Controllo phishing su Mac: questo link, messaggio o sito è falso?

Che aspetto ha il phishing su un Mac

Il phishing è un messaggio o una pagina che si spaccia per un'azienda di cui ti fidi, per farti accedere, pagare, chiamare o installare qualcosa. Arriva via email, via SMS in Messaggi, nei messaggi diretti dei social, come codice QR e come annuncio in cima ai risultati di ricerca. I più comuni:

• Un pacco non è stato consegnato e servono un piccolo pagamento o un nuovo indirizzo.
• Il tuo Account Apple, il conto o la carta sono stati bloccati o usati all'estero, e devi confermare i tuoi dati.
• Lo spazio di iCloud è pieno e le tue foto verranno eliminate.
• Un rimborso fiscale, un pedaggio o una bolletta non pagata da parte di un ente pubblico o di un fornitore.
• Una ricevuta o un rinnovo di abbonamento che non hai acquistato, con un numero da chiamare per annullare.
• Un negozio con prezzi molto più bassi che altrove, o una svendita che finisce tra pochi minuti.

Cosa hanno in comune: l'urgenza e la richiesta di agire tramite il messaggio stesso. Un italiano corretto e un logo autentico non dimostrano nulla.

1. Leggi il vero indirizzo del link

1. In Mail: appoggia il puntatore sul link senza fare clic. Dopo un attimo compare il vero indirizzo, in un'etichetta gialla o in fondo alla finestra.
2. In Messaggi: fai clic sul link tenendo premuto Controllo e scegli Copia link, poi incollalo in una nota per leggerlo.
3. In Safari: guarda la barra degli indirizzi dopo l'apertura della pagina. Safari mostra solo il nome del sito; fai clic sulla barra degli indirizzi per vederlo per intero.

Ora trova il vero nome del sito: è la parte subito prima della prima / singola, letta da destra a sinistra. In https://apple.com.id-verify.top/login il sito è id-verify.top, non Apple. In https://amazon.co.jp-account.help è jp-account.help. Fai attenzione a:

• Lettere scambiate: app1e.com, rnicrosoft.com (r e n al posto di m), paypa1.com.
• Parole aggiunte: apple-support-center.com, secure-mybank-login.net.
• Estensioni insolite come .top, .xyz, .click o .cn per un'azienda che usa .com o il dominio del tuo Paese.
• Accorciatori di link come bit.ly, che nascondono l'indirizzo. Le aziende vere li usano raramente per problemi con l'account.

Il lucchetto e “https” indicano solo che la connessione è cifrata. Anche i siti di phishing li hanno.

2. Controlla l'indirizzo senza aprirlo

Copia il link e incollalo in uno di questi strumenti gratuiti. Nessuno dei due apre la pagina sul tuo Mac:

• Stato del sito di Google Navigazione sicura: lo stesso elenco che Chrome e Firefox usano per avvisarti. Ti dice se il sito è considerato pericoloso in questo momento.
• VirusTotal: confronta l'indirizzo con gli elenchi di decine di aziende di sicurezza contemporaneamente. Una o due segnalazioni da fornitori poco noti possono essere rumore; diverse segnalazioni, o anche una sola per phishing, sono un chiaro no.

Un risultato pulito non è una garanzia: ogni ora vanno online nuovi siti di phishing e molti vengono rimossi entro un giorno, prima che gli elenchi li registrino. Se il messaggio stesso è sospetto, un risultato pulito non lo rende sicuro.

3. Lascia che le tue password controllino la pagina di accesso

È il miglior controllo antiphishing su un Mac e funziona anche quando la pagina falsa sembra perfetta. L'app Password e il Portachiavi iCloud inseriscono una password, o propongono una passkey, solo sul sito esatto per cui è stata salvata. Se apri quella che sembra la pagina di accesso della tua banca o di Apple e Safari non propone nulla, l'indirizzo non è quello vero: chiudi la pagina.

Le passkey vanno oltre: non si possono proprio digitare in una pagina falsa. Dove un sito offre una passkey, come Apple, Google, Amazon e molte banche, passa a quella.

4. Lascia attivi gli avvisi integrati del Mac

• Safari: in Safari › Impostazioni › Sicurezza, mantieni attiva l'opzione Avvisa quando visiti un sito web fraudolento. Safari mostrerà un avviso rosso a tutta pagina prima dei siti di phishing noti. Non ignorarlo.
• Chrome: in Impostazioni › Privacy e sicurezza › Sicurezza, mantieni attiva Navigazione sicura; Protezione avanzata controlla anche i siti nuovi.
• Messaggi: in Messaggi › Impostazioni, attiva il filtro dei mittenti sconosciuti (chiamato Filtra mittenti sconosciuti nelle versioni precedenti), così gli SMS dai numeri che non conosci finiscono in un elenco a parte.
• Mail: in Mail › Impostazioni › Privacy, attiva Proteggi attività di Mail, così aprire un messaggio non rivela al mittente che il tuo indirizzo è reale.

5. Controlla il messaggio stesso

L'indirizzo da cui arriva, il saluto e soprattutto cosa ti chiede di fare. Come capire se un'email è una truffa esamina passo passo il mittente, i link e le intestazioni in Mail. Se non riesci a capirlo, fai il percorso inverso: apri l'app dell'azienda, o digita tu il suo indirizzo, e cerca lì lo stesso avviso. Un problema reale con il tuo account compare sempre anche lì.

Controllo phishing con Tidy My Mac

I passaggi qui sopra funzionano, ma dipendono dal fatto che tu li ricordi proprio quando un messaggio è più convincente. Tidy My Mac ne fa due al posto tuo:

• Web Protection blocca i siti noti di phishing, truffa, negozi falsi e malware in Safari, Chrome, Firefox e in ogni altra app, Mail e Messaggi compresi. Non serve un'estensione del browser e i siti che visiti vengono controllati sul tuo Mac, non inviati altrove.
• Scam Detector: incolla un'email, un SMS o un messaggio diretto sospetto e scopri quanto sembra rischioso e perché, con l'indicazione dell'urgenza, dei link e di ciò che chiede. Con Apple Intelligence il controllo avviene sul tuo Mac.
• Se hai già fatto clic e installato qualcosa, Antivirus e Adware cercano ciò che le pagine di phishing installano, e Browser Extensions elenca tutte le estensioni di tutti i browser.

Se hai fatto clic, effettuato l'accesso o pagato

• Hai solo aperto il link: chiudi la pagina. Su un Mac aggiornato, aprire una pagina raramente fa danni di per sé. Non scaricare né consentire nulla di ciò che propone.
• Hai inserito una password: cambiala subito sul sito vero, e ovunque usi la stessa, poi attiva l'autenticazione a due fattori o una passkey. Controlla gli accessi recenti all'account e, per l'email, le regole di inoltro.
• Hai inserito i dati della carta o del conto, o un codice monouso: chiama subito la tua banca al numero riportato sulla carta e blocca la carta. Un codice monouso digitato in una pagina falsa permette al truffatore di completare un pagamento o un accesso.
• Hai installato qualcosa o hai lasciato che qualcuno controllasse il tuo Mac: disconnettiti da internet e segui come capire se il tuo Mac è stato hackerato.

Segnalalo

• Messaggi che si spacciano per Apple: inoltrali a reportphishing@apple.com. In Messaggi, usa Segnala come indesiderato sotto la conversazione.
• Giappone: Council of Anti-Phishing Japan, info@antiphishing.jp. Stati Uniti: reportphishing@apwg.org e ReportFraud.ftc.gov. Regno Unito: report@phishing.gov.uk. Germania: phishing@verbraucherzentrale.nrw.
• Se hai perso denaro, segnalalo alla tua banca e anche alla Polizia Postale.