Anti phishing: come riconoscere e bloccare le email truffa
Un buon anti phishing non è un singolo programma, ma una combinazione di tre elementi: filtri che bloccano i messaggi peggiori, un client di posta che limita ciò che un'email può fare sul tuo computer e utenti capaci di riconoscere i segnali di inganno. Se manca uno di questi livelli, prima o poi un messaggio truffa arriva in casella e qualcuno ci clicca sopra.
In questa guida vediamo come si presenta oggi un'email di phishing, quali esempi di attacco incontri più spesso e come un approccio basato su sandbox, come quello di E.D.E.R.A., riduce l'esposizione.
Anti phishing: cosa significa davvero
Il phishing è un tentativo di ingannarti, quasi sempre via email, per farti rivelare credenziali, dati di pagamento o per farti aprire un allegato o un link pericoloso. L'attaccante si finge una banca, un corriere, un servizio online o un collega.
La protezione dal phishing ha quindi due obiettivi distinti. Il primo è tecnico: impedire che codice malevolo, allegati infetti o link pericolosi producano effetti. Il secondo è umano: evitare che tu consegni volontariamente informazioni riservate.
Questa distinzione è importante perché molti strumenti coprono solo il primo aspetto. Un filtro può fermare un allegato dannoso, ma non può impedirti di digitare la password su una pagina falsa se il messaggio è convincente.
I segnali per riconoscere un'email di phishing
Nessun segnale da solo è una prova, ma più elementi si sommano, più alta è la probabilità che il messaggio sia una truffa. Questi sono i controlli da fare prima di cliccare:
- Mittente sospetto: il nome visualizzato sembra corretto, ma l'indirizzo reale appartiene a un dominio diverso o strano.
- Urgenza e minacce: account sospeso, pagamento fallito, scadenza entro poche ore.
- Link che non corrispondono: passando il cursore sul link, l'indirizzo di destinazione è diverso da quello dichiarato nel testo.
- Allegati inattesi: fatture, documenti o archivi che non hai richiesto, soprattutto se compressi o con estensioni insolite.
- Richiesta di dati: password, codici di verifica o dati della carta, che un servizio serio non chiede via email.
- Errori e stile anomalo: testi tradotti male, saluti generici, loghi leggermente alterati.
Attenzione però: oggi molti messaggi sono scritti bene e curati nella grafica. L'assenza di errori non è una garanzia di autenticità.
Esempi di attacchi via email che vedi ogni giorno
Falso avviso di sicurezza di Google
Il messaggio sostiene che c'è stato un accesso sospetto al tuo account e ti invita a «verificare subito». Se ricevi una presunta email di avviso di sicurezza Google, non usare il pulsante nel messaggio. Apri il browser, raggiungi direttamente il tuo account e controlla da lì le attività recenti: se c'è un problema reale, lo troverai in quella sezione.
Email di sicurezza di Instagram e dei social
Un copione molto simile riguarda i social: «qualcuno ha tentato di accedere», «violazione del copyright», «conferma la tua identità». Il link porta a una pagina identica a quella di login, che però invia le tue credenziali all'attaccante. Anche in questo caso, entra sempre dall'app o digitando tu l'indirizzo ufficiale.
Fatture e documenti con allegato
Un finto preventivo o una fattura in allegato cercano di farti aprire un file che contiene codice dannoso o rimanda a un sito infetto. Se non aspettavi quel documento, chiedi conferma al presunto mittente con un canale diverso dall'email.
Mittenti falsificati e configurazioni errate
Quando un dominio non ha SPF, DKIM e DMARC configurati correttamente, falsificare il mittente è più facile. Per approfondire questi protocolli puoi leggere la guida Sicurezza email: quali tipi esistono e come proteggersi.
Come funziona E.D.E.R.A. come strumento anti phishing
Un Client email sicuro parte da un presupposto: l'email è un contenuto non fidato per definizione. E.D.E.R.A. è un client di posta che lavora in sandbox e combina più misure tecniche, ciascuna pensata per un tipo di attacco.
- HTML sanitizer: ripulisce il contenuto HTML del messaggio, riducendo il rischio di iniezione di codice malevolo nel corpo dell'email.
- Esecuzione locale con PHP Desktop e loopback: il codice PHP gira sul tuo computer e comunica tramite l'interfaccia di loopback, cioè in un ambiente isolato dal resto della rete.
- Nessun salvataggio delle email in locale: i messaggi non restano archiviati sul dispositivo, quindi chi accedesse al computer non troverebbe una copia della posta.
- Intelligenza artificiale: aiuta a individuare tentativi di phishing, allegati sospetti, link a siti infetti, mittenti sospetti ed errate configurazioni email.
In pratica, E.D.E.R.A. interviene su più punti della catena d'attacco: il contenuto del messaggio, ciò che può eseguire, i link che contiene e il contesto del mittente. Se stai cercando un'alternativa a Outlook che metta la sicurezza al centro, è un approccio da valutare.
Puoi provare il client scaricandolo da questa pagina: Scarica E.D.E.R.A.gratuitamente.
Abitudini che completano la protezione dal phishing
Nessun software sostituisce un comportamento prudente. Queste regole rendono molto più difficile la vita agli attaccanti:
- Non cliccare mai link in messaggi che parlano di account, pagamenti o sicurezza: raggiungi il sito digitando l'indirizzo tu stesso.
- Attiva la verifica in due passaggi su tutti gli account importanti, così una password rubata non basta.
- Usa password uniche, gestite con un password manager.
- Verifica richieste insolite, come bonifici o cambi di IBAN, con una telefonata a un numero che già conosci.
- Segnala i messaggi sospetti ai colleghi o a chi gestisce l'IT, senza inoltrarli a caso.
- Fai un periodico controllo sicurezza email: verifica accessi recenti, regole di inoltro automatico e dispositivi collegati.
I limiti: la sicurezza email non è mai garantita al 100%
Quando un servizio ti segnala «sicurezza email non garantita», di solito significa che la connessione o la configurazione non offrono tutte le protezioni attese, per esempio perché manca la cifratura TLS o il dominio non è autenticato. È un campanello d'allarme da non ignorare, soprattutto se devi inviare informazioni sensibili.
Allo stesso modo, nessuno strumento anti phishing, E.D.E.R.A. compreso, può promettere protezione assoluta. L'intelligenza artificiale può sbagliare, gli attaccanti cambiano tecniche e un utente sotto pressione può comunque cedere. Per questo la strategia più solida resta quella a strati: configurazione corretta del dominio, client isolato, buone abitudini e una cultura della verifica.
Se vuoi confrontarti con altri utenti su casi concreti, puoi usare il Forum E.D.E.R.A., e trovi altri approfondimenti nella sezione Blog.
Conclusione
L'anti phishing efficace nasce dall'unione di tecnologia e attenzione: un client che tratta ogni messaggio come potenzialmente ostile, un dominio configurato bene e persone che si fermano un secondo prima di cliccare. Se vuoi ridurre la superficie d'attacco della tua posta, il passo successivo è provare un client progettato attorno a questi principi e valutarne l'adattamento alle tue esigenze.
Per approfondire: E.D.E.R.A. Project.
Domande frequenti
Qual è il miglior sistema anti phishing per la posta elettronica?
Non esiste un singolo strumento perfetto. La protezione migliore combina filtri sul server, autenticazione del dominio (SPF, DKIM, DMARC), un client di posta che isola contenuti e link, e utenti formati a diffidare. Ogni livello compensa i limiti degli altri.
Come capisco se un'email di avviso di sicurezza Google è vera?
Non cliccare i link nel messaggio. Apri il browser, vai direttamente sul tuo account Google e controlla la sezione sicurezza: se c'è un problema reale, lo troverai lì. Verifica anche l'indirizzo del mittente e diffida di toni allarmistici o scadenze ravvicinate.
Un client di posta in sandbox protegge dal phishing?
Riduce il rischio, perché isola il contenuto delle email e limita ciò che codice o link malevoli possono fare. Non sostituisce però l'attenzione dell'utente: un messaggio ingannevole può comunque convincerti a inserire dati su un sito falso.
Cosa devo fare se ho cliccato su un link di phishing?
Non inserire dati. Se l'hai fatto, cambia subito la password dell'account coinvolto da un dispositivo sicuro, attiva la verifica in due passaggi, controlla gli accessi recenti e avvisa chi gestisce la sicurezza. Se sono coinvolti dati bancari, contatta la banca.