Come riconoscere un'email di phishing bancario
Che cos'è il phishing bancario
Il phishing bancario è una tecnica di ingegneria sociale in cui un attore malevolo invia comunicazioni contraffatte — nella maggior parte dei casi email — fingendo di essere un istituto finanziario legittimo. L'obiettivo è convincere il destinatario a fornire credenziali di accesso, dati di carte di pagamento o codici di autenticazione.
La parola "phishing" richiama il verbo inglese "fishing" (pescare): il truffatore lancia esca digitale sperando che qualcuno abbocchi. Rispetto ad altri vettori di attacco informatico, il phishing si basa sul comportamento umano piuttosto che su vulnerabilità tecniche, il che lo rende persistente anche in presenza di sistemi di sicurezza avanzati.
Nel contesto bancario italiano, le campagne di phishing colpiscono con frequenza utenti di istituti di credito, servizi di pagamento digitale e piattaforme di home banking. I messaggi imitano graficamente le comunicazioni ufficiali delle banche, riproducendo loghi, colori e formati.
Segnali di allarme nelle email
Riconoscere un'email di phishing bancario richiede attenzione a diversi elementi, alcuni evidenti e altri più sottili.
Il dominio del mittente
Il campo "Da:" di un'email mostra il nome visualizzato, che può essere falsificato facilmente. Ciò che conta è l'indirizzo email effettivo. Un messaggio apparentemente proveniente da "Servizio Clienti Banca" potrebbe nascondere un indirizzo come [email protected] o [email protected]. Le variazioni tipiche includono:
- Sostituzione di lettere con numeri o caratteri simili (es. "0" al posto di "o")
- Aggiunta di parole come "sicuro", "verifica", "aggiornamento" prima del dominio reale
- Utilizzo di sottodomini per dare l'impressione di legittimità (es. banca.it.verifica-accesso.com)
- Domini con estensioni diverse da quelle ufficiali dell'istituto
Il contenuto del messaggio
I messaggi di phishing seguono schemi ricorrenti che si possono imparare a riconoscere:
- Urgenza artificiale: "Il tuo conto sarà bloccato nelle prossime 24 ore", "Azione richiesta immediatamente"
- Richiesta di credenziali: nessun istituto bancario legittimo chiede password, PIN o codici OTP via email
- Link a siti esterni: il testo del link mostra un URL plausibile ma il link effettivo porta altrove
- Allegati non attesi: file PDF, Word o archivi compressi inviati senza richiesta precedente
- Errori grammaticali o stilistici: pur essendo diminuiti con l'uso di strumenti automatici di traduzione, rimangono un indicatore
Come verificare un link prima di cliccare
Passando il cursore su un link (senza cliccare) si può vedere l'URL di destinazione nella barra inferiore del browser o del client email. Su dispositivi mobili è possibile tenere premuto il link per visualizzare l'anteprima. L'URL reale deve corrispondere al dominio ufficiale dell'istituto senza prefissi o suffissi aggiuntivi.
Smishing e vishing
Il phishing non si limita alle email. Due varianti rilevanti nel contesto bancario italiano sono lo smishing e il vishing.
Smishing (phishing via SMS)
Lo smishing utilizza messaggi SMS che simulano comunicazioni bancarie urgenti. Gli SMS hanno un tasso di apertura molto elevato e vengono spesso percepiti come più affidabili delle email. I messaggi tipici segnalano transazioni sospette, blocchi del conto o necessità di verifica immediata, accompagnati da un link abbreviato che reindirizza a pagine contraffatte.
Un aspetto tecnico rilevante: in Italia i truffatori utilizzano frequentemente numeri di telefono che nelle notifiche di sistema appaiono nella stessa conversazione di messaggi legittimi della banca, sfruttando una vulnerabilità del sistema SMS che consente di falsificare l'identità del mittente (sender ID spoofing).
Vishing (phishing via telefono)
Nel vishing, il truffatore chiama telefonicamente fingendo di essere un operatore del servizio antifrode della banca. La chiamata inizia spesso segnalando una transazione sospetta che richiede verifica immediata. Per guadagnarsi fiducia, l'operatore fittizio può già conoscere alcuni dati dell'utente ottenuti in precedenza (numero di conto, ultime quattro cifre della carta). La richiesta finale riguarda generalmente un codice OTP, un PIN temporaneo o l'autorizzazione di una transazione.
La differenza rispetto a una chiamata legittima è che il personale bancario reale non chiede mai codici di autenticazione durante una telefonata in entrata.
Tecniche avanzate dei truffatori
Le campagne di phishing più sofisticate utilizzano metodi che aumentano significativamente la loro credibilità.
Spear phishing
A differenza del phishing di massa, lo spear phishing è personalizzato: il messaggio include il nome del destinatario, riferimenti a transazioni reali o dati specifici raccolti in precedenza da violazioni di dati pubbliche o social network. La personalizzazione riduce il senso di allarme e aumenta la probabilità che l'utente interagisca con il messaggio.
Clonazione di siti bancari
I siti di phishing moderni replicano con precisione millimetrica le interfacce bancarie ufficiali, inclusi certificati HTTPS validi (il lucchetto nel browser non garantisce l'autenticità del sito, ma solo la crittografia della connessione). Alcuni siti contraffatti agiscono da proxy in tempo reale, trasmettendo le credenziali inserite alla banca reale e poi all'attaccante simultaneamente.
Bypass dell'autenticazione a due fattori
Le tecniche di phishing più recenti tentano di aggirare anche l'autenticazione a due fattori: dopo aver raccolto le credenziali su un sito proxy, il truffatore le utilizza immediatamente sulla piattaforma reale, generando un codice OTP che viene poi richiesto all'utente sul sito contraffatto nello stesso momento.
Cosa fare con un messaggio sospetto
Di fronte a una comunicazione bancaria che sembra sospetta, i passi da seguire sono chiari e sequenziali.
- Non cliccare su nessun link e non aprire allegati presenti nel messaggio
- Non rispondere al messaggio, nemmeno per chiedere spiegazioni
- Contattare la banca direttamente, utilizzando il numero riportato sul retro della carta o sul sito ufficiale (digitando manualmente l'URL nel browser)
- Segnalare il messaggio alla banca tramite i canali ufficiali di segnalazione frodi
- Segnalarlo alla Polizia Postale italiana tramite il portale ufficiale commissariatodips.it
- Se si ritiene di aver già inserito dati su un sito contraffatto, cambiare immediatamente le credenziali e contattare la banca per bloccare eventuali transazioni