Cinque soste prima di aprire un link ricevuto in chat

Prima sosta: riconoscere quando il messaggio cambia improvvisamente compito

Considera una nuova richiesta qualsiasi invito inatteso ad accedere, correggere un pagamento, riscattare un premio, aprire un file, installare un’estensione, leggere un codice QR o spostarsi su un’altra piattaforma. Questa separazione serve anche in una chat esistente da molto tempo. Le indicazioni CISA sul phishing richiamano richieste impreviste, linguaggio urgente, link e allegati sospetti e suggeriscono di usare un canale di segnalazione affidabile invece di continuare l’interazione. Controlla se mittente, momento e contenuto sono coerenti con il filo del discorso, senza trattare nome mostrato e immagine conosciuta come prova dell’identità. Anche l’account di una persona nota può inviare qualcosa che lei non intendeva condividere. Per verificare, usa un contatto salvato in precedenza o un altro canale già noto, non il nuovo numero o indirizzo di assistenza incluso proprio nel messaggio dubbio.

Seconda e terza sosta: leggere la destinazione e raggiungere il servizio da soli

Apri i dettagli del link offerti dall’app, usa una pressione prolungata o visualizza il target sul computer per leggere l’hostname senza caricare la pagina. Osserva caratteri sostituiti, sottodomini lunghi che contengono un marchio ma terminano su un dominio differente, URL abbreviati, indirizzi IP, porte insolite, parametri di reindirizzamento e divergenze tra testo mostrato e destinazione reale. HTTPS e il lucchetto descrivono la connessione protetta verso quel sito, ma non provano che il gestore sia davvero l’organizzazione dichiarata. Se il messaggio nomina un servizio conosciuto, non modificare l’indirizzo sospetto cercando di indovinare quello giusto. Chiudilo e apri l’app ufficiale installata, un preferito già salvato oppure la home ufficiale trovata e verificata separatamente. Cerca lì lo stesso avviso. Un invito privato o un URL di ripristino con token non va inviato a uno scanner pubblico, perché può funzionare come credenziale di accesso.

Quarta e quinta sosta: dare un nome all’azione e separare l’autenticazione

Leggere informazioni pubbliche è diverso dal fornire un accesso, inserire un codice temporaneo, recuperare un account, pagare, scaricare un file, concedere un permesso al browser, installare un profilo o caricare un’app fuori dallo store ufficiale. Prima di andare avanti, descrivi in una frase l’azione che la pagina pretende. Se coinvolge l’account, inizia dal punto di ingresso ufficiale raggiunto autonomamente e non dal link della chat. NIST descrive la resistenza al phishing attraverso il legame tecnico tra autenticazione e verificatore legittimo o canale protetto, senza affidarsi soltanto alla capacità umana di riconoscere una copia. Una normale password e un codice monouso trascritto manualmente non offrono da soli tale proprietà. Anche quando l’account supporta un metodo resistente al phishing, non approvare una richiesta che non hai avviato. Annulla e riparti dall’app ufficiale o da un preferito già conosciuto.

I controlli dell’app devono chiarire il percorso, non creare pressione

Un’app companion può mostrare l’hostname effettivo accanto al link, segnalare un reindirizzamento, evitare l’apertura automatica delle pagine esterne e distinguere chiaramente una navigazione da un download. Può limitare le anteprime avanzate che recupererebbero dal server un URL privato. La funzione di segnalazione dovrebbe anticipare quali dati invierà, come orario, account mostrato, hostname, versione del dispositivo o estratto della chat, consentendo di escludere il testo privato quando non serve. Non è utile definire pericoloso ogni link esterno o imporre un conto alla rovescia. Per i reindirizzamenti gestiti dal servizio, OWASP indica la mappatura verso destinazioni sicure o la convalida rigorosa del target, anziché l’accettazione di un parametro URL arbitrario. Questi controlli riducono l’ambiguità, ma una bella anteprima o l’assenza di avvisi non certificano una destinazione sconosciuta.

Limitare la segnalazione e provare l’annullamento con esempi innocui

Se non hai aperto il link, usa il comando di segnalazione corrente dell’app oppure il contatto del servizio imitato raggiunto separatamente dal suo sito ufficiale. Conserva solo l’orario, il mittente mostrato, l’hostname visibile e il riferimento della segnalazione, senza duplicare l’intera conversazione privata. Se hai aperto la pagina ma non hai inserito nulla, chiudila, annulla eventuali download e controlla download e permessi del browser. Se hai fornito una credenziale o approvato un’autenticazione imprevista, raggiungi il vero servizio tramite un percorso noto e segui la sua procedura attuale di sicurezza dell’account per verificare sessioni e credenziali interessate. Per testare l’interfaccia usa esclusivamente una pagina ufficiale pubblica senza token e, se sei autorizzato, un reindirizzamento innocuo sotto il tuo controllo. Non creare domini somiglianti, non inviare messaggi ingannevoli e non provare URL malevoli reali. Completa con un test negativo: annulla la richiesta di navigazione esterna e verifica che non restino una nuova scheda, un download o una schermata di accesso. Registra versione dell’app, dispositivo, classe del link, risultato previsto e osservato.

Continua a esplorare il tema