se ha inserito dati della carta o bancari, chiamare subito la banca o l’emittente della carta e far bloccare la carta.
3. Attivare l’autenticazione a due fattori dove manca ancora.
4. Cercare nell’account e-mail inoltri e regole di filtro sconosciuti ed eliminarli.
5. Se ha aperto un allegato o installato un programma, scollegare il dispositivo dalla rete e farlo controllare. Se è stato installato un programma di accesso remoto, disinstallarlo.
6. In caso di danno finanziario sporgere denuncia alla polizia, ad esempio tramite Suisse ePolice o presso un posto di polizia.

Segnalare il phishing

Le segnalazioni aiutano a bloccare più rapidamente i siti falsi. L’Ufficio federale della cibersicurezza (UFCS), chiamato fino alla fine del 2023 Centro nazionale per la cibersicurezza (NCSC), gestisce a questo scopo il sito antiphishing.ch:

• Inoltrare le e-mail di phishing senza commento a reports@antiphishing.ch. La casella viene elaborata automaticamente, non riceverà risposta.
• Segnalare i siti di phishing tramite il modulo su antiphishing.ch.
• Chi desidera una risposta o vuole segnalare un altro incidente usa il modulo di segnalazione dell’UFCS.
• Informare anche l’azienda a nome della quale è stata inviata l’e-mail. Molte hanno un proprio indirizzo per le segnalazioni.

Dopodiché può eliminare l’e-mail. Non risponda mai a un’e-mail di phishing: confermerebbe solo che il suo indirizzo è attivo.

Per le aziende: SPF, DKIM e DMARC

Il phishing non prende di mira solo i suoi collaboratori. I truffatori inviano anche e-mail a nome della sua azienda, per esempio false fatture ai suoi clienti. Contro questo aiutano tre record DNS del suo dominio:

• SPF stabilisce quali server possono inviare e-mail per il suo dominio.
• DKIM firma le e-mail in uscita, così i destinatari possono verificare che provengono da lei senza modifiche.
• DMARC indica ai server riceventi cosa fare con le e-mail che non hanno né SPF né DKIM validi e allineati con il dominio del mittente: solo osservare (none), spostare nello spam (quarantine) o rifiutare (reject).

Solo con DMARC su quarantine o reject diventa difficile per i truffatori recapitare e-mail con esattamente il suo dominio mittente. I record non aiutano contro falsi con domini simili come la-sua-ditta-ch.com. Per questo una buona protezione comprende anche alcune regole organizzative: confermare sempre per telefono, a un numero noto, le modifiche di coordinate bancarie, autorizzare i pagamenti secondo il principio dei quattro occhi e informare regolarmente il personale sulle truffe attuali. Nella nostra guida su SPF, DKIM e DMARC mostriamo passo dopo passo come configurare i record.

Consiglio: Inizi con DMARC p=none e un indirizzo per i rapporti. I rapporti mostrano quali servizi inviano a suo nome. Solo quando tutti i mittenti legittimi sono configurati correttamente passi a quarantine e poi a reject.

Con i pacchetti e-mail di HostOn DKIM, SPF e DMARC sono già predisposti, e i messaggi in arrivo vengono controllati da Rspamd contro lo spam e da ClamAV contro i virus. Come riconoscere i veri messaggi di HostOn lo spieghiamo nella nostra pagina sugli avvisi di phishing.