Phishing e truffe via email: come proteggere la tua azienda

Gran parte degli attacchi informatici a una piccola azienda non inizia con un hacker sofisticato, ma con una semplice email. Il phishing, messaggi che si spacciano per fornitori, banche, corrieri o colleghi per rubare dati o soldi, resta la porta d'ingresso più usata, perché punta sull'anello più fragile: la fretta delle persone. La buona notizia è che difendersi è soprattutto una questione di consapevolezza e di poche misure concrete.

Perché le PMI sono un bersaglio

I criminali sanno che nelle piccole aziende mancano spesso reparti IT e procedure, e che chi lavora è sotto pressione. Le esche più diffuse sfruttano proprio la quotidianità: finti ordini, fatture e solleciti di pagamento sono tra i temi più usati nelle campagne malevole rilevate in Italia. Un allegato aperto di fretta o un link cliccato senza pensarci bastano a iniziare un guaio.

La truffa più costosa: il bonifico dirottato (BEC)

È la frode che fa più danni: qualcuno finge di essere un fornitore abituale (o il titolare) e, via email, comunica un "nuovo IBAN" per un pagamento in arrivo, oppure chiede un bonifico urgente. Sembra tutto normale, e i soldi finiscono sul conto sbagliato. La regola d'oro: ogni cambio di IBAN o richiesta di pagamento urgente va verificato con una telefonata al numero che conosci già, mai a quello scritto nell'email.

I segnali che devono insospettire

• Urgenza e pressione: "entro oggi", "account bloccato", "ultimo avviso".
• Mittente quasi giusto: un dominio con una lettera cambiata o un dominio pubblico al posto di quello aziendale.
• Link che non corrispondono: il testo dice una cosa, l'indirizzo reale (visibile passandoci sopra) ne dice un'altra.
• Allegati inattesi (fatture, ordini) che chiedono di "abilitare" qualcosa.
• Richieste insolite: cambi di IBAN, credenziali, dati riservati via email.

Cosa fare, in pratica

• Formazione del personale: è la difesa che rende di più. Chi riconosce un'email sospetta non ci casca. Meglio una cultura del "nel dubbio, verifico" che mille filtri.
• Autenticazione a più fattori (MFA): anche se una password viene rubata, senza il secondo fattore l'accesso resta bloccato.
• Verifica fuori banda: pagamenti e cambi IBAN confermati per telefono, sempre.
• Aggiornamenti e filtri antispam attivi e mantenuti.
• Backup a prova di ransomware: se qualcosa va storto, ripartire dai dati è l'ultima rete di salvataggio.

Se sospetti di essere caduto nella trappola

Non nascondere l'errore: prima si reagisce, meno danni si fanno. Cambia subito le password coinvolte, avvisa chi gestisce l'IT, contatta la banca se ci sono di mezzo pagamenti e isola il dispositivo se temi un malware.

Come ti aiutiamo

Formiamo il personale a riconoscere le trappole, attiviamo l'autenticazione a più fattori sugli accessi importanti, mettiamo in sicurezza email e dispositivi e impostiamo backup che ti fanno ripartire in caso di attacco. Sono le stesse misure di buona igiene informatica che chiede anche la direttiva NIS2: proteggono l'azienda oggi e la rendono un partner affidabile domani.