La cybersicurezza si basa su un principio tecnico semplice: ogni account online, ogni dispositivo connesso e ogni scambio di dati costituisce una potenziale superficie di attacco. Proteggere i propri dati online significa ridurre metodicamente questa superficie con comportamenti concreti, alla portata di tutti, anche senza competenze informatiche specifiche.
Phishing e siti falsi: la minaccia che aggira le protezioni tradizionali
Il rapporto di Cybermalveillance.gouv.fr pubblicato a marzo 2026 colloca il phishing al primo posto tra le minacce segnalate, con un aumento delle richieste di assistenza rispetto al 2024. Gli scenari vanno ben oltre la semplice email sospetta.
I falsi messaggi di consegna sono un buon esempio di questa evoluzione. Un SMS annuncia che un pacco è bloccato, rimanda a un sito che imita quello di un corriere noto e chiede poi il pagamento di pochi euro. Il vero obiettivo è raccogliere dati bancari o credenziali di accesso.
Un sito fraudolento ben realizzato può anche trasmettere in tempo reale le credenziali inserite e poi chiedere un codice monouso. Persino l’autenticazione a due fattori via SMS non blocca questo tipo di attacco, se il sito intermediario inoltra le informazioni al servizio autentico. Le risorse dedicate alla sicurezza su Geekfinity illustrano nel dettaglio questi meccanismi di intercettazione e le relative contromisure.
La buona abitudine da adottare: non cliccare mai su un link ricevuto via messaggio per accedere a un servizio bancario, a un corriere o a un ente pubblico. Digitare direttamente l’indirizzo del sito nel browser elimina il rischio di essere reindirizzati a una copia fraudolenta.
Autenticazione a due fattori: perché gli SMS non bastano più
L’autenticazione a due fattori (o 2FA) aggiunge un’ulteriore verifica dopo la password. Il principio è valido, ma non tutti i fattori offrono lo stesso livello di sicurezza.
L’ANSSI raccomanda di non usare gli SMS come secondo fattore. Ci sono due ragioni tecniche. Innanzitutto, un SMS può essere intercettato con un attacco di SIM swapping, in cui un aggressore ottiene dall’operatore una copia della scheda SIM. Inoltre, come accennato sopra, un sito falso può chiedere il codice ricevuto via SMS e inoltrarlo in tempo reale al servizio autentico.
Le alternative più sicure si distinguono per livello di protezione:
- Le app di autenticazione (come Google Authenticator, Authy o Microsoft Authenticator) generano codici direttamente sul telefono, senza passare dalla rete mobile. Bloccano il SIM swapping, ma restano vulnerabili se l’utente inserisce il codice su un sito falso.
- Le chiavi di sicurezza FIDO (chiavi USB fisiche come YubiKey) verificano automaticamente il dominio del sito prima di autorizzare l’accesso. Un sito falso non riceve alcuna informazione.
- Le passkey, integrate nei sistemi Apple, Google e Microsoft, si basano sullo stesso principio crittografico delle chiavi FIDO. Verificano il dominio del sito e resistono al phishing senza richiedere hardware aggiuntivo.
Attivare l’autenticazione a due fattori è comunque un importante passo avanti in termini di sicurezza, anche via SMS. Passare a un’app di autenticazione o alle passkey è il passo successivo.
Password e gestore dedicato: le basi tecniche
Riutilizzare la stessa password per più account trasforma una violazione dei dati di un servizio secondario in una porta d’accesso alla posta elettronica, al conto bancario o ai social network. Questo meccanismo, chiamato credential stuffing, sfrutta il fatto che la maggior parte degli utenti riutilizza le proprie credenziali.
La soluzione pratica è un gestore di password. Questo tipo di software genera una password lunga e univoca per ogni servizio, la conserva in una cassaforte crittografata e la inserisce automaticamente al momento dell’accesso. L’utente deve ricordare una sola password principale.
Ecco alcuni criteri per scegliere un gestore affidabile:
- La crittografia end-to-end, che garantisce che nemmeno il produttore del software possa leggere le password salvate
- La sincronizzazione tra dispositivi (computer, telefono, tablet), per evitare di ricadere nella comodità di usare un’unica password
- La compatibilità con le passkey, che consente di centralizzare gradualmente tutti gli accessi in un unico strumento
- La pubblicazione di un audit di sicurezza indipendente, garanzia di trasparenza sulla solidità del prodotto
Falsi servizi di assistenza tecnica e truffe telefoniche: un rischio sottovalutato
Cybermalveillance.gouv.fr descrive il falso supporto tecnico come una minaccia a sé stante. Lo scenario tipico: sullo schermo compare una finestra con un messaggio di allerta che imita Windows o macOS e invita a chiamare un numero di telefono. L’interlocutore, che si presenta come tecnico, chiede poi di accedere da remoto al computer.
Una volta connesso, può installare un software di controllo remoto, sottrarre file o chiedere un pagamento per un intervento inesistente. Nessun produttore di sistemi operativi contatta i propri utenti in questo modo.
Se compare una schermata di questo tipo: chiudere il browser (se necessario, forzarne la chiusura tramite il task manager), non chiamare mai il numero visualizzato e non concedere mai l’accesso remoto a una persona che non lo ha richiesto. Se il browser non si chiude, nella maggior parte dei casi basta riavviare il dispositivo.
Aggiornamenti e backup: due automatismi da non trascurare
Gli aggiornamenti di sicurezza correggono vulnerabilità sfruttate attivamente dagli aggressori. Rimandare un aggiornamento di qualche settimana può bastare a lasciare una porta aperta. Attivare gli aggiornamenti automatici su tutti i dispositivi (telefono, computer, tablet e dispositivi connessi) elimina questo rischio senza alcuno sforzo.
I backup proteggono da un altro scenario: il ransomware, che cifra i file e chiede un riscatto. Un backup recente, conservato su un supporto scollegato dalla rete (disco rigido esterno, chiavetta USB), permette di ripristinare i dati senza cedere al ricatto. La regola pratica: eseguire un backup almeno una volta al mese su un supporto fisico scollegato.
Queste due misure, aggiornamenti e backup, non impediscono che si verifichi un attacco. Ne limitano però le conseguenze, trasformandolo in un inconveniente temporaneo anziché in una perdita definitiva di dati o dell’accesso.
