L'allerta diffusa nei giorni scorsi dalla Polizia di Stato invita a diffidare di telefonate, sms ed e-mail che chiedono denaro, dati bancari, password o codici di sicurezza. È un consiglio corretto e vale sempre. Copre però soltanto una parte del problema, perché una quota rilevante delle credenziali che finiscono nelle mani dei criminali non viene consegnata da nessuno.
I numeri della Polizia Postale
Il bilancio 2025 della Polizia Postale, presentato a gennaio, restituisce la dimensione del fenomeno: 51.560 casi trattati a livello nazionale, 293 arresti e 7.590 persone denunciate. Il solo comparto economico-finanziario vale 27.085 casi trattati e 4.489 persone indagate. Il Commissariato di P.S. Online, il portale attraverso il quale i cittadini possono segnalare episodi sospetti, ha registrato 5,2 milioni di visite e gestito oltre 94 mila segnalazioni, in larga parte legate a phishing, social network e attacchi informatici.
Nello stesso bilancio la Polizia segnala un elemento nuovo: l'impiego dell'intelligenza artificiale, in particolare dei deepfake, ha reso i tentativi di raggiro molto più sofisticati, al punto da richiedere l'introduzione di una specifica fattispecie di reato. L'idea che una truffa si riconosca dagli errori di italiano o da una grafica approssimativa è ormai superata.
Quello che l'avviso non può coprire
Il consiglio di non comunicare a nessuno le proprie credenziali protegge da un tipo preciso di attacco: quello in cui qualcuno le chiede. Ed è un tipo di attacco tutt'altro che raro. Ma buona parte delle password che circolano non è stata consegnata da nessuno: è finita online perché un'azienda, un portale o un servizio qualunque che la conservava ha subito una violazione. In quel caso non c'è alcuna telefonata sospetta a cui resistere né alcun messaggio da riconoscere.
È a questo punto che il danno si moltiplica oppure si ferma, a seconda di una scelta fatta magari anni prima. Se quella password è utilizzata soltanto su quel sito, il problema resta circoscritto. Se è la stessa della posta elettronica, dei social network e dell'home banking, un incidente capitato a qualcun altro diventa un problema personale, e in modo automatico: le credenziali sottratte vengono provate da programmi su centinaia di servizi diversi nel giro di pochi minuti.
Da problema di attenzione a problema di organizzazione
La distinzione è utile perché cambia il tipo di rimedio. Difendersi dalle truffe è una questione di attenzione, e l'attenzione ogni tanto cala: al termine di una giornata di lavoro, con il telefono in mano e la testa altrove, chiunque può cliccare dove non avrebbe dovuto. Difendersi dalle violazioni subite da altri non è invece una questione di attenzione, ma di organizzazione, e l'organizzazione si imposta una volta sola.
In concreto significa affidarsi a uno strumento di gestione password: una credenziale diversa, lunga e casuale per ogni servizio, generata dal programma e non dalla fantasia dell'utente, custodita dietro un'unica frase d'accesso. Non dovendo ricordarle, viene meno anche il motivo per cui le si riciclava, e se una finisce in un archivio violato il problema resta limitato a quel singolo account.
Le misure di base
Tre accorgimenti coprono la maggior parte dei casi. Il primo è utilizzare una password diversa per ogni servizio, così da trasformare una violazione altrui in un fastidio circoscritto anziché in un problema esteso. Il secondo è attivare l'autenticazione a due fattori, in modo che una credenziale sottratta non sia sufficiente ad accedere. Il terzo è continuare a seguire l'indicazione della Polizia: nessun operatore, di nessuna banca e di nessun ente, chiederà mai password o codici di sicurezza per telefono.
Le segnalazioni continueranno ad arrivare e gli avvisi delle forze dell'ordine pure. Ma tra il momento in cui una password esce da un archivio e quello in cui qualcuno prova a utilizzarla passano ore, a volte minuti. In quella finestra l'attenzione non entra in gioco: conta soltanto la scelta fatta in anticipo, cioè quanti servizi quella singola chiave sia in grado di aprire.
Informazioni fornite in modo indipendente da un nostro partner nell’ambito di un accordo commerciale tra le parti. Contenuti riservati a un pubblico maggiorenne.
SU