Il phishing con domini istituzionali è efficace perché sfrutta una aspettativa: una comunicazione che sembra arrivare da una banca, da un servizio pubblico o da una autorità viene trattata come urgente e credibile. Nel caso Revolut riportato dalla stampa, circa 680 clienti sarebbero stati avvisati dopo che truffatori avrebbero usato un dominio simile a quello di una istituzione per consegnare informazioni personali. La notizia indica che i sistemi della piattaforma non sarebbero stati violati: il punto è la imitazione del mittente e la capacità di convincere il destinatario. In questa guida vediamo come proteggere clienti e comunicazioni aziendali.
Phishing con domini istituzionali: la fiducia come superficie di attacco
Una truffa non deve entrare nel sistema della azienda per danneggiarne i clienti. Può usare un dominio simile, una pagina copiata o una telefonata che cita dati reperibili pubblicamente. Il destinatario riconosce il contesto e abbassa la attenzione.
La fiducia è quindi una superficie di attacco. Una azienda deve aiutare le persone a verificare una comunicazione senza chiedere loro di riconoscere ogni dettaglio tecnico. La regola più efficace è indicare con chiarezza quali canali vengono usati, quali richieste non vengono mai fatte e come contattare il supporto.
Come funzionano i domini simili
Un dominio falso può usare una parola aggiunta, una lettera sostituita, una estensione diversa o un sottodominio costruito per sembrare ufficiale. Il testo visualizzato in un messaggio non coincide sempre con la destinazione reale. Anche un certificato valido protegge la connessione, non certifica che il proprietario sia chi dichiara di essere.
Controllare:
- dominio completo e non solo il nome visibile;
- mittente tecnico e indirizzo di risposta;
- coerenza tra dominio, pagina e servizio;
- data di registrazione quando disponibile;
- collegamenti presenti nelle comunicazioni precedenti.
Per una persona non tecnica è più semplice usare il programma o un sito già salvato nei preferiti. Le aziende devono renderlo possibile con messaggi brevi e procedure ripetibili.
Comunicazioni ufficiali e messaggi di sicurezza
Una comunicazione legittima dovrebbe spiegare il motivo del contatto e il canale per verificare. Evitare di inserire nel testo link che chiedono password o codici se la persona può accedere digitando manualmente il servizio. Quando un messaggio riguarda un pagamento, un blocco o una modifica urgente, proporre una verifica in area autenticata.
La sicurezza del messaggio deve essere accompagnata da contenuti coerenti:
- spiegare che cosa è successo senza minimizzare;
- indicare quali dati possono essere coinvolti;
- dire cosa deve fare il cliente;
- fornire un canale già noto;
- ricordare che il supporto non chiederà password o codici.
Una comunicazione vaga lascia spazio a nuove truffe. Una comunicazione troppo dettagliata può fornire informazioni a chi vuole imitare il servizio. Bilanciare trasparenza, utilità e protezione.
Proteggere i clienti con autenticazione forte
La autenticazione a più fattori riduce il valore di una password rubata, ma non impedisce ogni truffa. Un attaccante può chiedere un codice in tempo reale o convincere il cliente ad approvare un accesso. Per questo è utile adottare metodi resistenti al phishing e mostrare nel processo il servizio, dispositivo e azione che si sta approvando.
Le notifiche devono essere leggibili. Un avviso che dice soltanto “nuovo accesso” non aiuta quanto una notifica che mostra posizione approssimativa, dispositivo e possibilità di rifiuto. Il cliente deve poter revocare sessioni e contattare il servizio senza seguire il link ricevuto.
Rilevare domini e campagne imitate
Un team può monitorare nuovi domini che assomigliano al proprio marchio, pagine pubbliche e segnalazioni dei clienti. Il rilevamento non deve trasformarsi in una raccolta indiscriminata di dati. Definire parole chiave, fonti e soglie di escalation.
Quando viene individuato un dominio sospetto:
- conservare indirizzo, pagina e orario;
- verificare se usa il marchio o la grafica aziendale;
- informare il referente sicurezza e legale;
- chiedere rimozione tramite canali appropriati;
- pubblicare un avviso nei canali ufficiali;
- verificare se clienti hanno inserito dati.
La risposta deve considerare anche social, messaggi e telefonate. Un dominio può essere soltanto uno degli elementi della campagna.
Se i dati del cliente sono stati consegnati
Chiedere al cliente di non interagire più con il mittente, cambiare password da un canale ufficiale e revocare sessioni. Se sono stati comunicati dati di pagamento, contattare subito il provider e emittente. Non chiedere di inviare password o codici per “verificare” incidente.
Internamente registrare tipo di dato, orario, canale e account coinvolto. Separare i fatti verificati dalle ipotesi. Valutare obblighi di notifica e comunicazione con i responsabili competenti; questa guida non sostituisce un esame legale.
Brand e sicurezza devono collaborare
Il marketing protegge il riconoscimento del marchio, la sicurezza protegge account e dati, il customer care ascolta i segnali. Se questi team lavorano separati, la azienda può pubblicare una grafica facile da imitare o rispondere tardi alle segnalazioni.
Preparare un kit con:
- loghi e domini ufficiali da usare;
- esempi di messaggi autentici;
- frasi che il supporto non pronuncia mai;
- canale unico per segnalare un falso;
- approvazioni per comunicazioni di incidente.
Aggiornare il kit quando cambia il dominio, il provider o il flusso di accesso.
Errori comuni da evitare
Il primo errore è pensare che il cliente debba riconoscere il falso da solo. Il secondo è usare URL diversi in ogni campagna. Il terzo è pubblicare un avviso senza spiegare come verificare.
Evitare di chiedere al cliente di inoltrare il messaggio con dati personali visibili. Fornire un modulo o un indirizzo di segnalazione con istruzioni di redazione. Non promettere che nessun dato è coinvolto prima di aver completato il controllo.
Cosa ricordare sul phishing con domini istituzionali
Il phishing con domini istituzionali sfrutta fiducia, urgenza e imitazione. Il caso Revolut ricorda che una campagna può colpire clienti anche senza una intrusione nei sistemi della azienda. Proteggere domini e account, definire comunicazioni ufficiali, offrire canali indipendenti e rispondere rapidamente alle segnalazioni. Per collegare sicurezza e reputazione si può leggere anche la guida BRWeb sulla Web Reputation per il successo di una azienda.
Piano di risposta e messaggio al cliente
Quando viene scoperto un dominio falso, preparare una sequenza con proprietari e tempi. Il team sicurezza raccoglie indicatori, il supporto risponde alle persone, il marketing aggiorna i canali ufficiali e il responsabile decide se coinvolgere altri soggetti. Una lista di contatti già approvata evita che il primo messaggio di incidente resti fermo in attesa di una autorizzazione non chiara.
Il messaggio deve essere concreto. Dire quale comunicazione è falsa, come riconoscere il dominio corretto, quale attività compiere e quale attività evitare. Non chiedere al cliente di inviare credenziali per verificare il profilo. Se esiste un rischio sui pagamenti, indicare il numero ufficiale e la possibilità di bloccare la carta o il conto.
Dopo la fase urgente analizzare perché il falso era credibile. Forse la azienda usa troppi domini, cambia spesso grafica o inserisce collegamenti diversi per ogni campagna. Semplificare il linguaggio e pubblicare una pagina stabile con le regole di sicurezza. Il cliente deve avere un punto di riferimento che non dipenda dal messaggio ricevuto.
Rafforzare il dominio legittimo
Un azienda può rendere più riconoscibili i propri canali usando pochi domini, una grafica coerente e un accesso stabile. Pubblicare una pagina “come contattarci” con indirizzi e regole, poi collegarla da ogni comunicazione. Evitare di cambiare dominio per campagne brevi quando non è indispensabile.
Configurare controlli tecnici per autenticare i messaggi e monitorare esiti di consegna. Questi strumenti non fermano ogni falso, ma aiutano i destinatari e il team IT a distinguere posta legittima da imitazioni. Per i servizi critici, usare notifiche dentro la area autenticata e non soltanto email.
Testare la procedura con esempi fittizi. Misurare quanto tempo impiega il supporto a confermare un messaggio e quanti dati vengono chiesti alla persona. Il percorso corretto deve essere più semplice del percorso creato dal truffatore.
Costruire fiducia senza promettere troppo
La comunicazione di sicurezza deve essere coerente nel tempo. Usare lo stesso dominio, lo stesso numero di supporto e una pagina stabile rende più facile riconoscere un messaggio vero. Se il servizio cambia procedura, avvisare prima con un canale già conosciuto e spiegare la modifica.
Formare il customer care con risposte brevi: nessuno del team chiede password, codici o accesso remoto; il cliente può chiudere la chiamata e richiamare il numero ufficiale; una segnalazione non comporta colpa. Queste frasi aiutano a spezzare la pressione della truffa.
Registrare le domande che arrivano dal pubblico. Una domanda ripetuta indica che la pagina di sicurezza o la procedura di accesso non è abbastanza chiara. Il miglioramento del servizio diventa anche una misura contro future campagne di phishing.
Verifica trimestrale dei canali
Ogni trimestre controllare domini, numeri, pagine di supporto e messaggi automatici. Rimuovere indirizzi non usati e aggiornare i riferimenti nei contratti. Un elenco corto di canali affidabili è più semplice da proteggere e da spiegare ai clienti.
Una verifica semplice
Prima di fidarsi di un messaggio, chiudere il percorso ricevuto e aprire il servizio dal canale abituale. Questa pausa protegge il cliente e permette al supporto di lavorare su una segnalazione più chiara. Il phishing con domini istituzionali perde efficacia quando il canale abituale è facile da raggiungere.
