La miglior guida in italiano per riconoscere le email false

Questa è sicuramente la miglior guida in italiano per riconoscere le email false e vuole essere una sorta di tutorial su come riconoscere email problematiche, false o vere che siano, di phishing o contenenti malware o virus. Per email false intendo email che tentano di farti confondere o trarti in inganno per farti compiere delle azioni. Lo scopo finale conta poco perché quello che conta è il fatto che quella specifica email non è quello che vuole farti credere di essere.

Dopo anni a seguire queste tematiche ho notato che ci sono degli elementi ricorrenti in queste email, anche se chi te le manda se ne inventa sempre di nuovi facendo leva sulla psicologia o sulla mancanza di conoscenza di chi legge, cosa che il presente blog cerca appunto di contrastare.

I 17 elementi che ti fanno capire che un’email è falsa e non è quello che ti vuole fare credere

1. L’uso di caratteri greci al posto di quelli standard inglesi o italiani. Invece di NETFLIX Account Update trovi scritto ΝEΤFLIχ Αccουnτ Update dove in grassetto ho evidenziato i caratteri greci utilizzati che somigliano a quelli latini ma sono utilizzati per cercare di ingannare i filtri antiSPAM, peraltro senza riuscirci. Questo dell’uso di caratteri di alfabeti non latini al posto di quelli standard è un trucco spesso usato che fa leva sul fatto che puoi non accorgertene.
2. L’uso della lingua inglese per servizi che invece dovrebbero essere in italiano. Se ti scrive Netflix, Apple o CartaSì, per quale motivo dovrebbero farlo in inglese dato che sono servizi a livello mondiale e tradotti anche in italiano?
3. La supposizione che tu abbia un account per un servizio quando invece non lo hai. Un’email dal Monte dei Paschi di Siena che ti chiede di verificare i tuoi dati è ovviamente falsa se tu non hai un conto alla MPS. È probabilmente falsa se lo hai e se noti altri elementi di questa lista.
4. L’invito a cliccare su di un link che ti porta a inserire dei dati. Nessuno ti chiederà mai di cliccare su un link per verificare i tuoi dati. Al limite ti chiederanno di fare il login, senza link nell’email, e di verificare. Se c’è un link è phishing quasi di sicuro anche se non mancano le eccezioni.
5. La richiesta dei dati della carta di credito anche quando il servizio li dovrebbe già avere. Un’email di Visa o America Express che ti chiedono di verificare i tuoi dati quando sono loro che li forniscono è semplicemente ridicola e sicuramente falsa.
6. L’italiano sgrammaticato. Nessuna azienda di un certo rilievo ti scriverà mai un’email in un italiano così scorretto che se ne accorgerebbe anche un bambino di terza elementare.
7. L’url del sito senza https. Tutte le aziende famose, dalle Poste a Netflix, da Apple a una qualsiasi banca, usano https e non http, soprattutto quando devi inserire dei dati.
8. Il sito che non ha alcun link funzionante anche se sembra identico. Tutti i siti di phishing replicano più o meno bene il sito a cui si riferiscono, ma tutti hanno menu e link non funzionanti per evitare che tu li clicchi ed esci dal sito falso. Controlla sempre questo elemento importante.
9. Il sito che è diverso da quello che dovrebbe essere. Molti phisers creano una copia del sito che somiglia all’originale solo vagamente. Se sei incerto controlla sempre cercando su Google quale è il sito originale e vai a vederlo soprattutto controllando che l’URL sia quello.
10. L’url del sito completamente differente dal nome del servizio o dal sito standard. Il sito delle Poste è poste.it, quello di Apple è apple.com e quello di Netflix è netflix.com, basta fare una semplice ricerca su Google e lo vedi anche tu. Se ti colleghi a un sito che dovrebbe essere quello delle Poste ma ha un url che non è poste.it anche se magari la parola poste è contenuta – servizioclienti-poste.it per esempio – è sicuramente un sito falso. Devi però sapere come è composto un dominio e ti consiglio di leggere il post specifico su questo blog su come è composto un dominio internet.
11. Il mittente non sul dominio del servizio. Se ricevo un’email da Apple mi aspetto che chi scrive lo faccia dal dominio apple.com o apple.it, non da un dominio che è completamente differente. Se quindi il dominio è diverso da quello che dovrebbe essere, alza le antenne. Se hai dubbi su quale possa essere il dominio esatto fai una ricerca su internet.
12. Le promesse di notti infuocate, donne disponibili e via di questo passo. Non posso credere che ancora qualcuno creda alla fanciulla 22enne russa o ucraina che ti scrive perché si sente sola e vuole qualcuno che la consoli allegandoti anche la foto. Questo è SPAM di infimo livello e non è mai vero, in nessun caso, non illuderti.
13. Le promesse di sconti oltre il limite del ridicolo o buoni premio da 500 o 1000 euro senza alcuna giustificazione logica. Tipico il caso dei RayBan a 19.99 in cui molti sono cascati. Non esiste al mondo nessuno che si possa permettere di vendere un paio di occhiali da 200 euro a 19.95; forse qualche asta fallimentare o cose del genere che però non ti mandano email per avvisarti di andare sul sito rayban-costapoco.biz.
14. Le promesse di regali di materiali “usati in negozio una volta sola” o cose del genere in cambio di like o click su Facebook. Non ci cascare, e lo fa un sacco di gente, è tutta fuffa. Tu gli dai il tuo like e non vincerai mai nulla.
15. La richiesta di controllare i dati su di un pdf, di firmarlo e rimandarlo al mittente via fax. Tipica truffa già ampiamente trattata sul blog in cui tu firmi un contratto e sei obbligato a pagare una bella cifra al mese per un tot di anni per non avere nulla in cambio.
16. L’invio di una fattura via email. Se qualcuno ti invia una fattura via email, di solito la fattura è allegata alla stessa email. Se invece nell’email è presente un pulsante o un link che ti chiede di collegarti a un sito per scaricare la fattura, allora è sicuramente un’email falsa. Tanto più se poi questa fattura non è il formato pdf ma è in formato .zip perché non c’è alcun motivo per una procedura astrusa come questa. Vedi il punto 4 inoltre.
17. L’invito a verificare un documento che non è allegato ma è da scaricare. Identica procedura di cui al punto precedente e che si rifà comunque al punto 4. Se qualcuno ti deve fare verificare un documento con dei dati, te lo allega all’email oppure, se è un servizio che regolarmente usi, lo potrai trovare nell’area riservata del sito relativo al servizio, area riservata di cui hai sicuramente già un nome utente e una password. Pensa a SKY o anche a ENEL; puoi andare nell’area riservata per controllare la tua bolletta o la fattura di Sky. Sky manda anche un’email con la fattura in allegato che è un semplice pdf.

Leggi anche la checklist con 18 indicatori che ti faranno riconoscere un’email di phshing.