Phishing, social engineering e password: come proteggere account e dati online

Nel mondo digitale spesso immaginiamo gli attacchi informatici come qualcosa di puramente tecnico: un malware che infetta un computer, un ransomware che cifra i file, una vulnerabilità sfruttata da remoto, un server compromesso da un criminale informatico molto esperto.

Tutto questo esiste, naturalmente. Ma una parte enorme degli attacchi moderni non parte da un codice complesso. Parte da un messaggio.

Una email che sembra arrivare dalla banca. Un SMS che sembra inviato da un corriere. Una telefonata che sembra provenire dal supporto tecnico. Un link che porta a una pagina molto simile a quella originale. Una richiesta urgente che sembra arrivare da un collega, da un fornitore o persino dal responsabile dell’azienda.

È qui che entrano in gioco phishing, social engineering e attacchi alle password. Sono minacce diverse, ma hanno un punto in comune: spesso non cercano di forzare direttamente la tecnologia, ma provano a sfruttare comportamenti umani, fiducia, fretta, distrazione e cattive abitudini nella gestione delle credenziali.

In questo articolo facciamo un percorso completo ma semplice. Vedremo cos’è il phishing, come funziona il social engineering, perché il credential stuffing è così pericoloso e quali sono le principali tecniche di attacco alle password, come brute force, dictionary attack e credential cracking. Soprattutto, vedremo come difenderci con strumenti concreti: password manager, autenticazione a più fattori, attenzione ai link, verifica delle comunicazioni e buone pratiche quotidiane.

L’obiettivo non è creare paura, ma consapevolezza. Perché nella sicurezza informatica, spesso, fermarsi un secondo prima di cliccare può fare la differenza.

Cos’è il phishing

Il phishing è una tecnica di attacco informatico che ha un obiettivo molto chiaro: convincere una persona a fornire spontaneamente informazioni riservate.

Queste informazioni possono essere credenziali di accesso, numeri di carte di credito, dati bancari, codici temporanei, documenti personali o informazioni aziendali. Il termine deriva dall’inglese fishing, cioè “pescare”, perché l’attaccante lancia un’esca e aspetta che qualcuno abbocchi.

L’esca può assumere molte forme. La più classica è l’email che sembra arrivare da una banca, da un servizio online, da un social network o da una piattaforma di pagamento. Il messaggio invita l’utente a cliccare su un link e ad aggiornare i dati, confermare l’identità o risolvere un presunto problema di sicurezza.

La pagina che si apre, però, non è quella ufficiale. È una copia falsa, costruita per sembrare autentica. Quando l’utente inserisce username e password, quelle informazioni non finiscono al servizio legittimo, ma direttamente nelle mani dell’attaccante.

Il phishing è così diffuso perché è semplice, economico e ancora molto efficace. Non sempre serve violare un sistema informatico: a volte basta convincere l’utente a consegnare le chiavi.

Email, SMS e telefonate: le forme del phishing

Quando si parla di phishing si pensa quasi sempre alla posta elettronica, ma oggi gli attacchi arrivano anche da altri canali.

L’email phishing resta la forma più comune. Il messaggio può simulare una comunicazione bancaria, una fattura, una notifica di spedizione, un avviso di sicurezza o una richiesta di aggiornamento dell’account. Spesso contiene un link o un allegato. Il link porta a una pagina falsa, mentre l’allegato può contenere malware o documenti progettati per ingannare l’utente.

Lo smishing è la variante via SMS. Il messaggio arriva sul telefono e può sembrare provenire da una banca, da un corriere o da un servizio pubblico. La forza dello smishing sta nel fatto che molte persone si fidano degli SMS più delle email. Inoltre, sullo smartphone è più difficile controllare con attenzione l’indirizzo di un link.

Il vishing, invece, usa la voce. L’attaccante telefona fingendosi un operatore bancario, un tecnico, un addetto dell’assistenza o una figura autorevole. L’obiettivo è ottenere dati sensibili o convincere la vittima a compiere un’azione immediata. In questi casi il tono della voce, la sicurezza dell’interlocutore e il senso di urgenza giocano un ruolo decisivo.

Esiste poi lo spear phishing, una forma più mirata e pericolosa. Invece di inviare lo stesso messaggio a migliaia di persone, l’attaccante studia una vittima specifica. Raccoglie informazioni online, osserva il contesto lavorativo, individua colleghi, fornitori, ruoli aziendali e abitudini. Poi costruisce un messaggio personalizzato, molto più credibile di una truffa generica.

Ed è proprio qui che il phishing si avvicina al concetto più ampio di social engineering.

Perché il phishing funziona

Il phishing funziona perché non attacca solo il computer. Attacca il nostro modo di reagire.

Un messaggio ben costruito sfrutta emozioni e automatismi molto comuni. La paura di perdere l’accesso a un conto. L’urgenza di risolvere un problema. La curiosità verso un allegato. La fiducia verso un marchio conosciuto. Il rispetto per una figura autorevole. La fretta di chi sta lavorando e vuole chiudere rapidamente una richiesta.

Molti messaggi di phishing contengono frasi pensate per farci agire subito: “Il tuo account verrà sospeso”, “Abbiamo rilevato un accesso sospetto”, “Conferma i tuoi dati entro 24 ore”, “Pagamento bloccato”, “Pacco in giacenza”.

Il punto è che quando siamo sotto pressione ragioniamo peggio. Clicchiamo prima di controllare. Inseriamo dati prima di verificare. Scarichiamo allegati prima di chiederci se quella comunicazione abbia senso.

Ecco perché la prima difesa contro il phishing non è un software, ma un’abitudine mentale: quando un messaggio ci mette fretta, dobbiamo rallentare.

Social engineering: quando l’attacco punta sulla persona

Il social engineering, o ingegneria sociale, è l’insieme delle tecniche con cui un attaccante manipola una persona per convincerla a compiere un’azione utile all’attacco.

A differenza di un exploit tecnico, che sfrutta una vulnerabilità software, il social engineering sfrutta vulnerabilità umane: fiducia, paura, curiosità, disponibilità ad aiutare, rispetto per l’autorità, desiderio di risolvere rapidamente un problema.

Il phishing è una forma di social engineering, ma non è l’unica. Un attacco può avvenire via email, SMS, telefonata, chat, social network o anche di persona. Il principio è sempre lo stesso: costruire un contesto credibile.

Un criminale può fingere di essere un tecnico IT e chiedere a un dipendente di confermare le credenziali. Può presentarsi come fornitore e chiedere l’aggiornamento dei dati di pagamento. Può imitare un dirigente e richiedere un bonifico urgente. Può lasciare una chiavetta USB infetta in un parcheggio, sperando che qualcuno la colleghi a un computer aziendale.

In tutti questi casi l’attaccante non forza la porta. Cerca di farsi aprire.

Le principali tecniche di social engineering

Una delle tecniche più comuni è il pretexting. L’attaccante inventa un pretesto credibile: una verifica interna, un problema tecnico, una procedura amministrativa, una richiesta urgente da parte di un responsabile. La vittima viene portata a credere che la richiesta sia normale e legittima.

Il baiting sfrutta invece la curiosità o il desiderio di ottenere qualcosa. Può essere una chiavetta USB lasciata volutamente in un luogo frequentato, un finto download gratuito, un’offerta troppo vantaggiosa o un contenuto che spinge l’utente a cliccare.

Il vishing e lo smishing, già visti nel phishing, rientrano pienamente anche nel social engineering. Una telefonata o un messaggio possono sembrare più diretti, più personali e quindi più credibili.

Nel mondo aziendale sono particolarmente pericolosi il CEO Fraud e il Business Email Compromise. In questi casi l’attaccante si finge un dirigente, un amministratore o un fornitore e induce un dipendente a effettuare un pagamento, modificare coordinate bancarie o condividere informazioni riservate.

La parte più insidiosa è che questi attacchi possono essere costruiti usando informazioni pubbliche. Profili LinkedIn, siti aziendali, post sui social, comunicati stampa, organigrammi, indirizzi email e documenti pubblicati online diventano materiale utile per costruire una truffa credibile.

Questa raccolta di informazioni viene spesso indicata con il termine OSINT, cioè Open Source Intelligence: dati disponibili pubblicamente che, messi insieme, possono rivelare molto più di quanto immaginiamo.

Come riconoscere un tentativo di phishing

Riconoscere un tentativo di phishing non significa diventare paranoici. Significa imparare a osservare alcuni segnali.

Il primo segnale è il mittente. Un indirizzo email può sembrare legittimo a una lettura veloce, ma contenere piccole variazioni: una lettera in più, un dominio simile, un trattino aggiunto, una parola che imita il nome dell’azienda. È una tecnica molto usata perché il nostro cervello tende a leggere rapidamente e a completare ciò che si aspetta di vedere.

Il secondo segnale è il link. Prima di cliccare, bisogna capire dove porta davvero. Su computer è possibile passare il mouse sopra il link e controllare l’indirizzo reale. Su smartphone è più scomodo, ma proprio per questo serve ancora più attenzione. Un link abbreviato, strano o diverso dal dominio ufficiale dovrebbe sempre farci fermare.

Il terzo segnale è il tono del messaggio. Le comunicazioni che creano urgenza, paura o pressione devono essere trattate con cautela. Se un’email ci spinge ad agire immediatamente, senza darci il tempo di verificare, potrebbe essere proprio quello il meccanismo dell’attacco.

Anche errori grammaticali, formattazioni strane, loghi sgranati o frasi poco naturali possono essere indizi utili. Tuttavia bisogna fare attenzione: oggi molti messaggi fraudolenti sono scritti molto bene. Non possiamo più basarci solo sugli errori evidenti.

La regola più importante è semplice: se una comunicazione chiede dati sensibili, password, codici, pagamenti o azioni urgenti, non bisogna usare il link o il numero fornito nel messaggio. Bisogna aprire il sito digitando l’indirizzo ufficiale o contattare l’ente tramite canali già noti e verificati.

Difendersi dal social engineering

Difendersi dal social engineering richiede un mix di attenzione, metodo e strumenti.

La prima regola è non fidarsi automaticamente. Questo non significa sospettare di tutto, ma verificare le richieste anomale. Se qualcuno chiede informazioni riservate, credenziali, accessi o pagamenti urgenti, è corretto fermarsi e controllare.

La seconda regola è verificare l’identità dell’interlocutore. Se riceviamo una telefonata da un presunto operatore della banca, possiamo chiudere e richiamare il numero ufficiale. Se riceviamo una richiesta da un collega o da un dirigente, possiamo confermare tramite un canale separato. Se un fornitore chiede di cambiare IBAN, serve una procedura di verifica formale.

La terza regola riguarda ciò che pubblichiamo online. Più informazioni rendiamo disponibili, più facile diventa costruire un attacco personalizzato. Non sempre ci rendiamo conto che post, foto, ruoli lavorativi, eventi, abitudini e contatti possono essere usati per rendere una truffa più credibile.

Per le aziende, la formazione è fondamentale. Le simulazioni di phishing, se fatte bene, non servono a colpevolizzare le persone, ma ad allenarle. La sicurezza deve diventare una cultura condivisa, non un insieme di divieti calati dall’alto.

Gli strumenti utili contro phishing e furto di credenziali

Oltre al comportamento consapevole, esistono strumenti molto utili.

I filtri antiphishing nei client di posta aiutano a bloccare email sospette, allegati malevoli e link pericolosi. Non sono perfetti, ma rappresentano un primo livello di protezione importante.

Il password manager è uno degli strumenti più sottovalutati. Serve a generare e conservare password lunghe, complesse e diverse per ogni servizio. Ma ha anche un altro vantaggio: compila automaticamente le credenziali solo sui siti corretti. Se finiamo su una pagina falsa, il password manager di solito non propone la password, perché riconosce che l’indirizzo non corrisponde a quello salvato.

L’autenticazione a più fattori, o MFA, aggiunge un secondo livello di verifica oltre alla password. Anche se un attaccante riesce a rubare la password, non può accedere senza il secondo fattore.

Questo secondo fattore può essere un codice generato da un’app, una notifica di conferma, una chiave hardware, un dato biometrico o un altro meccanismo di verifica. L’importante è capire il principio: la password da sola non basta più.

Credential stuffing: quando la password è già stata rubata

Il credential stuffing è un attacco che sfrutta credenziali già compromesse.

Quando un servizio online subisce una violazione, possono finire in rete milioni di combinazioni di email e password. Queste credenziali vengono poi vendute, condivise o raccolte in grandi database. Gli attaccanti le usano per provare automaticamente l’accesso ad altri servizi.

Il credential stuffing funziona perché molte persone riutilizzano la stessa password su più siti. Se uso la stessa password per un forum, per un social network, per la posta elettronica e per un servizio cloud, basta che uno di questi venga violato per mettere a rischio anche gli altri.

L’attaccante non deve indovinare nulla. Ha già una combinazione di credenziali e prova a vedere dove funziona.

Per questo la difesa principale è usare password uniche. Ogni account deve avere una password diversa. Se una viene compromessa, il danno rimane circoscritto.

Naturalmente ricordare decine di password uniche e complesse è quasi impossibile. Ed è proprio per questo che serve un password manager.

Autenticazione forte: perché oggi è indispensabile

L’autenticazione forte è una delle difese più efficaci contro il furto di account.

Quando usiamo solo una password, tutto dipende da un singolo elemento. Se la password viene rubata, intercettata, indovinata o riutilizzata, l’account è esposto. Con l’autenticazione forte, invece, l’accesso richiede almeno un secondo fattore.

Si parla spesso di 2FA, cioè autenticazione a due fattori, e di MFA, autenticazione a più fattori. La logica è simile: non basta sapere qualcosa, come la password. Serve anche possedere qualcosa, come un telefono o una chiave hardware, oppure essere qualcosa, come nel caso dell’impronta digitale o del riconoscimento facciale.

Le app di autenticazione sono generalmente preferibili agli SMS, perché gli SMS possono essere esposti a rischi come il SIM swapping. Le chiavi hardware sono ancora più robuste, soprattutto per account critici o contesti aziendali.

Il punto pratico è questo: attivare la MFA sugli account principali dovrebbe essere una priorità. Email, servizi cloud, home banking, social network, account di lavoro e piattaforme usate per gestire pagamenti o dati sensibili non dovrebbero mai essere protetti solo da una password.

Brute force, dictionary attack e credential cracking

Accanto al credential stuffing esistono altri attacchi alle password.

Il brute force attack prova sistematicamente molte combinazioni possibili fino a trovare quella corretta. È un attacco molto semplice nel concetto, ma può diventare efficace contro password brevi o prevedibili. Più una password è lunga e complessa, più aumenta il tempo necessario per indovinarla.

Il dictionary attack è più mirato. Invece di provare tutte le combinazioni, usa liste di password comuni: parole frequenti, sequenze numeriche, nomi, date, combinazioni già viste in precedenti violazioni. Password come “123456”, “password”, “qwerty” o varianti simili sono estremamente deboli perché compaiono spesso in questi dizionari.

Il credential cracking riguarda invece il tentativo di ricavare password a partire da dati protetti, come gli hash rubati da un sistema compromesso. Le password non dovrebbero mai essere memorizzate in chiaro, ma se gli hash vengono sottratti e sono protetti male, gli attaccanti possono provare a decifrarli con strumenti automatici, dizionari, rainbow table e potenza di calcolo.

Questi attacchi mostrano perché non basta scegliere una password “che ci sembra difficile”. Serve una strategia: password lunghe, uniche, generate casualmente, conservate in un password manager e protette da MFA.

Le buone pratiche per proteggere account e dati

La protezione degli account parte da alcune abitudini concrete.

La prima è non riutilizzare mai la stessa password su più servizi. È forse la regola più importante contro il credential stuffing.

La seconda è usare un password manager per generare password lunghe e casuali. Una password non deve essere facile da ricordare se viene memorizzata in modo sicuro da uno strumento dedicato.

La terza è attivare l’autenticazione a più fattori sugli account principali. Anche una password rubata diventa molto meno utile se l’attaccante non possiede il secondo fattore.

La quarta è controllare con attenzione email, link e allegati, soprattutto quando il messaggio crea urgenza o chiede dati sensibili.

La quinta è verificare sempre le richieste anomale tramite canali ufficiali. Non bisogna rispondere direttamente al messaggio sospetto, ma usare un contatto indipendente.

La sesta è limitare le informazioni pubbliche sui social e nei profili professionali. Non tutto ciò che è pubblico sembra sensibile, ma può diventarlo se usato per costruire un attacco mirato.

Per le aziende si aggiungono altri livelli: formazione periodica, simulazioni di phishing, procedure per i pagamenti, politiche di gestione delle password, controllo degli accessi, monitoraggio dei tentativi di login, rate limiting, CAPTCHA e rilevamento di accessi sospetti.

La sicurezza parte dal comportamento

La sicurezza informatica non è fatta solo di strumenti. Gli strumenti sono fondamentali, ma da soli non bastano.

Un filtro antiphishing può bloccare molte email sospette, ma non tutte. Un password manager può aiutarci a non riutilizzare password, ma dobbiamo usarlo correttamente. La MFA può proteggerci anche quando la password viene rubata, ma dobbiamo attivarla. Una policy aziendale può essere ben scritta, ma deve essere compresa e applicata.

Il punto centrale è che la sicurezza è un processo continuo. Non si risolve una volta per tutte. Si costruisce con abitudini, attenzione, aggiornamento e metodo.

Il phishing e il social engineering ci ricordano che l’essere umano è spesso il punto più esposto, ma non per questo deve essere considerato solo l’anello debole. Una persona formata e consapevole può diventare una delle difese più efficaci.

Conclusione

Phishing, social engineering e attacchi alle password sono tra le minacce più comuni e concrete della sicurezza informatica moderna.

Il phishing prova a ingannarci con messaggi apparentemente legittimi. Il social engineering costruisce storie credibili per manipolare il nostro comportamento. Il credential stuffing sfrutta password già rubate e riutilizzate. Gli attacchi brute force, dictionary e credential cracking cercano di indovinare o ricavare le credenziali con metodi automatici.

A prima vista sembrano tecniche diverse, ma il messaggio finale è lo stesso: account e dati vanno protetti con attenzione.

Non dobbiamo vivere la tecnologia con paura, ma con consapevolezza. Ogni volta che controlliamo un link prima di cliccare, ogni volta che verifichiamo una richiesta sospetta, ogni volta che usiamo una password unica, ogni volta che attiviamo la MFA, stiamo rendendo più sicura la nostra vita digitale.

La sicurezza online non dipende da un singolo gesto eroico, ma da tante piccole scelte corrette ripetute nel tempo.

E spesso la scelta più importante è anche la più semplice: fermarsi un momento, ragionare e non consegnare le chiavi all’attaccante.