Phishing

Il phishing è un attacco di ingegneria sociale che cerca di indurre le vittime a divulgare informazioni personali, finanziarie o di sicurezza. Un tentativo di phishing consiste in un messaggio di posta elettronica che sembra provenire da un'azienda (come Microsoft, PayPal o un istituto bancario) e chiede alla vittima di aggiornare o verificare le informazioni personali sul sito web dell'azienda. Tuttavia, un collegamento contenuto nel messaggio di posta elettronica porta in realtà la vittima a un sito web fraudolento che imita quello legittimo. Quando la vittima inserisce il proprio nome utente, la propria password, il numero della carta di credito o altre informazioni personali in un modulo sul sito web, queste informazioni vengono inviate ai truffatori che lo gestiscono.

I truffatori possono usare gli attacchi di phishing per diversi scopi. Spesso cercano le informazioni finanziarie della vittima, come il numero della carta di credito o i dati del conto bancario. Potrebbero anche voler assumere il controllo dell'account della vittima su un sito web specifico. Ad esempio, rubando le credenziali di accesso alla posta elettronica di una vittima, possono accedere alla sua posta in arrivo per trovare altre informazioni personali o inviare messaggi fingendosi la vittima per truffare altre persone. I truffatori potrebbero anche voler ottenere il nome utente e la password della vittima da un sito web per provare la stessa combinazione altrove. Gli attacchi di phishing mirati, chiamati spear phishing, cercano di ingannare dipendenti specifici inducendoli a inviare credenziali che consentono agli aggressori di accedere alla rete interna di un'azienda.

Identificare un tentativo di phishing

Sebbene molti messaggi di phishing sembrino convincenti, ci sono alcuni segnali comuni a cui prestare attenzione. Puoi controllare il campo Da del messaggio per vedere il dominio da cui è stata inviata la posta elettronica. Puoi anche esaminare i collegamenti ipertestuali per vedere dove portano: spesso questi collegamenti assomigliano all'URL effettivo dell'azienda, ma includono un errore di ortografia sottile o un sottodominio ingannevole (ad esempio, http://www.microsoft.login-info.com). I collegamenti possono anche puntare direttamente a un indirizzo IP invece che a un nome di dominio. Il contenuto del messaggio di posta elettronica può contenere errori di ortografia e grammaticali e spesso viene scritto con un senso di urgenza per indurti ad agire rapidamente e senza riflettere.

Se hai dubbi sulla legittimità di un messaggio di posta elettronica, non seguire i collegamenti e non inserire informazioni personali. Invece, puoi digitare direttamente l'URL corretto del sito web ed effettuare l'accesso come faresti normalmente, per verificare se il sistema ti chiede di aggiornare le tue informazioni. Infine, non dovresti riutilizzare la stessa combinazione di nome utente e password su più siti web. Se cadi vittima di un attacco di phishing, questo impedisce ai truffatori di accedere agli altri tuoi account.