Il phishing consiste nell’inviare messaggi che sembrano provenire da fonti affidabili, come banche, fornitori, corrieri o colleghi, per indurre il destinatario a cliccare un collegamento, inserire credenziali, aprire un allegato o fare un pagamento. Le piccole aziende sono bersagli frequenti perché spesso hanno meno controlli e più persone che gestiscono pagamenti e posta.
Gli schemi più diffusi
- Fattura con IBAN modificato: un messaggio da un fornitore reale, o che sembra tale, comunica un cambio di coordinate bancarie.
- Falso dirigente: un’e-mail che sembra del titolare chiede un bonifico urgente e riservato.
- Falsi corrieri: avvisi di spedizione in giacenza con collegamenti a siti truffa.
- Credenziali: falsi avvisi di caselle piene o account bloccati che chiedono di accedere.
- Allegati infetti: documenti che, una volta aperti, installano programmi dannosi.
I segnali di allarme
- Urgenza e pressione: “entro oggi”, “riservato”, “non parlarne con nessuno”.
- Indirizzo del mittente leggermente diverso da quello abituale.
- Richieste insolite rispetto alla prassi.
- Collegamenti che portano a indirizzi diversi da quello dichiarato.
- Allegati inattesi, soprattutto con estensioni insolite o archivi compressi.
Qualsiasi richiesta di modificare coordinate bancarie va confermata chiamando il fornitore a un numero già noto, non a quello indicato nel messaggio. È la regola più efficace contro una delle truffe più costose.
Le misure tecniche
- Autenticazione a due fattori sulla posta e sui servizi principali.
- Configurazione SPF, DKIM e DMARC del proprio dominio, che rende più difficile usarlo per inviare messaggi falsi.
- Filtri antispam e antivirus aggiornati.
- Aggiornamenti regolari di sistemi e programmi.
- Backup separati per riprendersi da un attacco.
Le persone al centro
La tecnologia aiuta, ma la difesa principale sono le persone. Una breve formazione periodica, esempi reali di messaggi truffa, la libertà di chiedere conferma senza sentirsi in imbarazzo, procedure chiare per i pagamenti: sono misure poco costose ed efficaci.
Se qualcuno cade nella trappola
Serve agire subito: cambiare le password compromesse, avvisare la banca se è stato fatto un pagamento, informare i colleghi e, se necessario, i clienti. Se sono coinvolti dati personali, valutare gli obblighi di notifica. Più è rapida la reazione, più si limitano i danni. Segnalare l’accaduto senza colpevolizzare incoraggia le persone a parlare subito.
Un esempio
L’amministrazione di un’azienda di componenti meccanici ha ricevuto da un fornitore abituale un’e-mail con un nuovo IBAN e una fattura corretta in ogni dettaglio. Per la regola interna, l’impiegata ha chiamato il fornitore: la sua casella era stata violata. Una telefonata di due minuti ha evitato un bonifico di diverse migliaia di euro.
Domande frequenti
L’antivirus basta?
No, molte truffe non usano virus ma inganno. Servono anche procedure e attenzione.
Come verificare un collegamento?
Passando il mouse sopra senza cliccare, o digitando direttamente l’indirizzo del sito noto.
A chi segnalare un tentativo?
Al responsabile interno, al servizio imitato e, in caso di danno, alle autorità competenti.
I siti CMXD WebStart vengono configurati con dominio e moduli protetti; procedure e controlli sui pagamenti possono essere automatizzati con CMXD SmartFlow. Contattaci.
