Come riconoscere una mail falsa

Ogni giorno ricevi molte email, tra cui alcune che ti lasciano più di una perplessità circa la loro natura: saranno messaggi reali e affidabili o tentativi di raggiro, studiati per carpire le tue password e i dati delle tue carte di credito? Se hai dei dubbi sulla questione, questa guida potrebbe esserti di aiuto.

Nelle prossime righe, cercherò infatti di darti qualche “dritta” su come riconoscere una mail falsa, così che tu possa difenderti dalle truffe, purtroppo sempre più diffuse sul Web. Ti fornirò delle indicazioni generali per distinguere un messaggio che potrebbe essere una frode, attraverso alcune sue caratteristiche, quindi ti darò delle indicazioni sul da farsi nel malaugurato caso in cui finissi vittima di un attacco di questo genere. Infine, ti elencherò delle soluzioni adatte a proteggere la tua casella di posta elettronica.

A questo punto, non devi far altro che ritagliarti qualche minuto di tempo libero e leggere quanto ho da dirti: vedrai che, alla fine, riuscirai a individuare tutte le mail false senza cadere nel loro tranello e, anzi, avrai tutte le informazioni necessarie a segnalarle a chi di competenza. Ti auguro una buona lettura e ti faccio un grosso in bocca al lupo per tutto!

Indice

• Regole generali per riconoscere una mail falsa
  • Come riconoscere una mail PEC falsa
  • Come riconoscere email falsa Amazon
  • Come riconoscere email spam
• Cosa fare se vittima di phishing
• Come evitare le mail false

Regole generali per riconoscere una mail falsa

Per cominciare, vorrei fornirti una serie di regole generali per riconoscere una mail falsa, in modo che tu possa effettuare una verifica immediata sui messaggi di posta elettronica in arrivo.

Innanzitutto, vanno classificate le tipologie di messaggi che si possono ricevere via email. Escludendo le email di amici, colleghi e parenti, che sai riconoscere e che ritieni affidabili (occhio, però, anche a questi ultimi: i loro device potrebbero essere colpiti da malware che inviano messaggi fraudolenti a loro nome; inoltre non sarebbe difficile per malintenzionati che dovessero conoscere te e/o i tuoi contatti inviarti email con indirizzi falsi, spacciandosi per tuoi conoscenti), ci sono le classiche email commerciali di spam (quelle inviate da aziende, influencer ecc. con una certa assiduità per promuovere eventi e prodotti) e le email di phishing. A quest’ultima tipologia di email bisogna prestare particolare attenzione, in quanto si tratta di un vero tentativo di estorsione, teso a estorcere password, dati personali e dati di pagamento.

Se vuoi testare la veridicità di una email, inizia osservando il mittente del messaggio: se ti sembra proveniente da un tuo contatto noto, dovresti poter procedere alla sua apertura in tranquillità, tuttavia, come sottolineato prima, gli indirizzi possono essere falsificati e i dispositivi dei propri contatti potrebbero essere colpiti da malware che auto-inviano email fraudolente, quindi un pizzico di attenzione è sempre necessario. Esamina attentamente anche il contenuto del messaggio, senza aprire gli allegati: se noti frasi “strane”, magari in lingue straniere o con errori di ortografia insoliti per il mittente, potrebbe trattarsi di un messaggio non autentico.

Nel caso in cui, invece, l’email provenisse da un istituto di credito, di cui sei cliente o meno, oppure dalla piattaforma correlata a un servizio, usa molta cautela. Potrebbe trattarsi di spam o, peggio ancora, di un tentativo di phishing.

Dopo aver controllato il mittente, dai un’occhiata anche alla casella del destinatario: potresti avere qualche sospetto nel caso in cui tu non fossi l’unico (ovviamente ciò non vale per messaggi di lavoro, studio o collettivi, in cui la funzione di Copia Carbone (Cc) è usata spesso). In altre situazioni, potrebbe trattarsi di un processo che ha lo scopo di replicare un virus informatico.

Nel caso in cui ti ritrovassi ad aver aperto l’email sospetta, prima di fare qualsiasi tipo di azione, osserva bene il testo del messaggio. Se leggi richieste di accesso a un portale di home banking (conto corrente online), di un servizio per la reimpostazione di una password o altre credenziali, se ti chiedono documenti o ti avvisano che hai del denaro da riscuotere e non sei stato tu a richiedere in prima persona la ricezione di un messaggio del genere, NON CLICCARE SUI LINK e cestina immediatamente il messaggio.

C’è un’elevata probabilità che si tratti di un tentativo di phishing, in cui, oltre a replicare la tua identità, gli hacker potrebbero accedere al tuo conto corrente. Ricorda: la tua banca, o qualsiasi altro istituto bancario e postale, non chiede mai via email dati sensibili dell’utente, così come non lo fanno le diverse piattaforme online, note e serie, sulle quali hai aperto un account.

Inoltre, è molto difficile che qualcuno ti doni dei soldi, in generale, figuriamoci attraverso il semplice clic su di un collegamento ipertestuale. Ancor più sospetto dovrebbero destarlo la presenza di errori grammaticali o messaggi scritti in lingua straniera: non esitare di fronte a queste situazioni: segnala e cancella subito l’email.

A proposito di link e allegati presenti nelle email, sebbene la maggior parte dei client di posta elettronica siano in grado di bloccare i file eseguibili per i sistemi operativi Windows, macOS e Linux (quelli con estensioni .exe, .dmg, .java, .vba ecc.) quando non si è certi della provenienza di un messaggio è sempre bene non scaricare documenti inclusi e non aprire i link presenti nel testo. Potrebbero contenere virus, spyware e malware di vario genere. Da email sospette, non scaricare nemmeno archivi .zip, .rar, oppure file di Office, PDF o immagini.

Per ciò che riguarda i link, un’ulteriore verifica che puoi fare è passare sopra di essi il cursore del mouse, controllando dall’anteprima che non conducano da tutt’altra parte rispetto a dove indicato dalla dicitura. Qualora fossero indicati dei nomi di domini Web, all’interno di una email, fai attenzione al modo in cui sono scritti: se, ad esempio, il nome di una società nota non appare prima dell’estensione .com, .it, .net e così via, ma c’è un’altra parola in mezzo, potrebbe trattarsi di un sottodominio ingannevole.

Per fare un esempio pratico: se il sito principale è https://aranzulla.it, un indirizzo del tipo https://pagina.aranzulla.it è da considerarsi attendibile (in quanto il dominio che lo ospita è sempre aranzulla.it), mentre non è da considerare attendibile un indirizzo del tipo https://aranzulla.fake.it, in quanto rimanderebbe a una pagina del dominio fake.it e non di aranzulla.it. In questo contesto, occhio anche ai singoli caratteri che vengono usati per gli indirizzi da visitare: basta un punto fuori posto o un carattere poco comune, che somiglia a una lettera di uso comune, per ingannare gli utenti e dirottarli verso domini fraudolenti!

In ogni occasione in cui viene fatta una richiesta di denaro, oppure quando inaspettatamente viene data comunicazione della vincita di soldi, viene fatta la notifica di una presunta sanzione o si legge una email minacciosa nella quale si obbliga l’utente a fare qualcosa di strano, non bisogna dare credito alle missive e, se possibile, segnalare l’accaduto a un’autorità competente. In molti casi, insomma, per riconoscere una email falsa bastano un po’ di semplice avvedutezza e buonsenso.

Come riconoscere una mail PEC falsa

Anche la posta elettronica certificata (PEC) non è immune a spam, phishing o allegati malevoli, motivo per cui sapere come riconoscere una mail PEC falsa è fondamentale per evitare truffe e proteggere i propri dati.

Fortunatamente, verificare l’autenticità di una PEC è più semplice di quanto si pensi. Infatti, a differenza delle email generiche, che spesso richiedono metodi indiretti per la verifica (come quelli di cui ti ho appena parlato), gli indirizzi PEC di aziende e istituzioni possono essere controllati rapidamente grazie ai registri pubblici online.

Uno strumento utile in questo caso è INIPEC (messo a disposizione dal Ministero dello Sviluppo Economico), che permette di verificare in pochi passaggi se una PEC è autentica. Basta accedere al sito ufficiale, selezionare la categoria del mittente (Professionisti o Imprese) e inserire l’indirizzo PEC sospetto nel campo chiamato Indirizzo PEC. Dopo aver superato la verifica anti-robot (spuntando la casella Non sono un robot), clicca su Cerca PEC e otterrai il risultato. Se la PEC è registrata, compariranno i dettagli del mittente; in caso contrario, potresti trovarti di fronte a una frode. Tuttavia, ricorda che gli indirizzi PEC di privati cittadini non sono inclusi in questi registri, quindi un risultato negativo non sempre indica una truffa.

Poiché non esiste ancora un registro governativo ufficiale con gli indirizzi PEC di tutti i cittadini italiani, in caso di dubbi, ti consiglio di effettuare una ricerca sul Web per cercare di capire se si tratta di una mail PEC falsa o meno.

Prova quindi a cercare l’indirizzo PEC su Google: potresti trovare profili ufficiali o riferimenti utili per risalire al mittente. Se non emergono informazioni, analizza la PEC stessa per estrarre dettagli come nomi, cognomi o indirizzi da usare in ricerche più mirate. Per approfondire, puoi consultare le mie guide su come cercare una persona online e su come trovare un indirizzo PEC.

Non perderti inoltre il mio approfondimento dedicato a come riconoscere una PEC falsa, dove, oltre a INIPEC, ti spiego anche come utilizzare il Registro delle Imprese per verificare un’email PEC (dovrai però conoscere il nome dell’azienda) e cosa fare in caso di ricezione di una PEC falsa.

Come riconoscere email falsa Amazon

Un tuo amico ti ha appena raccontato uno spiacevole episodio: ha cliccato su un link in un’email che sembrava provenire da Amazon e, senza rendersene conto, ha condiviso i propri dati di accesso. Poco dopo, si è accorto che il suo account era stato violato o che sulla sua carta di credito erano comparsi addebiti inaspettati. Purtroppo, casi come questo sono sempre più frequenti, ma per fortuna basta imparare come riconoscere email false Amazon per salvarti da truffe e problemi.

Innanzitutto, ricorda che valgono le stesse regole generali di cui abbiamo già parlato: controlla sempre l’indirizzo email del mittente senza limitarti al nome visualizzato, e diffida dei messaggi con toni urgenti o allarmistici, soprattutto se contengono errori grammaticali. Passa il mouse sui link sospetti (senza cliccarli!) per verificare l’URL reale e, se hai scaricato un allegato da una mail Amazon che ti insospettisce, evita di aprirlo (specialmente se in formato eseguibile come .exe) o, al massimo, prima di aprirlo fai una verifica online per sicurezza.

Tieni presente, inoltre, che Amazon non chiede mai per mail i tuoi dati sensibili, perciò, se nel messaggio ti viene chiesto di fornire password, dati della carta o codici di sicurezza, diffida.

Per toglierti ogni dubbio, poi, puoi accedere a Amazon per verificare che tutto sia in ordine. Per farlo da PC, accedi al sito Amazon (mi raccomando, non passare da nessun link presente nella mail, ma digita tu l’URL nella barra degli indirizzi del browser o clicca qui) e verifica eventuali messaggi nella sezione Il mio account. Basta passare il mouse su Ciao [Nome], in alto a destra, quindi premere su Il mio account. Fatto questo, accedi alla sezione Centro Comunicazioni: è qui che potrai vedere i messaggi da Amazon e dai venditori terzi, suddivisi nelle categorie Tutti i messaggi e Messaggi acquirente/venditore.

In alternativa, avvia l’app Amazon sul tuo smartphone o tablet, fai tap sulla voce Account mostrata in cima e scorri la successiva pagina fino a trovare Centro comunicazione. Qui, premi su Messaggi per vedere i messaggi da parte di Amazon dai venditori terzi, sempre suddivisi in Tutti i messaggi e Messaggi acquirente/venditore.

Tieni presente che, sia da PC che da smartphone, puoi visualizzare notifiche o messaggi importanti direttamente nel Centro comunicazioni (senza dover aprire la sezione Messaggi) o direttamente nella schermata principale di Amazon.

Se non trovi messaggi né notifiche inerenti al contenuto delle mail, significa che potresti aver ricevuto una mail Amazon finta: segnala l’email sospetta inoltrandola a reportascam@amazon.com. Se non sai come si fa, leggi questa mia guida. Fatto questo, etichetta come spam la mail usando l’apposita funzione del tuo client.

Potresti trovare utile consultare questa pagina ufficiale di Amazon dedicata alla segnalazione delle truffe. Troverai anche consigli su come comportarti in diverse situazioni, per esempio se hai condiviso i dati del tuo account Amazon o bancari, oppure se hai consentito l’accesso remoto ai tuoi dispositivi.

Come riconoscere email spam

Hai appena aperto la tua casella di posta e tra le tante email ne noti una che ti insospettisce: un oggetto strano, un mittente sconosciuto o un messaggio che sembra troppo bello per essere vero. Ecco, probabilmente ti sei imbattuto in email spam, quelle comunicazioni indesiderate che vanno dalla semplice pubblicità alle truffe più sofisticate. Ma come puoi riconoscere email spam da quelle legittime?

Anche in questo caso valgono le regole generali di cui ti ho parlato in precedenza (es. controllare il dominio, verificare errori grammaticali e tono della mail ecc.). In caso di ulteriori dubbi, puoi usare dei tool specifici in grado di farti riconoscere email spam (o quantomeno darti un’indicazione in merito).

Tra questi troviamo il servizio offerto da Kickbox, impiegabile velocemente gratis e senza bisogno di registrazione. Per provarlo, collegati alla pagina email spam tester di Kickbox, digita l’indirizzo da cui proviene la mail sospetta, supera il controllo anti-robot spuntando la relativa casella e premi sul tasto CHECK.

Ora analizza con attenzione i risultati: il sito non fornisce una semplice risposta “sì” o “no”, ma una serie di responsi su verifiche dettagliate che ti permetteranno di valutare autonomamente l’autenticità dell’indirizzo.

Il sito è in inglese, quindi potresti volerlo tradurre (su Chrome, per esempio, fai clic destro in un punto vuoto e scegli Traduci in italiano – qui trovi come fare su altri browser) per comprendere al meglio l’analisi.

Comunque sia, nella prima riga, troverai l’indicazione sull’esistenza dell’indirizzo email (per esempio, [indirizzo] is valid). Proseguendo, nel campo Result troverai informazioni sulla possibilità di consegna: se compare Risky, significa che l’indirizzo esiste ma presenta problemi di affidabilità (potrebbe quindi essere un account inattivo o associato a comportamenti sospetti, come lo spam); se compare Deliverable, l’indirizzo è valido e in grado di ricevere messaggi.

Sotto la voce Disposable, invece, scoprirai se si tratta di un indirizzo temporaneo (“usa e getta”): True conferma che è temporaneo, mentre False indica il contrario. Scorrendo ulteriormente, troverai altre informazioni utili, come la tipologia dell’indirizzo (aziendale o gratuito) e la presenza di eventuali errori di battitura. Tutti questi dettagli ti aiuteranno a valutare con precisione l’autenticità e l’affidabilità dell’email.

In questa pagina trovi maggiori informazioni sulla terminologia usata dal servizio e su come interpretare i risultati. Se necessario, puoi tradurre la pagina per una comprensione più chiara.

Se pensi di aver riconosciuto una mail spam, puoi segnalare il messaggio usando l’apposita funzione presente nella tua casella di posta (se non sai come fare, leggi qui). Più avanti nel corso di questa guida, inoltre, ti spiegherò anche come difenderti preventivamente da queste mail false, mettendo in campo misure come i filtri anti-spam.

Cosa fare se vittima di phishing

Seppur con tutta l’attenzione del caso, non sei riuscito a evitare l’inganno, quindi temi che i tuoi dati personali e il tuo denaro possano essere in pericolo: niente panico, ecco cosa fare se vittima di phishing.
Nel caso in cui ti sia stato richiesto di inserire le credenziali di accesso relative a un servizio che effettivamente usi, intanto puoi agire effettuando il cambio immediato della password.

Ti consiglio vivamente di cambiare la password anche al tuo account di posta elettronica e a tutti quelli collegati, cioè laddove hai usato la tua email per completare la registrazione a un servizio. Quindi potrebbe trattarsi dei social network, come Facebook, Instagram, X (ex Twitter) e così via (a proposito, se ti capita di essere taggato o raggiunto da profili chiaramente falsi sui social network, usa sempre il modulo di segnalazione di spam, o di qualsiasi altro tipo di violazione, in genere presente su tali canali), dell’account hosting e del proprio sito Web e/o e-commerce e soprattutto della banca.

In quest’ultima situazione, presta particolare attenzione e contatta subito l’istituto bancario presso cui hai aperto i tuoi servizi finanziari, segnalando l’episodio e attivando immediatamente la procedura di blocco della carta di credito. A tal proposito leggi anche la mia guida su cosa fare in caso di carta di credito clonata.
Ad ogni modo, in qualsiasi caso di phishing, è bene fare anche una segnalazione alla Polizia Postale e delle comunicazioni, l’organo istituzionale preposto alla gestione dei crimini informatici. Il servizio ha un dipartimento principale a Roma, che puoi raggiungere da questo link, il quale coordina le amministrazioni locali regionali.

Infine, esegui un’accurata scansione dei tuoi dispositivi (tutti quelli che possiedi, dal PC allo smartphone, passando per il tablet) con un software antimalware: a tal proposito, leggi le mie guide in cui cerco di darti qualche indicazione su qual è il miglior antivirus e come rimuovere malware, cioè tutti quei programmi nati per scopi malevoli, in grado di arrecare danni ai dispositivi di un utente, come, per esempio, anche gli spyware.
Dato che, come dice un famoso slogan “prevenire è meglio che curare”, impara anche come impedire che avvengano degli attacchi informatici, leggendo i miei consigli in merito nella guida su come proteggere il computer dagli hacker.

Come evitare le mail false

Di certo avrai capito che spam e phishing sono fenomeni fastidiosi e, soprattutto, pericolosi, dunque ecco qualche consiglio su come evitare le mail false.

La prima cosa da fare è creare dei filtri anti-spam, disponibili su tutti i maggiori servizi e client di posta elettronica. Impostarli ti permetterà già di ridurre buona parte dei messaggi indesiderati, in grado di raggiungerti via email. Spesso i criteri utilizzati dai filtri prevedono il blocco di un preciso mittente, della posta proveniente da un determinato provider oppure mail che contengono parole o termini particolari, che si riferiscono al mondo del denaro, dei contenuti per adulti o in qualsiasi modo ambigui.

Per sapere come attivare i filtri sui maggiori servizi di posta elettronica, leggi le mie guide in merito su Gmail, Outlook, Yahoo, TIM Mail (ex Alice Mail), iCloud, Virgilio e Libero. Inoltre, trovi ulteriori approfondimenti anche nelle mie guide su come bloccare email da un indirizzo e su come bloccare email indesiderate.

Un altro passaggio è la segnalazione dello spam: prima di eliminare un messaggio “molesto”, utilizza l’opzione che il tuo client mette a disposizione per evitare che lo stesso contenuto ti arrivi nuovamente sull’email. Dovresti trovarla sotto la voce Contrassegna come spam, oppure Segnala come spam e così via.

Le newsletter possono essere utili: iscrivendosi si ricevono informazioni e anche sconti. Tuttavia, a volte, la registrazione a un servizio del genere potrebbe essere avvenuta in modo involontario, dunque provvedi alla cancellazione del tuo indirizzo dalla lista. Farlo dovrebbe essere sempre possibile, secondo le norme del GDPR del Garante per la protezione dei dati personali, in quanto ogni messaggio proveniente da una newsletter deve riportare in calce un link che permette all’utente di non ricevere più quel tipo di email.

Una soluzione più “radicale” può essere rappresentata dall’utilizzo di una casella email temporanea: valuta i pro e i contro dell’idea e per maggiori dettagli sull’argomento, così come per conoscere anche le varie tipologie di spam, leggi la mia guida su come evitare email spam.

Per quanto riguarda il phishing, il primo passo che puoi fare è effettuare le tue ricerche online usando un portale Web sicuro. Puoi riconoscerlo dall’uso del protocollo HTTPS (sigla che sta per HyperText Transfer Protocol over Secure Socket Layer) all’interno della barra di ricerca, così come dalla presenza dell’icona di un lucchetto. Leggi anche la mia guida su come capire se un sito Web è sicuro.

Quando fai acquisti online, fallo da siti noti e di cui è verificabile la serietà, confronta opinioni e feedback su di loro e sui prodotti che vendono, non comprare articoli di cui non sei convinto rispetto la loro qualità oppure che ti danno l’idea di essere contraffatti. Soprattutto usa sempre dei metodi di pagamento sicuri, come PayPal. Per approfondire la questione, ti suggerisco di leggere le mie guide su come prevenire le truffe online e su come fare acquisti online con sicurezza.

Per approfondire l’argomento, ti invito a leggere il mio approfondimento interamente dedicato a come difendersi dal phishing.

Qualora fossi un utente dei servizi finanziari di Poste Italiane, puoi leggere il focus che ho scritto su come difendersi dal phishing di Poste Italiane.

Evita nella maniera più assoluta di divulgare i tuoi dati di accesso agli account di vari servizi, genera per ognuno di loro password sempre diverse e non salvarle sul PC, esponendole con maggior probabilità alle vulnerabilità dei sistemi informatici. A tal proposito, ti consiglio vivamente di usare dei programmi per custodire e generare password sicure.

L’osservanza di questi semplici accorgimenti, di riflesso, dovrebbe evitarti anche di ricevere troppe email false.

In qualità di affiliati Amazon, riceviamo un guadagno dagli acquisti idonei effettuati tramite i link presenti sul nostro sito.

Autore

Salvatore Aranzulla

Salvatore Aranzulla è il blogger e divulgatore informatico più letto in Italia. Noto per aver scoperto delle vulnerabilità nei siti di Google e Microsoft. Collabora con riviste di informatica e cura la rubrica tecnologica del quotidiano Il Messaggero. È il fondatore di Aranzulla.it, uno dei trenta siti più visitati d'Italia, nel quale risponde con semplicità a migliaia di dubbi di tipo informatico. Ha pubblicato per Mondadori e Mondadori Informatica.