Ti fidi di più di un'email o di una telefonata?
Una campagna di phishing analizzata da Check Point punta proprio su questa differenza. In quattordici giorni sono partite circa 24.700 email verso più di 9.000 organizzazioni. Il messaggio promette aiuto a chi è in difficoltà economica: programmi di sollievo dal debito, consolidamento dei prestiti, rate ridotte. In alcuni casi si parla di cancellare fino al 70% del debito o di ottenere assegnazioni fino a 62.000 dollari. Non c'è nessun link. Non c'è nessun allegato. C'è solo un numero di telefono da chiamare.
Perché è più difficile da fermare
I filtri anti-phishing sono tarati per riconoscere oggetti pericolosi: URL malevoli, domini falsi, allegati infetti. Qui non c'è niente di tutto questo. Solo testo e un recapito. Per un motore automatico quel messaggio è pulito. La decisione di bloccarlo dipende dal capire l'intento e il contesto, non dall'individuare un file infetto. Questa tecnica ha un nome: TOAD, cioè attacco veicolato dal telefono, noto anche come callback phishing. L'email serve solo a convincerti a comporre il numero. Il resto avviene a voce.
Cosa succede quando chiami
Dall'altra parte c'è un call center vero, con operatori veri e un copione preciso. Si presentano come un ente di assistenza o una finanziaria. Con calma ti portano a dettare dati anagrafici, coordinate bancarie, numeri di carta. Spesso chiedono un anticipo per attivare la pratica. In alcune varianti ti fanno installare un programma di assistenza remota e prendono il controllo del computer. La pressione è in tempo reale: non c'è una pagina falsa da chiudere, c'è una persona che ti parla e ti mette fretta.
Come difendersi
La regola base è semplice: non chiamare i numeri che arrivano via email. Se un'offerta ti interessa, cerca tu il recapito ufficiale dell'ente, da un canale che conosci. Diffida di chi promette di cancellare i debiti con percentuali precise: nessun soggetto serio lavora così, a freddo, via posta. In azienda serve un passo in più. Le procedure di sicurezza devono coprire anche il canale telefonico, non solo link e allegati. E l'anti-phishing va scelto sapendo che deve valutare linguaggio, contesto e azione richiesta, non solo la presenza di un file sospetto.
💬 Il mio commento
C'è qualcosa di quasi artigianale in questo schema, ed è la parte che mi fa pensare. Nelle simulazioni di phishing che prepariamo per i clienti la metrica che tutti guardano è il tasso di clic. Ma un'email senza link non fa cliccare nessuno: non accende l'allarme rosso nei filtri e non compare nei report. Quando tengo formazione in azienda, e anche nei workshop nelle scuole, la cosa più difficile da far passare è proprio questa: una truffa può non avere niente di tecnico. Nessun allegato, nessun indirizzo strano. Solo una storia credibile e un numero da chiamare.
Molte delle aziende che seguo hanno investito bene su gateway email e EDR, poi però manca la procedura banale: cosa faccio se sono io ad aver chiamato un numero e dall'altra parte mi chiedono dati o un pagamento. Il vishing verso gli help desk è già stato la porta d'ingresso di diversi attacchi ransomware nell'ultimo anno e mezzo; questa è la stessa idea, girata verso le persone e le loro difficoltà economiche. Sui filtri che promettono di capire l'intento del messaggio con l'IA resto cauto: sulla carta è la risposta giusta, nella pratica ne ho visti pochi tarati davvero bene. Secondo me campagne così diventeranno più frequenti: poco codice, molta infrastruttura di call center, esche cucite sul momento economico del Paese. Gli operatori dietro al numero saranno più multilingue e più organizzati, e la linea tra questo phishing e un call center semplicemente aggressivo si farà sempre più sottile.