Phishing: la truffa delle false email di PayPal

Abbiamo visto cos'è lo smishing, la truffa via SMS. Ma cos'è, in definitiva, il phishing?

Cos'è il phishing

Il termine phishing nasce dall'inglese «fishing», pescare, scritto con «ph» come in «phreaking», il nome dato all'attività di chi manometteva le reti telefoniche. L'idea è proprio quella di gettare l'amo e aspettare che qualcuno abbocchi.

Il phishing non è un virus, ma una tecnica di truffa: un messaggio, di solito un'email, che sembra arrivare da una banca, da un servizio di pagamento o da un sito a cui siamo iscritti. Segnala un problema, per esempio un accesso sospetto o un pagamento da verificare, e invita a cliccare su un link.

Il link porta a un sito identico all'originale, creato apposta per la truffa. Chi inserisce le proprie credenziali le consegna ai criminali, che possono entrare nel conto e svuotarlo. A volte il messaggio contiene invece un allegato che installa un programma malevolo.

Lo smishing usa gli SMS, il vishing le telefonate di finti operatori, il phishing la posta elettronica: lo scopo è sempre rubare dati o denaro.

Come riconoscerlo

• Saluti generici come «Gentile cliente» invece di nome e cognome.
• Urgenza: «il tuo conto verrà sospeso entro 24 ore».
• Mittente strano: il nome visualizzato è quello giusto, ma l'indirizzo vero è diverso.
• Link che portano altrove: passando il mouse sul link, senza cliccare, si vede l'indirizzo reale.
• Allegati inattesi: file compressi, documenti Office che chiedono di attivare le macro, file .exe o .html. Non vanno aperti se non si è certi della provenienza.

La truffa a nome di PayPal

PayPal è uno dei marchi più imitati. Un esempio diffuso è l'email che chiede di controllare le ultime transazioni o di confermare i dati del conto. La grafica è identica a quella di PayPal e a volte il messaggio contiene perfino un avviso contro le truffe, per sembrare più credibile.

Naturalmente non è PayPal a inviare questi messaggi: i truffatori sfruttano le piattaforme più diffuse per raggiungere più persone possibile.

PayPal spiega nel suo centro sicurezza che si rivolge sempre ai clienti con nome e cognome o con il nome dell'azienda, e che non chiede mai password o codici via email, SMS o telefono. In caso di dubbio non bisogna cliccare: meglio aprire il sito scrivendo a mano paypal.com o usare l'app, e controllare lì se ci sono notifiche.

Come segnalare un'email sospetta

Secondo le indicazioni attuali di PayPal Italia, un'email sospetta va inoltrata per intero a phishing@paypal.it e poi eliminata. Lo stesso si può fare con gli SMS sospetti. Prima di inviare, conviene sempre verificare l'indirizzo sulla pagina ufficiale di PayPal.

Un consiglio per le aziende: se la casella aziendale riceve spesso questi messaggi, conviene rivedere i filtri antispam e formare il personale. Trovi altri suggerimenti nei nostri 5 consigli per proteggere gli account.