Dopo questa formazione riconoscerai un tentativo di frode tramite e-mail, SMS, messaggistica istantanea e conversazione telefonica e, se qualcosa va storto, saprai cosa fare nei primi minuti.
L'attaccante non deve creare un messaggio perfetto. Basta un momento di fretta, routine o curiosità. Il tuo compito non è diventare un detective. Devi interrompere la macchina e controllare la richiesta attraverso un canale sicuro.
Il phishing non è un test di ortografia. Un buon messaggio di truffa può sembrare privo di errori, conoscere il contesto dell'azienda e provenire da un account reale compromesso.
"Fino alle 14", "il conto verrà chiuso", "il presidente aspetta".
Il capo, la banca, le risorse umane, l'amministratore o un noto appaltatore.
Paura, opportunità, curiosità, aiutare qualcuno o voler evitare problemi.
"Questo messaggio sta cercando di indurmi ad agire più velocemente di quanto farei normalmente per prendere questa decisione?"
La lettera "l" invece della "i", la nota "support" o il vero nome prima di un dominio straniero dovrebbero sembrare familiari.
Nell'indirizzo conta la parte immediatamente prima della fine, ad es. esempio.com. Il lucchetto significa crittografia, non integrità del sito.
Il numero della fattura, il nome del capo e il piè di pagina dell'azienda possono provenire da corrispondenza precedente.
Invece di un collegamento, apri un'applicazione familiare, un segnalibro o un indirizzo inserito manualmente.
La forma breve nasconde i dettagli. Un numero sconosciuto può utilizzare il nome di un supervisore e una foto presa da Internet.
Il numero sullo schermo può essere falsificato. Un vero dipartimento IT non ha bisogno della tua password o del codice MFA.
Il QR è un collegamento che non può essere visto finché non viene scansionato. Anche il poster in ufficio può essere modificato.
L'account del tuo amico potrebbe essere stato preso. Giudica una richiesta insolita dall'azione a cui porta, non solo dalla persona sullo schermo.
Il messaggio promette un documento → un allegato o un collegamento HTML apre una pagina di accesso → la pagina cattura la password → il truffatore chiede l'approvazione dell'MFA o utilizza una sessione dirottata.
.zip, .7z, .js, .exe, .iso e le doppie estensioni richiedono cure particolari. Non provare a "controllarli" tu stesso.
Potrebbe sembrare un modulo o una schermata di accesso. Solo perché un file si apre in un browser non lo rende sicuro.
Un documento che richiede "l'inclusione del contenuto" dovrebbe interrompere il processo e passare alla revisione.
Negare la richiesta. Non approvare solo per sicurezza. Segnala una serie di notifiche come possibile compromissione della password.
Nel Business Email Compromise, il truffatore si spaccia per un appaltatore o un decisore. Lo scopo è trasferire, modificare l'account, divulgare dati o eludere la procedura.
Chiama il numero precedentemente salvato nel sistema o nel contratto. Non utilizzare il numero fornito nel messaggio sospetto.
Non aggirare l'accettazione, i limiti o la regola dei due occhi. La pressione sul lavoro non fa eccezione.
In un caso rivelato dal Dipartimento di Giustizia degli Stati Uniti, e-mail, fatture e documenti falsi hanno portato due grandi società tecnologiche a trasferimenti superiori a 100 milioni di dollari. Non si trattava di un "utente ingenuo", ma di un'imitazione convincente di un normale processo aziendale.
CERT Polska ha descritto una campagna del 2025 in cui l'e-mail conteneva un file HTML. Una volta aperto, veniva visualizzata una schermata di accesso e-mail falsa. Lezione: un argomento ufficiale e una schermata familiare non confermano l'autenticità.
In altre campagne osservate dal CERT Polska, semplici argomenti di ufficio hanno portato ad archivi e file dannosi. Lezione: il nome di un documento di routine può essere più efficace di una promessa sensazionale.
Nel 2024, le autorità americane hanno descritto un'azienda che ha inviato circa 5,4 milioni di dollari a seguito di un messaggio con un indirizzo confondibilmente simile a quello dell'appaltatore. Una rapida segnalazione ha consentito alle autorità di rintracciare e proteggere i fondi. Lezione: la verifica indipendente fa risparmiare denaro e il reporting rapido ha un valore reale.
Nessuno di questi attacchi richiedeva tecnologia magica. Tutti hanno eseguito un'azione familiare: accedere, aprire un documento o effettuare un pagamento. Pertanto, la tua migliore difesa è un modo sicuro per fare qualcosa, non un elenco di "parole sospette".
Chiudi la pagina, non inserire nulla e segnala subito il link. Il clic in sé non significa fallimento: il silenzio rende più difficile rispondere.
Contattare immediatamente l'IT/SOC tramite un canale noto. Cambia la tua password tramite un percorso sicuro come indicato dalla società; non approvare ulteriori AMF.
Smetti di lavorare e chiama l'assistenza. Non rimuovere le tracce né tentare di "pulire" il computer da soli. Scollegare la rete secondo la procedura aziendale.
Chiama immediatamente il tuo manager, il team finanziario, bancario e di sicurezza in base al piano dell'incidente. I minuti possono fare la differenza tra il recupero dei tuoi fondi.
Per superare: almeno 10/12 risposte e tutte e quattro le domande critiche. Dopo aver controllato, vedrai le spiegazioni.
Il partecipante ha completato il corso e ha dimostrato di saper riconoscere, verificare e gestire in modo sicuro i tentativi di phishing.
Questo attestato certifica le competenze dimostrate durante il corso, ma non garantisce la protezione da ogni possibile attacco futuro.