Gli attacchi di phishing andati a buon fine possono avere conseguenze devastanti: i truffatori potrebbero rubare la tua identità(nuova finestra), svuotare il tuo conto bancario o colpirti con un ransomware. Se gestisci un’azienda, ciò potrebbe significare anche la perdita di proprietà intellettuale, della fiducia dei clienti e della reputazione.
Nel 2025, l’Internet Crime Complaint Center dell’FBI(nuova finestra) ha ricevuto oltre 1 milione di denunce per crimini informatici, con perdite segnalate che hanno raggiunto quasi 21 miliardi di dollari. Il phishing e lo spoofing sono stati i tipi di reato più comunemente segnalati, con oltre 190.000 denunce in quell’anno.
Con miliardi di email di phishing inviate ogni giorno, il phishing è uno dei modi principali con cui i truffatori online attaccano singoli individui e organizzazioni.
Spieghiamo cos’è il phishing, come funziona e come proteggerti dagli attacchi di phishing.
- Cos’è il phishing?
- Come funziona il phishing?
- Tipi di attacchi di phishing
- Come individuare un’email di phishing
- Tre passaggi per verificare la presenza di phishing
- Come prevenire gli attacchi di phishing
- Proteggi la tua azienda dal phishing
- Proteggiti dal phishing
Cos’è il phishing?
Il phishing è una truffa online in cui i malintenzionati ti inviano un messaggio falso (solitamente via email) per indurti a rivelare informazioni sensibili (come le credenziali di login o i dettagli della carta di credito) o a scaricare un malware(nuova finestra) sul tuo dispositivo.
Il messaggio sembra provenire da una fonte legittima, come una banca, un provider di posta o un servizio popolare come Amazon, Venmo, PayPal o Facebook. Ma l’obiettivo è ingannarti per spingerti a compiere una delle seguenti azioni:
- Inserire i tuoi dettagli personali su un sito web che sembra legittimo, ma che in realtà ruba i tuoi dati
- Cliccare su un link a un sito web dannoso o scaricare un allegato infetto che installa malware sul tuo computer, tablet o telefono
- Rispondere al messaggio per fornire dati personali sensibili via email
Come forma di ingegneria sociale(nuova finestra), i messaggi di phishing spesso creano un senso di urgenza o eccitazione per spingerti a rispondere senza riflettere.
Come funziona il phishing?
In genere, i messaggi di phishing contengono richieste urgenti, minacce o premi che ti chiedono di agire immediatamente. Ad esempio, potrebbero sostenere che il tuo account Amazon è stato “sospeso” e che devi “confermare” i dettagli del tuo account per riattivarlo.
In questa email di phishing, che sembra provenire dal servizio di consegna UPS, ti viene chiesto di fare clic su un link per pagare una “tariffa di consegna” e fornire i tuoi dettagli personali. In caso contrario, non riceverai il tuo “pacco”.
Ma controlla la riga Da dell’email e vedrai che non è autentica. Il nome visualizzato è UPS, ma l’indirizzo email che segue (@bmwsetkani.cz) non ha chiaramente nulla a che fare con UPS. In ogni caso, non hai ordinato alcuna consegna da parte di UPS.
Facendo clic sul link potresti essere reindirizzato a un sito web falso in cui ti viene chiesto di inserire i dettagli della tua carta di credito, il tuo indirizzo di casa o altri dati sensibili. Oppure l’email potrebbe includere un allegato non richiesto che installa automaticamente malware sul tuo dispositivo quando lo scarichi.
Vedi come individuare un’email di phishing di seguito per scoprire altri segnali rivelatori di phishing.
Tipi di attacchi di phishing
I truffatori possono inviare messaggi di phishing tramite SMS, social media o telefonate, ma la maggior parte degli attacchi di phishing avviene via email.
Phishing via email
I malintenzionati inviano email di massa che sembrano provenire da organizzazioni reali per indurti a rivelare informazioni private. In genere, i truffatori mirano a rubare i dati di login dell’account, i dettagli bancari o della carta di credito oppure informazioni di identificazione personale da utilizzare per il furto d’identità(nuova finestra).
Le email di phishing sono solitamente generiche e inviate in blocco come email di spam. Più ne vengono inviate, maggiore è la probabilità di “catturare” qualcuno.
Spear phishing
Le email di spear phishing vengono solitamente inviate a persone specifiche all’interno di un’organizzazione, spesso a coloro che dispongono di diritti di accesso speciali. L’obiettivo è rubare informazioni sensibili come i dati di login o infettare il dispositivo della vittima con malware per raccogliere dati riservati.
I messaggi sono spesso personalizzati e sembrano provenire da un mittente di cui il destinatario si fida, quindi è facile che quest’ultimo abbassi la guardia. Ad esempio, un truffatore che si spaccia per il contabile di un’azienda potrebbe inviare un’email all’assistente del contabile chiedendogli di effettuare un pagamento urgente a un falso fornitore.
Lo spear phishing è uno dei metodi principali di compromissione delle email aziendali (BEC, Business Email Compromise)(nuova finestra).
Whale phishing (whaling)
Come lo spear phishing, il whaling è un attacco personalizzato, ma il bersaglio è il top management, come un CEO. Prendendo di mira i dirigenti di livello C, i truffatori sperano di ottenere informazioni più preziose o l’accesso a conti finanziari.
Come nel caso dello spear phishing, i bersagli possono facilmente cadere vittima perché il messaggio può essere altamente personalizzato e convincente, apparentemente proveniente da qualcuno di cui si fidano.
Vishing e smishing
Il vishing è un tipo di phishing che utilizza telefonate o messaggi vocali fraudolenti. I truffatori, fingendo di appartenere a un’azienda legittima, ti chiamano (tramite una persona reale o una chiamata automatica) e ti chiedono informazioni personali.
Ad esempio, telefonano spacciandosi per il tuo “provider di banda larga” dicendo che c’è un problema con il tuo account. Potrebbero chiederti il nome, il numero di previdenza sociale o i dati della carta di credito per “risolvere il problema”.
Lo smishing è semplicemente un’attività di phishing che utilizza messaggi SMS al posto delle email. Come le email di phishing, il testo può contenere un link dannoso a un sito web falso utilizzato per rubare i tuoi dati personali. Oppure il link potrebbe scaricare malware sul tuo dispositivo.
Angler phishing (social media)
L’angler phishing si verifica quando i truffatori configurano account sui social media fingendosi addetti al servizio clienti di un’azienda. Intercettando il reclamo o la domanda di un cliente sui social media, possono chiedere alla vittima di fornire dettagli personali per “analizzare il problema”.
Un altro metodo consiste nel creare un sito web contraffatto che somigli a una pagina di login di un social media. I truffatori possono anche inviarti email di phishing che sembrano provenire da un social network per chiederti di “aggiornare” o “confermare” i tuoi dettagli personali.
Truffe via email sull’archiviazione cloud
Le truffe via email sull’archiviazione cloud imitano servizi come Google Drive, Dropbox o Microsoft OneDrive con un avviso che ti informa che lo spazio di archiviazione è pieno o sta per scadere. Il messaggio ti invita a fare clic su un link immediatamente per effettuare l’upgrade del tuo piano o verificare il tuo account, altrimenti rischi di perdere i tuoi file.
In genere, facendo clic sul link si viene indirizzati a una pagina di login o di pagamento contraffatta, progettata per rubare le tue credenziali o i dettagli della tua carta di credito. Se hai dei dubbi reali sul tuo spazio di archiviazione, vai direttamente al sito web del servizio digitando l’indirizzo nel browser oppure accedi utilizzando le app ufficiali. Non seguire mai un link presente nell’email.
Come individuare un’email di phishing
Sebbene alcune email di phishing sembrino provenire da una fonte legittima, molte contengono chiari segnali che si tratta di un falso.
Presta attenzione ai seguenti campanelli d’allarme. Se ne individui uno in un messaggio, è molto probabile che si tratti di un tentativo di phishing:
1. Indirizzo del mittente non ufficiale:
Il mittente nel campo Da è security@paypal.com, ma l’indirizzo email seguente è in realtà . L’indirizzo non ufficiale @paypat483576.com invece di @paypal.com è un chiaro segnale che il messaggio è falso.
2. Saluto generico
Mentre le email legittime di solito si rivolgono a te con il tuo nome, come “Ciao Alice” o “Salve Bob Jones”, i truffatori spesso iniziano con un saluto generico come “Gentile Cliente” o “Ciao” seguito dal tuo indirizzo email. Oppure potrebbero non usare affatto un saluto.
3. Richieste urgenti, minacce o premi
Le email di phishing spesso fingono che il tuo account sia stato compromesso. Ti chiedono di agire con urgenza per “verificare” o “confermare” i tuoi dettagli personali, altrimenti il tuo account verrà sospeso o chiuso.
Altri ti segnalano una piacevole sorpresa: un “rimborso fiscale”, una “vincita alla lotteria” o un’“offerta speciale” disponibile solo per un periodo limitato. Oppure, un uomo o una donna bellissimi su un sito per adulti contraffatto ti hanno scelto come partner all’improvviso.
4. Errori grammaticali o di ortografia
I truffatori non sono sempre i migliori scrittori, quindi fai attenzione agli errori. In questo caso si tratta di una semplice lettera maiuscola “We” a metà di una frase, oppure potrebbe trattarsi del nome di un’azienda scritto in modo errato: “Pay-pal” invece di “PayPal”.
5. Link, pulsanti o allegati non richiesti
I messaggi di phishing spesso ti invitano a fare clic su un pulsante o su un link per inserire informazioni personali o effettuare un pagamento. Se utilizzi un computer, passa il mouse sopra il link (senza fare clic!), e vedrai che l’URL (https://www.flyt.it) è diverso dal link (https://www.paypal.com).
Oppure i messaggi possono contenere un allegato, come una fattura falsa, contenente un malware che infetta il tuo computer quando lo scarichi.
Ricorda che alcune email di phishing possono sembrare del tutto normali; l’unico indizio potrebbe essere l’intento sospetto.
Ad esempio, supponi di essere il contabile di un’azienda e che “la tua capa Sally” (un truffatore) ti abbia inviato un’email per chiederti di effettuare un bonifico urgente su un conto bancario sconosciuto. L’email sembra provenire da Sally, ma farebbe davvero una cosa simile? È il suo stile di scrittura? In caso di dubbi, chiamala o inviale un messaggio.
Tre passaggi per verificare la presenza di phishing
Tutti gli elementi sopra indicati sono chiari segnali di phishing, ma non tutte le email truffaldine sono così facili da individuare.
Ecco perché ti consigliamo di seguire questi passaggi quando ricevi un’email con un pulsante, un link, un allegato o una richiesta di dettagli personali, soprattutto se richiede un’azione urgente:
Ricorda che solo i truffatori ti contattano all’improvviso e ti esortano ad agire immediatamente, pena conseguenze negative. E le aziende legittime non ti chiederanno informazioni sensibili via email.
Se ad esempio ti preoccupa un messaggio “urgente” della tua banca, accedi al tuo account o contatta direttamente la banca per verificare. Ma non utilizzare i dettagli di contatto o i link di login presenti nel messaggio.
Come prevenire gli attacchi di phishing
Essere vigili sui segnali di phishing è solo uno dei modi per proteggersi. Ecco come ridurre al minimo il rischio di phishing su tutti i tuoi dispositivi:
1. Proteggi la tua email
Usa un provider di posta sicuro dotato di un filtro spam intelligente, come Proton Mail. Proton Mail sposta automaticamente lo spam nella cartella dello spam ed è dotato della protezione avanzata dal phishing PhishGuard, che segnala i potenziali attacchi di phishing.
Inoltre, ti consentiamo di segnalare facilmente il phishing sulle app web e mobili di Proton Mail.
2. Fai attenzione a link e allegati
Non fare clic sui link e non scaricare allegati da email, SMS o social media inviati da mittenti sconosciuti.
Se utilizzi un computer, puoi passare il mouse sopra un link (senza fare clic!) per verificare l’URL di destinazione. In questa falsa email di phishing di UPS, l’URL (https://zpr.io/xxx) non ha chiaramente nulla a che fare con UPS.
Con Proton Mail, puoi utilizzare la conferma dei link per verificare che i link contenuti nelle email siano autentici, come questo di eBay UK (ebay.co.uk).
3. Non rispondere allo spam
Non aprire i messaggi di spam e non rispondere in alcun modo. Rispondendo alle email di spam o agli SMS (ad esempio, facendo clic su annulla iscrizione o inviando un SMS con scritto STOP), farai solo sapere agli spammer che il tuo indirizzo email o il tuo numero di telefono sono attivi. Eliminali.
Aprire le email può anche consentire ai tracker delle email di tracciarti sul web. Ottieni Proton Mail con la protezione avanzata dal tracciamento per bloccare i tracker.
4. Installa un software antivirus
I software antivirus o di sicurezza internet possono includere filtri spam per bloccare potenziali email di phishing e molti abbonamenti coprono sia computer desktop che dispositivi mobili. Assicurati che provengano da un marchio affidabile e che siano aggiornati con le ultime definizioni di virus e malware.
Se fai accidentalmente clic su un link di phishing e scarichi un malware, il tuo software di sicurezza potrebbe rilevarlo e disattivarlo.
5. Mantieni aggiornati i tuoi dispositivi
Mantieni i sistemi operativi, i browser, i plug-in del browser e le altre app del tuo computer o telefono aggiornati alle ultime versioni con le patch di sicurezza.
Questo può proteggerti dal phishing che sfrutta le vulnerabilità del sistema operativo.
6. Usa password robuste e la 2FA
Assicurati di usare password robuste e uniche su tutti i tuoi account online. Ti consigliamo di usare un buon gestore di password open-source che ti aiuti a creare e ricordare password robuste.
E attiva l’autenticazione a due fattori (2FA) ovunque tu possa. In questo modo, se i tuoi nomi utente o le tue password dovessero mai essere rivelati tramite phishing, i truffatori non potranno accedere ai tuoi account.
7. Esegui il backup dei tuoi dati
Esegui backup regolari dei tuoi dati, inclusi i backup offline. In questo modo potrai sempre ripristinare i tuoi dati se il tuo dispositivo viene infettato da un ransomware o da un altro malware che causa la perdita di dati.
Proteggi la tua azienda dal phishing
Nel 2022, le aziende negli Stati Uniti hanno perso oltre 2,7 miliardi di dollari a causa della compromissione delle email aziendali(nuova finestra). Tra le aziende del Regno Unito che hanno segnalato un attacco informatico nello stesso anno, l’83% ha dichiarato che si trattava di un attacco di phishing(nuova finestra).
Se cadi vittima di un attacco di phishing, potresti subire una violazione dei dati o un attacco ransomware. Oltre alla perdita economica e di dati, questo potrebbe danneggiare il tuo marchio e la fiducia dei clienti.
Quindi, se gestisci un’azienda, adottare misure contro il phishing è fondamentale per la tua sicurezza informatica. Ecco come ridurre al minimo il rischio di phishing per la tua azienda:
Attiva i filtri per spam e phishing
Assicurati di attivare i filtri per spam e phishing nel tuo software per le email e la sicurezza internet.
Registrati a Proton for Business e otterrai Proton Mail con il filtraggio automatico dello spam e la protezione avanzata contro il phishing PhishGuard attivati per impostazione predefinita. Proton Mail include anche l’anti-spoofing per i domini personalizzati per impedire ai truffatori di utilizzare il dominio della tua azienda per attacchi di spam o phishing.
Forma il tuo team
Organizza regolari corsi di formazione sulla consapevolezza del phishing con i tuoi dipendenti in modo che sappiano come individuarlo. Se disponi di risorse IT, puoi inviare loro email di phishing simulate per offrire un’esperienza pratica. Rendi semplice per loro segnalare il phishing sospetto.
Imponi password robuste e la 2FA
Assicurati che i tuoi sistemi IT impongano l’uso di password robuste e della 2FA su tutti i dispositivi del tuo team. Se i dettagli di login di qualcuno del tuo team dovessero essere rivelati tramite phishing, la 2FA ti offrirà un’ulteriore linea di difesa.
Usa un antivirus aziendale
Se il tuo team è composto da più di un paio di persone, valuta l’acquisto di un software di cybersecurity aziendale. Le soluzioni antivirus aziendali includono il monitoraggio delle minacce in tempo reale incentrato sulla sicurezza degli endpoint(nuova finestra) per intere reti, non solo per i singoli dispositivi.
Proteggi i dati critici
Crittografa i dati della tua azienda per proteggerti. Valuta Proton for Business, che protegge la tua email, il tuo calendario e l’archiviazione online con la crittografia end-to-end. Nessuno tranne te e le persone che autorizzi può accedere ai tuoi dati, anche se i tuoi file dovessero essere esposti in una violazione dei dati.
Esegui il backup dei tuoi dati
Esegui backup regolari delle informazioni critiche della tua azienda, inclusi i backup offline. In questo modo, se un attacco di phishing andato a buon fine dovesse causare una perdita di dati, potrai sempre recuperare le tue informazioni.
Proteggiti dal phishing
Dallo spam di massa al whaling mirato, il phishing rimane uno dei modi principali in cui i truffatori compiono frodi online, e siamo tutti potenziali bersagli.
Poiché il phishing si basa sull’errore umano, la vigilanza è la difesa migliore. Se ricevi un messaggio che presenta segni di phishing, non aprirlo e non rispondere. Eliminalo.
Ma siamo tutti umani e persino gli esperti di sicurezza IT più qualificati possono cadere vittima del phishing a volte. Ecco perché devi adottare misure per ridurre il rischio.
Abbiamo progettato Proton Mail per offrirti la migliore protezione contro il phishing, tra cui:
- La protezione avanzata dal phishing di PhishGuard per segnalare potenziali attacchi
- Il rilevamento intelligente dello spam e i filtri personalizzati per filtrare automaticamente lo spam
- La conferma dei link per consentirti di controllare i link prima di aprirli
- Gli avvisi di autenticazione del dominio per segnalare possibili indirizzi contraffatti e l’anti-spoofing per i domini personalizzati per proteggere il tuo dominio dallo spoofing
- La verifica dell’indirizzo per verificare i mittenti nelle email crittografate end-to-end
- Gli alias per nascondere il tuo indirizzo personale da potenziali truffatori
- Il nostro badge Ufficiale per consentirti di identificare facilmente quali email provengono da Proton
Quindi fai attenzione ai messaggi sospetti, ottieni Proton Mail e rimani al sicuro!
