Questo link è sicuro? Come capirlo prima di cliccare

Risposta breve: un link è sicuro se arriva da un mittente affidabile, punta al dominio che ti aspetti, usa HTTPS e non mostra segnali di urgenza o inganno. Quando non ne sei certo, non cliccare. Piuttosto, ispeziona manualmente l'URL oppure aprilo in un ambiente isolato dove nulla può raggiungere il tuo dispositivo.

Questa guida ti spiega come leggere un URL e riconoscere i segnali di pericolo — prima ancora che il cursore ci si avvicini.

Perché i link sono il vettore d'attacco più comune

Ogni campagna di phishing, ogni diffusione di malware e ogni tentativo di furto di credenziali parte allo stesso modo: qualcuno clicca su un link. Il link è il meccanismo di consegna. Il compito dell'attaccante è farlo sembrare abbastanza ordinario da non farti pensare due volte.

Il tuo compito è rallentare per due secondi e leggere ciò che c'è davvero.

Segnali d'allarme nell'URL stesso

Non ti servono strumenti specialistici per individuare un link sospetto. La maggior parte dei segnali di pericolo è visibile, se sai cosa cercare.

Domini sosia e typosquatting

Gli attaccanti registrano domini che a prima vista somigliano a marchi affidabili. Schemi ricorrenti:

Sostituzione di caratteri: paypa1.com (la lettera l sostituita dal numero 1), arnazon.com
Parole aggiuntive: amazon-secure-login.com, apple-id-verify.net
TLD sbagliato: netflix.com.co, google.com.ph quando vivi altrove e non ti aspettavi un redirect regionale

Leggi il dominio con attenzione, da sinistra a destra. La parte immediatamente prima della prima singola barra è l'host reale.

Sottodomini ingannevoli

È uno dei trucchi più efficaci e uno dei più trascurati. Considera:

paypal.com.login-verify.net

Qui il dominio reale è login-verify.net. La parte paypal.com è solo un sottodominio. Suona autorevole. Non lo è. I browser mostrano l'URL completo — il tuo occhio tende a fermarsi sul nome noto del marchio e a saltare il resto.

Regola: leggi il dominio da destra verso sinistra fino al primo punto che conta.

Accorciatori di URL che nascondono la destinazione

bit.ly/x7Kq2, t.co/abc123, tinyurl.com/qualcosa — perfettamente normali sui social, ma completamente opachi su dove portano. Un link accorciato in un'email o un messaggio inatteso è un segnale d'allarme da prendere sul serio.

Puoi espandere la maggior parte degli accorciatori senza cliccare: incolla l'URL breve in un servizio come CheckShortURL oppure aggiungi un + alla fine di un link Bit.ly (bit.ly/x7Kq2+) per vedere la pagina di anteprima. Ne parliamo meglio nella prossima sezione.

Punycode e caratteri omografi

Unicode consente caratteri di alfabeti non latini identici alle lettere latine. аmazon.com e amazon.com possono sembrare uguali nel corpo di un messaggio — uno usa una "а" cirillica. I browser spesso mostrano questi domini come punycode (xn--mazon-3ve.com), ma le app di messaggistica e i client di posta possono renderizzare il sosia visivo.

Se un link sembra giusto ma qualcosa non ti torna, copia il dominio nella barra degli indirizzi del browser e leggi in cosa si risolve.

HTTP contro HTTPS — e perché il lucchetto non basta

HTTPS significa che la connessione è crittografata. Non significa che il sito dall'altra parte sia affidabile. I siti di phishing usano abitualmente HTTPS e mostrano un lucchetto. Ottenere un certificato TLS non costa nulla e richiede pochi minuti.

Ciò che HTTPS ti dice: i dati che invii viaggiano crittografati. Ciò che non ti dice: chi possiede il server che li riceve.

Un link HTTP (senza lucchetto) è un ulteriore segnale d'allarme, soprattutto per qualsiasi cosa ti chieda di accedere o inserire dati di pagamento. Ma il solo lucchetto non è un via libera.

Redirect eccessivi e parametri di tracciamento

URL lunghi zeppi di parametri redirect=, url= o r= possono passare attraverso più destinazioni prima di atterrare da qualche parte. Ogni salto è un'occasione per offuscare la destinazione finale. Un URL che si legge come una catena di tracciamento — specialmente se termina in un dominio che non riconosci — merita attenzione.

Esca dell'urgenza nel messaggio che lo accompagna

L'URL è solo una parte del quadro. Conta anche il messaggio che lo trasporta. Segnali classici:

"Il tuo account verrà sospeso tra 24 ore"
"Hai una consegna in sospeso — conferma ora"
"Rilevato accesso insolito — verifica immediatamente"

L'urgenza cortocircuita il ragionamento attento. È proprio questo lo scopo. Quando il messaggio mette alla prova la tua cautela, rallenta.

Come ispezionare un link senza cliccarci

Passa il mouse per l'anteprima

Su desktop, passa il mouse sopra un collegamento senza cliccare. L'URL di destinazione reale compare nella barra di stato in basso nel browser o nel client di posta. Confrontalo con ciò che dice il testo del link. Se il testo visibile dice "Clicca qui per accedere alla tua banca" ma l'URL punta a qualcosa di estraneo, la discrepanza è chiara.

Espandi gli URL accorciati

Prima di cliccare qualsiasi link breve:

Usa uno strumento di espansione per rivelare la destinazione completa.
Leggi l'URL espanso come faresti con qualsiasi altro — guarda il dominio reale, controlla gli schemi sopra descritti.
Se la destinazione espansa ti sembra ancora sconosciuta, trattala come sospetta.

Controlla da dove arriva il link

Il contesto è una prova. Chiediti:

Ti aspettavi questo messaggio da questa persona?
Hai avviato tu un'azione che genererebbe questo link (un reset della password, una consegna, una ricevuta)?
L'indirizzo email o il numero di telefono del mittente è quello che hai registrato?

Un link inatteso da un contatto conosciuto va comunque esaminato — gli account vengono compromessi e gli attaccanti falsificano gli indirizzi dei mittenti.

I limiti degli scanner statici di URL

Gli scanner di URL come VirusTotal o Google Safe Browsing confrontano un link con database di siti noti come dannosi. Sono utili e vale la pena usarli. Hanno però una debolezza strutturale: si basano su dati di reputazione che restano indietro rispetto alle minacce reali.

Un dominio di phishing registrato stamattina non ha ancora alcuna reputazione. Non comparirà in nessuna blocklist. Uno scanner che lo controlla adesso lo darà come pulito — non perché è sicuro, ma perché è nuovo.

Per approfondire il motivo per cui gli scanner statici sono insufficienti e cosa fare invece, leggi la guida al controllo dei link sicuri su Tempbrowser. Spiega l'intero quadro di come il phishing elude il rilevamento basato sulla reputazione e cosa ti mostra davvero un controllo dinamico.

L'opzione a rischio zero: aprilo in un browser cloud usa e getta

Quando hai fatto i controlli manuali e ancora non sei sicuro — o quando il link arriva da un posto che ti mette genuinamente a disagio — la mossa più sicura è aprirlo in un ambiente che non è il tuo dispositivo.

Tempbrowser è un browser usa e getta nel cloud. Incolli l'URL. Si apre dentro un computer virtuale temporaneo, trasmesso in streaming sul tuo schermo. La pagina gira lì, non qui. Nessun codice tocca mai il tuo computer.

L'analizzatore di Tempbrowser aggiunge un livello in più: cattura screenshot mentre la pagina si carica, così puoi vedere cosa fa davvero — cosa mostra, se reindirizza subito, se presenta un modulo di login che finge di essere qualcos'altro — senza che nulla di tutto ciò accada sulla tua macchina.

Quando la sessione termina, l'intero ambiente viene cancellato. Niente cronologia. Niente cookie. Nessuna traccia.

Il piano gratuito non richiede registrazione né carta di credito. Ottieni tre avvii ogni 24 ore con sessioni di pochi minuti — più che sufficienti per vedere cosa fa davvero un link sospetto. Se ti servono sessioni più lunghe o avvii illimitati, Pro costa $4.99 al mese con fatturazione annuale e offre sessioni da 60 minuti.

Si abbina bene alla comprensione di cosa siano davvero i browser usa e getta — se il concetto è nuovo per te, quell'articolo ne spiega i meccanismi.

FAQ

Cosa succede se clicco su un link di phishing?

Dipende da cosa fa la pagina. Alcune pagine di phishing sono puri moduli di raccolta credenziali — causano danni solo se inserisci nome utente e password. Altre tentano di sfruttare vulnerabilità del browser per installare malware automaticamente (i cosiddetti drive-by download). Il rischio varia, ma l'ipotesi più prudente è che cliccare su un link sconosciuto dal tuo dispositivo reale comporti un rischio concreto.

Un link può infettare il mio telefono solo aprendolo?

Sì, è possibile. I browser mobili non sono immuni dagli attacchi basati su exploit. In pratica, la maggior parte del phishing rivolto ai telefoni punta al furto di credenziali tramite pagine di login false, più che all'installazione di malware — ma exploit zero-click e drive-by per i browser mobili esistono, in particolare contro dispositivi non aggiornati. Tenere aggiornati sistema operativo e browser è la difesa di base.

I controllori di link sono affidabili?

I controllori basati sulla reputazione sono affidabili per le minacce note e inutili per quelle nuove. Un dominio registrato poche ore fa supererà pulito ogni scanner. Questo non lo rende sicuro. Usa gli scanner come uno tra vari segnali, non come verdetto finale.

Come controllo un link su mobile?

Il mobile rende tutto più difficile. Non c'è l'anteprima al passaggio del mouse e tenere premuto per copiare un link richiede un attimo. Passaggi utili:

Tieni premuto sul link e scegli "Copia link" invece di toccarlo.
Incollalo in un'app per note e leggi l'URL completo con attenzione.
Passalo attraverso un espansore di link se è un link breve.
Se sei ancora in dubbio, apri tempbrowser.app/it/analyzer dal browser del telefono, incolla lì l'URL e lascia che sia la sandbox a caricarlo, non il tuo dispositivo.

E se il link sembra a posto ma l'email continua a non convincermi?

Fidati della sensazione. L'igiene dell'URL è un segnale; il contesto è un altro. Se il messaggio è arrivato inaspettatamente, usa un linguaggio insolito o ti chiede di fare qualcosa di fuori dall'ordinario, verifica attraverso un canale separato — chiama il mittente, accedi al servizio direttamente digitando tu l'URL, oppure contatta l'assistenza. Non usare alcun recapito fornito all'interno del messaggio sospetto stesso.

In conclusione

Leggere un URL richiede due secondi. Recuperare da un account compromesso o da un dispositivo infetto no. Rallenta, controlla il dominio, controlla il contesto e quando il segnale è ambiguo — aprilo da qualche parte che non è il tuo computer.

Un click. Usa e getta. Prova l'analizzatore di Tempbrowser — senza registrazione.