La maggior parte degli attacchi informatici alle imprese non comincia con un'operazione sofisticata. Comincia con un'email, un clic e una credenziale rubata. La buona notizia è che qui la difesa è alla portata di tutti — non richiede budget enormi, richiede abitudini.
Riconoscere il phishing
Le email fraudolente moderne sono ben scritte, tradotte correttamente e graficamente credibili: il vecchio consiglio "attenzione agli errori di grammatica" non basta più. Funzionano invece questi segnali:
- Urgenza e pressione. "Entro oggi", "ultimo avviso", "il tuo account sarà bloccato". La fretta serve a farti saltare il ragionamento.
- Richiesta di credenziali o pagamenti. Nessuna banca, nessun fornitore serio e nessun collega ti chiederà la password via email.
- Il link non corrisponde al testo. Passa il mouse sopra (senza cliccare) e leggi il vero indirizzo di destinazione.
- Un cambio di coordinate bancarie. È lo schema delle frodi via email verso l'ufficio amministrativo, che sono tra le più costose in assoluto. Regola d'oro: ogni variazione di IBAN si verifica con una telefonata a un numero già noto, mai a quello indicato nel messaggio.
Password: lunghezza prima di complessità
Le indicazioni più aggiornate hanno superato l'idea della password contorta da cambiare ogni novanta giorni: produceva solo varianti prevedibili appuntate su un post-it. Meglio così:
- Passphrase lunghe, facili da ricordare e difficili da indovinare.
- Mai riutilizzare la stessa password su servizi diversi: una singola violazione altrui diventa la chiave di casa tua.
- Un password manager aziendale, che genera e conserva credenziali diverse per ogni servizio. È l'investimento con il miglior rapporto tra costo e rischio evitato.
- Cambio solo in caso di sospetta compromissione, non a calendario.
L'autenticazione a più fattori (MFA)
È la misura singola più efficace contro il furto di credenziali: anche se la password viene rubata, da sola non basta ad entrare. Non tutti i fattori però si equivalgono:
- Passkey e chiavi di sicurezza (FIDO2) — il livello migliore, perché resistono anche ai siti civetta che intercettano i codici in tempo reale.
- App di autenticazione (codici temporanei o notifiche push) — ottimo compromesso, adatto alla maggior parte delle aziende.
- SMS — meglio di niente, ma il più vulnerabile: da riservare ai casi in cui non ci sono alternative.
Un'avvertenza utile: se ricevi una raffica di notifiche di approvazione che non hai richiesto, non approvare per farle smettere. Significa che qualcuno ha già la tua password e sta aspettando esattamente quel clic. Segnalalo subito.