Hai cliccato su un link di phishing? Fai subito queste 6 cose

Fai un respiro. Cliccare su un link di phishing non è automaticamente un disastro. Nella maggior parte dei casi, il click in sé non compromette i tuoi account o il tuo dispositivo. Ciò che conta è cosa è successo nei secondi dopo il click — e cosa fai nei prossimi minuti.

Questa guida ti accompagna esattamente in questo: triage, azioni da fare e come assicurarti che non accada mai più.

Prima cosa: cosa è successo davvero quando hai cliccato?

I browser e i sistemi operativi moderni sono progettati per contenere le minacce. Il solo atterrare su una pagina malevola raramente installa qualcosa da solo. Il danno reale richiede quasi sempre un'ulteriore azione da parte tua — digitare qualcosa, scaricare qualcosa o approvare una richiesta.

Chiediti quale di questi scenari corrisponde alla tua situazione:

Ho solo cliccato, poi ho chiuso subito la scheda. Rischio basso. Il tuo dispositivo è molto probabilmente a posto. Segui comunque i passi 1 e 4 qui sotto, ma non farti prendere dal panico.

Ho inserito la mia password o il mio nome utente. Rischio alto. Considera le tue credenziali compromesse. Passa subito al passo 2 e agisci in fretta — il furto di credenziali è l'esito più comune di un click di phishing.

Ho scaricato e aperto un file. Rischio alto. Un file scaricato può eseguire codice. Il passo 4 — una scansione antimalware — diventa la tua priorità assoluta, insieme al cambio di qualsiasi password degli account a cui hai avuto accesso su quel dispositivo.

Ho inserito i dati della carta di credito o di debito. Rischio alto. Contatta subito la tua banca (passo 5) per bloccare o monitorare la carta. Qui il tempo conta.

Ho approvato una richiesta di autenticazione o dato un permesso a un'app. Rischio alto. Gli attaccanti usano attacchi di "MFA fatigue" e concessioni di permessi OAuth per impossessarsi degli account anche senza rubare la tua password. Vai nelle impostazioni di sicurezza del tuo account e revoca eventuali permessi di app sconosciute.

Se non sei ancora sicuro di cosa sia successo, esegui tutti e sei i passi in ordine. Richiede meno di 20 minuti e copre ogni scenario.

I 6 passi da fare subito

1. Disconnettiti dalla pagina e non inserire nient'altro

Chiudi subito la scheda se non l'hai già fatto. Non tornarci, non reinserire nulla e non cliccare su pop-up secondari o pulsanti "chiudi" all'interno della pagina stessa — alcune pagine di phishing li usano per attivare download.

Se sei ancora su una pagina che ti sembra sospetta, chiudi l'intera finestra del browser invece di navigare altrove. Su un telefono, forza la chiusura dell'app.

Non devi disconnettere il dispositivo da internet. Gli attacchi di phishing si basano sul fatto che tu fornisca informazioni — di solito non sono exploit drive-by che girano silenziosamente in background nel momento in cui una pagina si carica.

2. Cambia subito la password esposta — e ovunque sia riutilizzata

Se hai digitato una password sul sito di phishing, dai per scontato che quella password sia ora nelle mani dell'attaccante. Cambiala sul sito legittimo adesso, prima di completare il resto di questo elenco.

Poi fermati. Pensa a dove altro usi quella stessa password. Ogni account che la condivide è ora vulnerabile, perché gli attaccanti provano automaticamente le credenziali rubate su decine di siti popolari (si chiama credential stuffing). Cambia la password su ogni account che la riutilizza.

Usa una password unica, generata casualmente, per ogni sito. Un gestore di password rende tutto questo pratico.

3. Attiva l'autenticazione a due fattori

Una volta cambiata la password compromessa, attiva l'autenticazione a due fattori (2FA) su quell'account — e su qualsiasi altro account importante che non ce l'ha ancora.

La 2FA significa che, anche se domani un attaccante avesse la tua nuova password, non potrebbe comunque entrare senza il tuo secondo fattore. Usa un'app di autenticazione (come Google Authenticator o Authy) invece degli SMS dove possibile — i codici SMS possono essere intercettati, anche se restano meglio di niente.

4. Esegui una scansione antimalware e osserva il comportamento del dispositivo

Se hai scaricato e aperto un file dalla pagina di phishing, esegui una scansione antimalware completa con il tuo software di sicurezza. Su Windows, Microsoft Defender (integrato) è un ottimo punto di partenza. Su Mac, Malwarebytes ha un piano gratuito affidabile.

Anche se non hai scaricato nulla, tieni d'occhio il tuo dispositivo per le prossime 48 ore:

Rallentamenti inattesi o uso elevato della CPU
Nuove estensioni del browser o barre degli strumenti che non hai installato
Email di reset password che non hai richiesto
Attività di accesso sconosciute nella cronologia del tuo account

Se noti uno di questi segnali, fai un passo avanti — contatta il tuo team IT se è successo su un dispositivo di lavoro, oppure valuta un aiuto professionale.

5. Avvisa la tua banca se erano coinvolti dati di pagamento

Se hai inserito un numero di carta, una data di scadenza, un CVV o credenziali bancarie, chiama subito la tua banca o l'emittente della carta. La maggior parte ha linee antifrode attive 24 ore su 24. Chiedi loro di:

Segnalare la carta per il monitoraggio o emettere una sostituzione
Rivedere le transazioni recenti per individuare qualcosa di sconosciuto
Bloccare eventuali pagamenti a esercenti sconosciuti

Agire entro poche ore aumenta drasticamente le possibilità di fermare o annullare addebiti fraudolenti. Non aspettare fino al mattino.

6. Segnala il tentativo di phishing

Segnalare richiede due minuti e aiuta davvero a proteggere gli altri. Ecco dove segnalare:

Il tuo provider di posta: usa il pulsante "Segnala phishing" in Gmail, Outlook o Apple Mail. Questo addestra i loro filtri a intercettare lo stesso attacco rivolto ad altri.
Il tuo team IT o di sicurezza (se era un account di lavoro): devono saperlo per poter indagare se altri nella tua organizzazione sono stati presi di mira.
L'azienda impersonata: se l'email di phishing fingeva di provenire dalla tua banca, da Netflix, PayPal o da qualsiasi altro marchio, inoltrala al team abusi o sicurezza di quell'azienda (la maggior parte pubblica un indirizzo per la segnalazione del phishing, ad es. phishing@paypal.com). Possono agire per far rimuovere il sito.
Le agenzie nazionali contro il cybercrimine: negli USA, segnala all'Anti-Phishing Working Group all'indirizzo reportphishing@apwg.org e inoltra l'email a phishing-report@us-cert.gov. Nel Regno Unito, usa lo strumento di segnalazione del National Cyber Security Centre. In Italia, puoi segnalare alla Polizia Postale.

Una nota se hai cliccato dal tuo iPhone o Android

Molte persone cercano "cliccato link phishing su iPhone" o "cliccato link phishing su Android" in preda al panico. Ecco la risposta onesta: i moderni sistemi operativi mobili hanno un forte sandboxing. Un tocco su un link — anche malevolo — molto raramente porta all'esecuzione automatica di codice o a un'infezione.

Il vero rischio su mobile è identico al desktop: è ciò che hai digitato. Gli schermi mobili sono più piccoli, gli URL più difficili da ispezionare, e gli attaccanti lo sanno — i siti di phishing sono sempre più progettati per apparire perfetti su un telefono. Se hai inserito credenziali o dati di pagamento su un sito mobile, segui i passi 2 e 5 qui sopra indipendentemente dal dispositivo usato.

Ripristinare il telefono alle impostazioni di fabbrica dopo aver cliccato un link (senza scaricare o installare nulla) non è quasi mai necessario. Riserva il ripristino di fabbrica ai casi in cui hai installato un'app sospetta e non riesci a rimuoverla.

Prevenzione: la prossima volta controlla il link prima di cliccare

Il modo migliore in assoluto per evitare questa situazione è verificare un link prima di aprirlo sul tuo dispositivo reale.

Due opzioni lo rendono facile:

Impara prima a leggere il link. La nostra guida al controllo dei link sicuri spiega perché gli scanner statici di URL non riconoscono i domini di phishing nuovi di zecca — e come ispezionare invece un link sospetto in sicurezza. Richiede pochi minuti e non costa nulla.

Aprilo in un browser che non esisterà più tra pochi minuti. L'analizzatore di Tempbrowser apre il link dentro una sandbox cloud temporanea trasmessa in streaming sul tuo schermo. La pagina gira in un ambiente isolato — non sul tuo dispositivo. Quando la sessione termina, l'intera sandbox viene cancellata: niente cronologia, niente cookie, nessuna traccia. Se la pagina tenta qualcosa, accade da tutt'altra parte. Il piano gratuito non richiede registrazione né carta di credito — ottieni tre avvii al giorno, ciascuno fino a 3 minuti. Più che sufficienti per ispezionare un link sospetto prima di decidere se fidartene.

Per approfondire come valutare i link sospetti, vedi la nostra guida: Questo link è sicuro? Come verificarlo prima di cliccare.

FAQ

Cliccare su un link può da solo hackerare il mio telefono?

In quasi tutti i casi reali, no. Cliccare su un link e caricare una pagina non installa da solo malware né compromette i tuoi account. Esistono sofisticati exploit "zero-click", ma sono rari, mirati e corretti rapidamente. La stragrande maggioranza degli attacchi di phishing richiede che tu inserisca qualcosa — una password, un numero di carta o un codice di autenticazione. Se hai cliccato ma non hai digitato nulla, il tuo rischio è molto basso.

E se ho cliccato ma non ho inserito nulla?

Molto probabilmente sei a posto. Chiudi la scheda, esegui una rapida scansione antimalware se hai scaricato qualche file e tieni d'occhio i tuoi account per attività insolite nei prossimi due giorni. Non è necessario cambiare alcuna password, a meno che tu non abbia effettivamente digitato le tue credenziali.

Devo fare un ripristino di fabbrica dopo aver cliccato un link di phishing?

Quasi certamente no — soprattutto se hai solo cliccato e chiuso. Il ripristino di fabbrica è l'ultima risorsa per situazioni in cui un'app malevola è installata e non può essere rimossa. Per un click di phishing in cui non hai scaricato né installato nulla, un ripristino di fabbrica sarebbe un enorme eccesso e ti farebbe perdere dati inutilmente.

Come controllo un link sospetto senza cliccarci?

Funzionano bene due approcci. Primo, passa il mouse sul link (su desktop) per vedere l'URL reale nella barra di stato del browser — cerca errori di ortografia di marchi noti o estensioni di dominio insolite. Secondo, aprilo da qualche parte usa e getta: incolla l'URL nell'analizzatore di Tempbrowser, dove qualsiasi contenuto malevolo gira in un ambiente cloud isolato che non tocca mai il tuo dispositivo. La nostra guida al controllo dei link sicuri spiega perché i soli scanner statici non bastano.

Qual è l'esito più comune dopo aver cliccato su un link di phishing?

Il furto di credenziali è di gran lunga l'esito più comune. Gli attaccanti costruiscono convincenti pagine di login false per banche, provider di posta e app popolari, raccolgono nome utente e password, poi usano quelle credenziali immediatamente — spesso nel giro di minuti. Ecco perché cambiare in fretta una password esposta è così fondamentale.

Se stai leggendo questo dopo il fatto, ora hai una chiara lista di azioni. Eseguila in ordine e avrai fatto tutto ciò che una persona ragionevole può fare. In futuro, un controllo di due secondi prima di cliccare è tutto ciò che serve per rendere gli attacchi di phishing molto meno pericolosi.

Apri in sicurezza il tuo prossimo link sospetto — senza registrazione: Analizzatore di Tempbrowser