La superficie di attacco di un privato o di una piccola organizzazione non si limita più alla casella di posta elettronica. Secondo Cybermalveillance.gouv.fr, nel 2025 le violazioni dei dati personali hanno provocato un forte aumento delle richieste di assistenza, e le tecniche di truffa combinano ormai SMS, telefonate e autorizzazioni bancarie in un’unica sequenza. Proteggere i propri dispositivi e i dati online richiede di andare oltre l’elenco di consigli generici e affrontare i reali vettori di compromissione.
Passkey e autenticazione a più fattori: cosa cambia concretamente nella resistenza al phishing
Le password, anche se lunghe e complesse, restano vulnerabili quando un utente le inserisce su un sito falso. Le passkey si basano su una coppia di chiavi crittografiche associate al servizio in questione: la chiave privata non lascia mai il dispositivo e non può essere riutilizzata su un dominio fraudolento. Il vantaggio principale non è la comodità, ma l’eliminazione del rischio legato all’inserimento delle credenziali su un sito clonato.
Il 20 marzo 2025 la CNIL ha adottato una raccomandazione sull’autenticazione a più fattori. La raccomandazione conferma che l’autenticazione a due fattori resta una misura minima di sicurezza, ma non costituisce una garanzia assoluta. Una persona può comunque autorizzare un’operazione fraudolenta se viene manipolata al telefono.
Gli articoli rivolti al grande pubblico presentano l’autenticazione a due fattori come una casella da spuntare. In pratica, consigliamo di dare la priorità agli account in base alla loro criticità: prima quelli bancari, l’indirizzo e-mail principale e l’archiviazione cloud, poi i social network. Nella sezione sicurezza di Tech Mafia sono illustrate nel dettaglio le modalità di attivazione per ciascun servizio, con le differenze tra TOTP, notifiche push e passkey.
Truffe multicanale: perché un solo indizio non basta più a individuare una frode
Il classico schema dell’e-mail sospetta piena di errori di ortografia è ormai superato. Le osservazioni del 2025 riportate da Cybermalveillance.gouv.fr segnalano un aumento delle truffe con falsi consulenti bancari e della falsificazione dei numeri di telefono. Lo scenario tipico si articola in più fasi: un SMS di allerta, seguito da una chiamata proveniente da un numero che sembra quello della banca, e infine una richiesta di autorizzazione tramite l’app mobile.
Le violazioni dei dati contribuiscono direttamente a rendere credibili questi attacchi. Quando un truffatore conosce il nome, l’indirizzo e il numero di conto della vittima, è difficile distinguere il suo discorso da quello di una chiamata legittima. L’unica contromisura affidabile è riagganciare e richiamare il numero ufficiale dell’ente, reperito su un estratto conto cartaceo o sul sito verificato, mai tramite il link o il numero ricevuto.
Come comportarsi concretamente di fronte a una richiesta sospetta
- Non autorizzare mai un’operazione bancaria su richiesta di chi ci contatta, qualunque sia il canale (SMS, chiamata, messaggio istantaneo). Un vero consulente bancario non chiede di confermare un bonifico in tempo reale al telefono.
- Verificare l’URL del sito a cui si viene reindirizzati prima di inserire le credenziali. Basta modificare un carattere nel nome del dominio per creare un sito fraudolento.
- Segnalare subito ogni tentativo sulla piattaforma Cybermalveillance.gouv.fr, anche se non si è subito alcun danno. Le segnalazioni permettono di disattivare più rapidamente i domini dannosi.
Aggiornamenti e separazione degli utilizzi: la reale superficie di attacco dei dispositivi
Un dispositivo con un sistema operativo non aggiornato è esposto a vulnerabilità note e documentate pubblicamente. Le patch di sicurezza non sono miglioramenti estetici: correggono vulnerabilità che gli aggressori talvolta sfruttano pochi giorni dopo la loro pubblicazione. Attivare gli aggiornamenti automatici su ogni dispositivo resta la misura più efficace in rapporto all’impegno richiesto.
Separare gli utilizzi personali da quelli professionali non è soltanto una raccomandazione di buona igiene digitale. Collegare una chiavetta USB personale a un computer di lavoro o usare lo stesso indirizzo e-mail per un servizio amministrativo e un forum di svago crea collegamenti tra ambienti con livelli di sicurezza diversi. Se uno dei due viene compromesso, l’aggressore può accedere all’altro senza ulteriori sforzi.
Gestione delle autorizzazioni e dei software installati
Installare applicazioni solo dagli store ufficiali (App Store, Google Play) o dai siti verificati degli sviluppatori riduce il rischio di eseguire software modificati. Su un computer, usare quotidianamente un account utente standard (senza privilegi di amministratore) limita i danni causati da un programma malevolo: non potrà modificare i file di sistema né installarsi in profondità.
Ogni applicazione installata amplia la superficie di attacco. Disinstallare i software inutilizzati e revocare le autorizzazioni eccessive (accesso al microfono, alla posizione, ai contatti) riduce automaticamente l’esposizione. Sia su Android sia su iOS, le impostazioni sulla privacy consentono di controllare questi accessi in pochi minuti.
Backup e crittografia dei dati: la rete di sicurezza spesso trascurata
I ransomware crittografano i file e chiedono un pagamento. Senza un backup recente, la vittima deve scegliere tra pagare (senza alcuna garanzia di recuperare i dati) e accettarne la perdita. Un backup regolare su un supporto scollegato dalla rete (disco esterno, archiviazione offline) annulla il potere di ricatto dell’aggressore.
La prassi abituale consiste nel mantenere almeno due copie dei dati su supporti diversi, di cui una fisicamente separata dalla postazione di lavoro. I servizi cloud sincronizzati non sostituiscono il backup offline: un ransomware può propagarsi ai file sincronizzati prima di essere rilevato.
La crittografia del disco (BitLocker su Windows, FileVault su macOS) protegge i dati in caso di furto fisico del dispositivo. Se un portatile viene rubato su un treno e il disco non è crittografato, è possibile accedere a tutti i file anche se la sessione è protetta da password.
La sicurezza digitale non è una condizione stabile. Le tecniche di attacco evolvono, le fughe di dati forniscono ai truffatori informazioni sempre più precise e ogni nuovo dispositivo connesso aggiunge un potenziale punto di accesso. Le misure descritte qui non richiedono un budget specifico né competenze avanzate, ma devono essere applicate con costanza, non soltanto conosciute.
