Cos’è il phishing — e perché funziona così bene
Il phishing è la pratica di inviare email fraudolente che si fingono organizzazioni affidabili — banche, corrieri, enti pubblici, provider di posta — per spingere chi le riceve a consegnare credenziali, dati di pagamento o informazioni personali.
Funziona per un motivo molto semplice: caderci non richiede nessuna competenza tecnica. Un’email di phishing fatta bene è identica a una vera. Il nome del mittente coincide. Il logo è quello giusto. Il testo è scritto in modo professionale. Le uniche spie sono dettagli sottili — un dominio leggermente sbagliato, un link che non porta proprio dove dice — e la maggior parte delle persone, quando apre la posta, non li sta cercando attivamente.
I numeri sono enormi. Vengono inviate oltre 3,4 miliardi di email di phishing al giorno. Nel 2023 il phishing era coinvolto nel 36% di tutte le violazioni di dati. E la principale superficie di attacco è sempre la stessa: il tuo indirizzo email.
6 tipi di attacchi di phishing che devi conoscere
Phishing via email — campagne di massa che si fingono brand noti (banche, corrieri, servizi di streaming). Si lancia largo e si gioca sui numeri.
Spear phishing — attacchi mirati che usano il tuo nome, l’azienda per cui lavori o un’attività recente per sembrare personalizzati. Molto più convincenti delle campagne in massa.
Whaling — spear phishing rivolto in modo specifico a dirigenti o bersagli di alto valore. Lavoro di ricerca approfondito, spesso si finge un membro del consiglio o l’ufficio legale.
Smishing — phishing via SMS, spesso con link accorciati. In forte crescita man mano che i filtri email migliorano.
Vishing — phishing al telefono. Spesso arriva subito dopo un’email, per dare credibilità (“ti chiamo per l’email che ti abbiamo appena inviato”).
Clone phishing — chi attacca intercetta un’email legittima che hai già ricevuto e ne rispedisce una copia quasi identica, con i link sostituiti da link malevoli.
8 segnali d’allarme di un’email di phishing
Il dominio del mittente non coincide con l’azienda. Una vera email di PayPal arriva da @paypal.com — non da @paypal-security.net, @paypal.support-team.com o varianti simili. Controlla il dominio reale, non solo il nome visualizzato.
Link che non corrispondono alla destinazione dichiarata. Passa il cursore sopra ogni link prima di cliccare. Se l’URL che vedi non coincide con ciò che dice l’email, non cliccare. Su mobile, tieni premuto per vedere l’anteprima.
Allegati inattesi — soprattutto .zip, .exe, .doc. Gli allegati sono uno dei principali canali per il malware. Una banca seria, un ente pubblico o un datore di lavoro non ti manderà quasi mai un allegato che non hai chiesto.
Richieste di password, numeri di carta o dati personali. Nessuna organizzazione legittima ti chiederà mai per email password, PIN, numero completo della carta o codice fiscale completo. È sempre un tentativo di phishing.
Saluti generici al posto del tuo nome reale. Le campagne di massa usano spesso “Gentile cliente” o “Ciao utente” invece del tuo nome. Non è una prova assoluta — lo spear phishing usa il tuo nome — ma un saluto generico in un’email sensibile (sicurezza, banca, ecc.) è un campanello d’allarme chiaro.
Pagine di login sospette o non in linea. Se un link ti porta a una schermata di accesso, controlla con attenzione l’URL prima di scrivere qualunque cosa. I phisher creano copie molto credibili su domini quasi identici.
Urgenza o minacce. “Il tuo account verrà sospeso entro 24 ore.” “Azione immediata richiesta.” Quell’urgenza artificiale è progettata proprio per scavalcare il tuo pensiero critico.
Formattazione scadente, font strani, immagini rotte. Anche se l’IA ha alzato la qualità media, le campagne più sciatte mostrano ancora errori di impaginazione, spazi anomali o loghi rotti che svelano il falso.
Come l’email anonima ti toglie dalla lista dei bersagli
La maggior parte degli attacchi di phishing ha bisogno del tuo indirizzo reale per raggiungerti. Quell’indirizzo, da qualche parte, è dovuto uscire — una violazione di dati, una lista comprata, un sito web grattato, un servizio compromesso a cui ti eri iscritto anni fa.
Se il tuo indirizzo reale non è mai stato dato a un certo servizio, da quel servizio non può fuoriuscire. È esattamente la protezione di base che offre l’email usa e getta.
Ogni volta che usi una casella usa e getta al posto del tuo indirizzo reale per un’iscrizione, elimini un’altra possibile fonte di esposizione. La casella usa e getta può finire in una violazione, può finire in una lista, può ricevere phishing — ma sarà già scaduta molto prima che succeda, e non è collegata in alcun modo alla tua identità reale.
Cosa cambia quando usi un’email usa e getta
- I servizi compromessi fanno trapelare un indirizzo morto, non il tuo
- Le liste di spam costruite a partire dalle tue iscrizioni contengono indirizzi che non esistono più
- Le campagne di spear phishing che ti studiano non trovano una storia email legata alla tua identità reale
- La superficie di attacco per phishing mirato si riduce drasticamente
Con una casella da 10 minuti, la finestra di esposizione è così breve che qualsiasi tempo tra violazione e campagna arriva quando l’indirizzo è già scaduto. Con una casella da 3 giorni l’indirizzo è casuale e non legato a nessun profilo personale: chi fa spear phishing non ha nulla da studiare né da usare contro di te.
Chi usa l’email anonima — e perché
Chi compra online — per evitare sequenze di marketing a vita ed esposizioni a violazioni per un acquisto una tantum.
Sviluppatori e team QA — caselle pulite e isolate per testare flussi di posta senza inquinare gli indirizzi reali.
Gamer — account di prova e accessi a beta senza una traccia permanente legata all’identità reale.
Ricercatori e giornalisti — accedere a fonti, piattaforme e servizi senza creare una scia di dati che possa essere presa di mira.
Viaggiatori — superare i portali Wi-Fi di aeroporti e hotel senza dare un indirizzo vero.
Professionisti — studiare i concorrenti e valutare servizi senza innescare cicli di follow-up commerciale.
Utenti attenti alla privacy — chiunque tratti il proprio indirizzo reale come un bene da proteggere, non come una merce da distribuire.
Cosa fare se hai già cliccato un link di phishing
Agisci subito. Più aspetti, più i danni possono crescere.
Se hai inserito le credenziali: cambia la password sul servizio coinvolto e su qualsiasi altro servizio in cui usi la stessa. Attiva subito l’autenticazione a due fattori sull’account email principale.
Se hai inserito i dati di pagamento: chiama immediatamente la banca e chiedi il blocco o la sostituzione della carta. Contesta ogni addebito che non riconosci.
Se hai scaricato un file: esegui una scansione antivirus completa prima di continuare a usare il dispositivo. Disconnetti da internet se sospetti un’infezione attiva.
In ogni caso: usa il Controllo violazioni email per vedere se le tue credenziali sono già in giro, e tieni d’occhio i tuoi account nelle settimane successive.
Continua a leggere
- Cos’è l’email usa e getta? La guida completa
- Come l’email temporanea protegge la tua privacy online
- La guida completa alla privacy delle email
- Come evitare lo spam: 7 strategie efficaci
- Temp mail che non riceve l’OTP? Risolvilo subito
- Come verificare SPF, DKIM e DMARC
- Email usa e getta vs burner email vs temp mail
Capire come funziona l’autenticazione email ti aiuta anche a giudicare quali provider di temp mail sono affidabili.
Il modo più semplice per ridurre la tua superficie d’attacco al phishing è ridurre il numero di servizi che hanno il tuo indirizzo reale. Parti da una casella usa e getta gratuita — bastano due secondi e non ti chiede nulla.
Your temp mail is ready right now
No signup, no password. A disposable inbox waiting the moment you open the page.
Get My Free Temp Mail →