Riconoscere il phishing

Nell'indirizzo example.com.account-check.example, il sito che possiede davvero la pagina è account-check.example; l'example.com all'inizio è solo un'etichetta scelta dal proprietario.

Un SMS sul pacco che il corriere non ha mai mandato

Ecco un SMS inventato di un tipo che conosci: «Non è stato possibile consegnare il tuo pacco perché l'indirizzo è incompleto. Aggiornalo entro 24 ore», seguito da un link breve. Se stai aspettando una consegna, il pollice è già sul link. Questo è phishing: un messaggio fatto per farti aprire un allegato dannoso, cliccare un link verso un sito falso o consegnare dati personali o finanziari. Arriva per email, per SMS (spesso chiamato smishing), tramite app di messaggistica e per telefono.

I segnali in quel breve SMS

La CISA elenca i segnali più comuni, e l'SMS del pacco ne ha quasi tutti. Un linguaggio urgente o emotivo, con la minaccia di guai se non agisci subito. Una richiesta di dati personali o finanziari. Un link abbreviato di cui non fidarsi. Un indirizzo del mittente o un link leggermente sbagliato, con una lettera scambiata o una parola in più. Un vecchio segnale però non funziona più. Una volta il phishing si riconosceva facilmente dagli errori di ortografia e di grammatica, ma la CISA fa notare che nell'era dell'IA alcuni messaggi hanno ormai grammatica e ortografia perfette. Quindi guarda che cosa il messaggio vuole farti fare, non quanto è scritto bene. Un conto bancario «bloccato per la tua sicurezza», un premio di un concorso a cui non hai mai partecipato, un familiare con un numero nuovo che ha bisogno di soldi oggi: ognuno ti spinge ad agire prima di pensare.

Leggere un link da destra

Prima di toccare un link, guarda il nome host: la parte dopo https:// e prima della prima barra singola. Leggilo da destra. Le ultime due parti (o tre, per indirizzi come .co.kr) indicano l'organizzazione che lo controlla, e tutto ciò che sta alla loro sinistra è un'etichetta scelta da quell'organizzazione. Quindi login.example.com appartiene a example.com, ma example.com.account-check.example appartiene a account-check.example. Sul telefono, tieni premuto un link per vedere l'indirizzo completo senza aprirlo. Anche qui le passkey aiutano, perché semplicemente non funzionano su un sito che non è quello vero. (Tutti gli indirizzi di questa pagina usano nomi riservati agli esempi, come example.com e la terminazione .example, quindi nessuno di essi è un sito reale.)

Controlla per un'altra strada, poi segnala

La CISA dà tre consigli: riconosci, resisti ed elimina, e i segnali qui sopra sono il primo. Resistere significa non cliccare link e non aprire allegati in un messaggio di cui non sei sicuro, e non rispondere, nemmeno a un link per «annullare l'iscrizione». Se il messaggio dice di venire da un'azienda che usi, apri la sua app o digita tu il suo indirizzo e controlla lì. Se dice di venire da qualcuno che conosci, chiamalo al numero che hai già. Poi elimina il messaggio, dopo averlo segnalato con l'opzione «segnala spam» o «segnala phishing» della tua email o della tua app di messaggistica. In Corea la KISA gestisce una linea gratuita, il 118, per problemi di hacking, spam e dati personali; il suo menu collega anche alla polizia le segnalazioni di voice phishing e smishing. Il sito Boho Nara della KISA (boho.or.kr) offre un servizio per controllare gli SMS sospetti.

Le telefonate seguono lo stesso schema. Chi chiama dice di essere della tua banca, di un corriere, della polizia o di una procura, ti dice che il tuo conto è coinvolto in un reato e ti chiede di spostare denaro, installare un'app o leggere un codice. Le istituzioni vere non lo chiedono per telefono. Riattacca, cerca tu il numero ufficiale e richiama. Non installare mai un'app o un programma di controllo remoto perché te l'ha detto qualcuno al telefono.