GUIDA OSINT #2 – Come capire se un’email è falsa: 5 trucchi del mestiere

Questo articolo fa parte di una guida dedicata all’OSINT (Open Source Intelligence), la disciplina che insegna a raccogliere e analizzare le informazioni disponibili pubblicamente (e gratis) per riconoscere i contenuti web pericolosi o fraudolenti, se ti sei persa/o l’ultimo articolo (come riconoscere se un sito è affidabile), puoi trovarlo cliccando qui.

Oggi ci concentriamo su un tema “antico” ma di totale attualità, essendo le tecniche di truffa online in costante evoluzione: le email false. 

Ogni giorno milioni di messaggi fraudolenti raggiungono caselle di posta private e aziendali con l’obiettivo di prelevare dati, prendere in ostaggio dispositivi o rubare denaro. Sono sorte vere e proprie Scam City (ne abbiamo parlato qui) che hanno come obbiettivo principale la truffa di malcapitati navigatori del web.

Sapere come riconoscere una eMail truffaldina è quindi una competenza fondamentale.

1. Controlla il mittente

Verifica sempre l’indirizzo email reale, non solo il nome visualizzato nella tua casella di posta.

Spesso i truffatori usano domini simili a quelli ufficiali per passare inosservati (es. @g00gle.com invece di @google.com). 

Come faccio a verificare se l’indirizzo eMail è “originale” o “tarocco”?
Semplice, con una rapida googlata per verificare direttamente sul sito presunto proprietario della eMail (solitamente è presente una sezione “contatti”, nella quale è possibile confrontare il dominio presente nella eMail con quello del sito) oppure sfruttando un servizio “WhoIs” (letteralmente “Chi è?”) come il seguente: https://www.whois.com/whois/ 

2. Analizza i link

Nel caso in cui l’eMail contenga dei link passa il mouse sopra i link senza cliccarli: probabilmente vedrai un’anteprima del sito cui punta il link sospetto. Controlla se l’URL corrisponde davvero al sito dichiarato: i link fraudolenti spesso puntano a domini sconosciuti o mascherati. In caso ciò non avvenga, puoi utilizzare un servizio gratuito per verificare il link, come ad esempio il seguente: https://iplogger.org/it/url-checker/ 

3. Osserva il linguaggio

A volte si sa, i rimedi classici sono i migliori.

Errori grammaticali, traduzioni approssimative o tono eccessivamente urgente sono segnali tipici di una truffa, che dovrebbero metterti sin da subito sull’attenti. Le email ufficiali di aziende e istituzioni hanno uno stile coerente e utilizzando un linguaggio professionale, mentre un linguaggio “allarmista” o stereotipato (frasi che vanno bene “in ogni caso” e sono eccessivamente generico e senza alcun riferimento alla tua persona) è spesso usato per spingere l’utente ad agire senza riflettere.

4. Controlla gli allegati

Il modo più semplice per diffondere virus e malware di ogni genere è “allegarli” nascondendoli in file che, una volta scaricati ed eseguiti sul computer della vittima, attivino il proprio contenuto maligno.

Allegati insoliti e da eseguire (file .exe, .zip, .scr) sono spesso veicoli di malware.

Le aziende inviano documenti in formati standard, di dimensioni minime (PDF, DOCX), raramente eseguibili.

Una buona soluzione è quella di analizzare un file sospetto con il proprio antivirus prima di aprirlo.

5. Valuta la richiesta

Diffida SEMPRE di email che chiedono dati personali, password o pagamenti urgenti. Nessuna banca o ente pubblico chiede credenziali via email, e anche se il form di richiesta ti sembra originale, sempre più spesso gli hacker si sono specializzati nell’imitazione di siti o landing page ufficiali al solo scopo di raccogliere informazioni inserite spontaneamente da utenti inesperti.

Anche in questo caso, i metodi “di una volta” sono i più efficaci: contatta il mittente (naturalmente non rispondendo alla eMail, ma cercando contatti online sul sito ufficiale).

Rischi e trappole

Anche per le eMail, i rischi sono molteplici e variegati, includendo ad esempio:

• Phishing: imitazione di portali ufficiali per rubare credenziali.
• Malware: allegati che infettano il dispositivo.
• Social engineering: manipolazione psicologica per ottenere informazioni.

Riconoscere un’email falsa è una abilità OSINT essenziale. Con questi 5 punti, fondamentali ma non esaustivi, potrai evitare la maggior parte delle truffe via eMail.

Resta online per i prossimi suggerimenti!