«SUPPORT IT: il suo account Microsoft 365 scade tra 12 h. Reimposti la password prima del blocco: portale-hr-accesso[.]net»
Il messaggio arriva un giovedì alle 8:47. Siete a casa, la prima riunione comincia tra tredici minuti, la macchina del caffè è in funzione e il computer aziendale mostra già una richiesta di accesso. Non conoscete quel numero, ma non conoscete a memoria nemmeno il numero dell'assistenza informatica — non l'avete mai avuto. E allora cliccate.
È qui che sta tutta la differenza rispetto al falso SMS del pacco in consegna o alla multa fasulla: questa truffa non fa leva sulla paura di perdere denaro, ma su la paura di bloccare il proprio lavoro. E prende di mira un profilo preciso: il dipendente isolato, a casa, che non ha nessuno nella stanza accanto a cui chiedere «l'hai ricevuto anche tu?».
Perché i truffatori sono passati dal privato al dipendente
Un conto bancario violato vale qualche migliaio di euro nella migliore delle ipotesi, e spesso è la banca stessa a bloccare l'operazione. Un account aziendale violato è tutta un'altra storia: accesso alla posta interna, ai file condivisi, agli strumenti di fatturazione, a volte alla VPN dell'azienda. Per un attaccante, la redditività non è nemmeno paragonabile.
L'ANSSI (Agence nationale de la sécurité des systèmes d'information) lo documenta anno dopo anno nel suo Panorama de la cybermenace: il furto di credenziali resta una delle porte d'ingresso più frequenti degli attacchi ransomware contro imprese ed enti pubblici francesi. E cybermalveillance.gouv.fr, il servizio pubblico di assistenza, colloca il phishing in testa alle richieste di aiuto presentate dai professionisti ormai da diversi anni consecutivi.
L'SMS si è imposto come vettore preferito per una ragione semplice e un po' umiliante per i reparti IT: il telefono personale sfugge ai filtri aziendali. Una casella di posta professionale è protetta da un gateway antispam, da un antivirus, da regole di quarantena, a volte da un banner rosso «mittente esterno». Un SMS ricevuto su uno smartphone personale non ha niente di tutto questo. Arriva nudo e crudo, nello stesso flusso dei messaggi di famiglia.
L'anatomia di un falso SMS dell'«assistenza informatica»
Queste campagne seguono quasi sempre la stessa impalcatura. Saperla riconoscere basta a disinnescare il 90% dei tentativi.
1. Un mittente che suona interno
Il messaggio compare sotto un nome mittente alfanumerico — «SupportIT», «MS-Sicurezza», «IT-Alert» — oppure sotto un banale numero di cellulare. Promemoria fondamentale: il nome del mittente visualizzato su un SMS non è una prova d'identità. Viene dichiarato da chi invia al momento della spedizione. In Francia, l'Arcep e la Fédération française des télécoms hanno introdotto tra il 2023 e il 2024 un meccanismo di filtraggio dei nomi mittente contraffatti (il «MEF», meccanismo di autenticazione dei mittenti), che ha ridotto notevolmente l'usurpazione dei marchi registrati. Ma un'azienda di 200 dipendenti in genere non ha dichiarato la propria sigla presso gli operatori: il truffatore non ha quindi nulla da usurpare, se lo inventa.
2. Un'urgenza con scadenza
«Entro 12 h», «prima di stasera», «ultimo sollecito». La scadenza ravvicinata non è un dettaglio stilistico: è il cuore del meccanismo. Impedisce l'unico gesto che protegge davvero — chiamare qualcuno per verificare.
3. Un pretesto credibile e burocratico
I pretesti più frequenti osservati nelle campagne segnalate:
| Pretesto dell'SMS | Che cosa vuole davvero il truffatore |
|---|---|
| «La sua password sta per scadere» | Le vostre credenziali su una falsa pagina di accesso |
| «Nuova policy di sicurezza, registri di nuovo il suo dispositivo» | Farvi installare un profilo o un'app di controllo remoto |
| «Confermi l'accesso insolito» | Farvi approvare il suo accesso tramite la vostra autenticazione a due fattori |
| «Aggiornamento delle coordinate bancarie per lo stipendio» | Il vostro IBAN, per dirottare la busta paga |
| «Il direttore generale ha bisogno di lei, risponda a questo numero» | Aprire un dialogo e proseguire con una frode del CEO |
4. Un link chilometrico
Il dominio imita un lessico aziendale — portale-hr, intranet-accesso, sso-sicurezza — seguito da un'estensione insolita. Sullo schermo di uno smartphone l'indirizzo appare troncato. È esattamente per questo che la truffa funziona meglio su mobile che su computer: vedete solo l'inizio del link.
La MFA fatigue: quando l'autenticazione a due fattori diventa l'arma
È il meccanismo più subdolo del 2025-2026, e il meno noto al grande pubblico.
Avete attivato l'autenticazione a due fattori sul vostro account aziendale. Ottima mossa. Solo che il truffatore possiede già la vostra password — recuperata da una fuga di dati, acquistata per pochi euro. Prova a collegarsi. Il vostro telefono riceve una notifica: «Approvi questo accesso?». Voi rifiutate.
Ci riprova. Tre volte. Dieci volte. Alle 2 di notte. Poi arriva l'SMS: «Support IT: stiamo testando la sicurezza del suo account, la preghiamo di approvare la notifica in corso.»
Sfinito, spazientito e rassicurato da un messaggio che sembra spiegare il malfunzionamento, l'utente preme «Approva». L'attaccante è dentro. Questa tecnica ha un nome: MFA fatigue o push bombing. È stata usata in diverse compromissioni di grande portata documentate negli ultimi anni, e sia la CISA statunitense sia l'ANSSI raccomandano ormai di abbandonare la convalida con il semplice pulsante a favore del number matching — il codice da ricopiare visualizzato sulla schermata di accesso.
Regola assoluta: una notifica di accesso che non avete attivato voi stessi nell'arco di un secondo va sempre rifiutata. Senza eccezioni, senza spiegazioni ricevute via SMS.
Per gli account più sensibili, la difesa più solida resta hardware: una chiave di sicurezza FIDO2 collegata via USB o avvicinata in NFC non può essere ingannata dal phishing, perché verifica crittograficamente l'indirizzo del sito prima di rispondere. Una falsa pagina di accesso, per quanto perfetta, non ottiene nulla.
Lo smart working, terreno di gioco ideale
Quando si lavora da casa, tre fattori si sommano.
L'isolamento sociale. In ufficio la verifica è immediata e gratuita: ci si gira verso il collega. A casa, verificare significa aprire Teams, cercare la persona giusta, aspettare una risposta. Il costo cognitivo aumenta, la vigilanza cala.
La confusione degli spazi. Lo stesso smartphone riceve l'SMS del pediatra, la notifica del gruppo sportivo e l'allerta «sicurezza informatica». Il cervello non passa in modalità professionale: tratta tutto allo stesso livello di attenzione, cioè distrattamente.
Il dispositivo personale. Molti dipendenti consultano la posta aziendale su un telefono di loro proprietà, privo di configurazioni di sicurezza imposte dal datore di lavoro. Uno smartphone Android recente con aggiornamenti di sicurezza garantiti per diversi anni fa qui una differenza concreta: un apparecchio che non riceve più patch diventa un colabrodo, per quanto scrupoloso sia chi lo usa.
Aggiungiamo un fattore orario: le campagne di smishing aziendale vengono inviate in massa il lunedì mattina, il venerdì a fine giornata e durante le vacanze scolastiche. Sono i momenti in cui i reparti informatici sono saturi o in organico ridotto, e in cui un messaggio urgente appare più verosimile.
Le cinque domande da porsi prima di toccare lo schermo
Nessuna richiede competenze tecniche.
- Il mio reparto IT mi ha mai scritto via SMS? Nella stragrande maggioranza delle organizzazioni la risposta è no. Le comunicazioni passano dalla posta interna, dall'intranet o dal telefono.
- Il messaggio mi chiede di fare qualcosa con urgenza? Una vera informazione di sicurezza informa. Una truffa ordina.
- Il link porta altrove rispetto al dominio abituale della mia azienda? Se non riuscite a leggere l'indirizzo per intero, date per scontato che la risposta sia sì.
- Ho avviato io stesso l'azione menzionata? Nessuna richiesta di reimpostazione da parte mia = nessuna reimpostazione legittima.
- Che cosa succede se ignoro questo messaggio per due ore? Quasi sempre: niente. Questa domanda da sola disinnesca l'urgenza.
Cosa fare quando si ha già cliccato
Il riflesso peggiore è il silenzio per vergogna. Cadere in trappola non è una colpa professionale: è la conseguenza prevedibile di attacchi progettati da professionisti. Una segnalazione entro dieci minuti limita i danni; una segnalazione dopo tre giorni arriva a furto avvenuto.
Nell'ordine:
- Cambiate subito la password interessata, se possibile da un altro dispositivo, e soprattutto dall'indirizzo ufficiale digitato a mano — mai dal link dell'SMS.
- Avvisate il reparto informatico o il vostro responsabile, anche in caso di semplice dubbio, anche se non avete inserito nulla. Solo loro possono invalidare le sessioni aperte.
- Controllate le regole della vostra casella di posta: gli attaccanti creano spesso una regola di inoltro automatico invisibile per continuare a leggere le vostre e-mail dopo il cambio di password.
- Segnalate l'SMS al 33700 inoltrando il messaggio e poi inviando il numero del mittente. Il servizio, gestito dalla Fédération française des télécoms, consente il blocco dei numeri emittenti.
- Sporgete denuncia se sono stati sottratti dati, e segnalate l'incidente su cybermalveillance.gouv.fr, che indirizza verso fornitori certificati ExpertCyber.
Se l'azienda subisce una violazione di dati personali, ha inoltre un obbligo di legge: notificarla all'autorità di controllo entro 72 ore, in conformità all'articolo 33 del GDPR. La vostra segnalazione tempestiva fa parte di questa catena.
Ridurre la superficie di esposizione, lato dipendente
Non controllate la politica di sicurezza del vostro datore di lavoro, ma controllate parecchie altre cose.
Separare gli usi. La soluzione più netta resta la doppia linea: una SIM prepagata dedicata alle iscrizioni, alle consegne e ai servizi online, l'altra riservata ai contatti di fiducia. Sugli smartphone compatibili con eSIM questa separazione non comporta più alcun ingombro. Meno il vostro numero professionale circola, meno finisce nei database rivenduti.
Non lasciare in giro il proprio numero. L'articolo di WeLiveSecurity sulla raccolta dei numeri da parte dei truffatori lo ricordava questa primavera: le fughe di dati dei siti di e-commerce, i concorsi a premi e i moduli di iscrizione alimentano la maggior parte delle liste usate per lo smishing. Ogni modulo compilato è un'esposizione in più.
Proteggere il dispositivo stesso. Un telefono che serve a convalidare accessi professionali è un oggetto critico. Una cover rinforzata e un vetro temperato non sono un vezzo estetico: uno schermo crepato che si tarda a far riparare significa un apparecchio da sostituire in fretta e furia, con trasferimenti di account fatti male e sessioni dimenticate sul vecchio dispositivo. Allo stesso modo, una power bank compatta evita il grande classico del telefono spento proprio nel momento in cui bisognerebbe approvare — o rifiutare — un accesso.
Gestire correttamente le password. Il riutilizzo della stessa password tra un forum di hobbisti e un account aziendale è la causa primaria di questi attacchi. Un gestore di password, gratuito o a pagamento, elimina il problema in una serata di configurazione. Per chi preferisce l'analogico, un quaderno per le password custodito in un cassetto chiuso a chiave resta infinitamente più sicuro di un'unica parola d'ordine usata ovunque — a condizione che non esca mai di casa.
Cosa dovrebbe fare il datore di lavoro (e cosa potete chiedere)
Se siete nella posizione di poterlo suggerire, tre misure cambiano tutto e nessuna è costosa:
- Pubblicare un canale di verifica unico e noto a tutti: un numero interno, un indirizzo, una frase tipo. «Il reparto informatico non vi scriverà mai via SMS» dovrebbe essere affisso con la stessa chiarezza delle istruzioni antincendio.
- Passare l'autenticazione a due fattori al number matching anziché al semplice pulsante di approvazione, e distribuire chiavi fisiche per gli account con privilegi elevati.
- Instaurare una cultura della segnalazione senza sanzioni. Un'organizzazione che sgrida il dipendente caduto in trappola si garantisce di essere avvisata solo a ransomware già installato.
Le guide gratuite dell'ANSSI e di cybermalveillance.gouv.fr — in particolare il Guide des bonnes pratiques de l'informatique e i kit di sensibilizzazione destinati alle micro, piccole e medie imprese — forniscono materiali direttamente riutilizzabili, a costo zero.
L'essenziale in una frase
Un reparto informatico legittimo non vi mette mai nella condizione di agire nel panico dal vostro telefono personale. Ogni volta che un messaggio combina urgenza, link e account aziendale, l'unica risposta giusta è chiudere l'SMS e comporre un numero che conoscevate già prima di riceverlo.
E se il dubbio persiste, tenete a mente questo rapporto di forza asimmetrico: il truffatore ha bisogno che rispondiate entro cinque minuti. Voi, invece, avete il diritto di aspettare fino a domani.
