Finte richieste di firma via email: come riconoscere il phishing

L'email sembra normale: il logo di un servizio di firma, la scritta "Hai un documento da firmare", un pulsante "Rivedi il documento". Il documento però non esiste. Il pulsante porta a una pagina che chiede email e password, oppure scarica un file che non andrebbe mai aperto. Le richieste di firma sono un travestimento efficace proprio perché sono diventate normali: chi lavora con clienti e fornitori ne riceve spesso e non si insospettisce.

Cosa cercano i truffatori

• Le tue credenziali, soprattutto quelle della posta aziendale. Con la casella in mano leggono le conversazioni, si inseriscono in una trattativa e possono mandare a un cliente una fattura con un IBAN cambiato.
• Un varco nel tuo computer: un allegato o un file scaricato che installa software malevolo.

Lo schema è parente stretto delle altre truffe documentali che abbiamo raccolto in frodi nella firma elettronica .

I segnali da controllare

• Il mittente. Il nome visualizzato può essere qualsiasi cosa: guarda l'indirizzo vero e il dominio dopo la chiocciola. Un dominio quasi uguale (una lettera in più, un trattino, un'estensione diversa) è un campanello d'allarme.
• Il link. Dal computer passa il mouse sul pulsante senza cliccare e leggi l'indirizzo che compare; dal telefono tieni premuto. Se il dominio non c'entra con il servizio né con chi ti scrive, fermati.
• La richiesta di login. Un firmatario non dovrebbe mai dover inserire la password della propria email per firmare. Se una pagina te la chiede "per verificare la tua identità", è quasi certamente phishing.
• L'urgenza. "Il documento scade tra un'ora", "ultimo avviso": la fretta serve a non farti pensare.
• Gli allegati strani. File .html, .htm o .zip, o documenti che chiedono di "abilitare il contenuto". Una richiesta di firma vera ti porta a una pagina di firma, non ti chiede di aprire file.
• Il documento inatteso. Non aspettavi nessun contratto, il mittente non lo conosci, o lo conosci ma quel documento non ha senso. Attenzione: una casella violata può scrivere a nome di un contatto vero, quindi un nome familiare da solo non basta.

Se hai un dubbio

• Verifica su un altro canale. Chiama il mittente a un numero che hai già, non a quello scritto nell'email, e chiedi se ti ha mandato davvero qualcosa.
• Apri il servizio da solo. Se usi quel servizio con un tuo account, entra digitando l'indirizzo nel browser o dal segnalibro: un documento vero lo trovi anche lì.
• Non inserire credenziali e non aprire allegati finché non hai verificato.
• Segnala. Usa la funzione "segnala phishing" del tuo programma di posta e avvisa chi gestisce l'informatica in azienda: se l'email è arrivata a te, probabilmente è arrivata anche ai colleghi.

Se hai già inserito la password, non perdere tempo a vergognarti: cambiala subito, attiva la verifica in due passaggi e avvisa chi si occupa della sicurezza. Se c'è stato un danno economico, sporgi denuncia alla Polizia Postale.

Se sei tu a mandare documenti in firma

Il phishing danneggia anche chi invia richieste vere: più i clienti imparano, giustamente, a diffidare, più una richiesta legittima rischia di restare ignorata. Il rimedio sono le stesse abitudini che servono a sbloccare un documento fermo :

• avvisa il cliente prima, a voce o nel canale in cui state già parlando, così l'email è attesa e non sospetta;
• usa un messaggio riconoscibile e coerente: stesso nome mittente, un riferimento concreto alla pratica, nessuna urgenza artificiale;
• non chiedere mai dati fuori dal flusso, come password o coordinate bancarie in risposta a un'email;
• proteggi il tuo dominio: chiedi a chi gestisce la posta aziendale di configurare SPF, DKIM e DMARC, che rendono più difficile spacciarsi per te.

Come funziona su DOCUJET

Il firmatario non ha un account e non inserisce password: apre il link, riceve un codice usa e getta via email o SMS e lo digita sulla pagina di firma. Perché quel codice conta anche come prova lo spieghiamo in OTP via SMS e identificazione del firmatario .

Nessun sistema impedisce a un truffatore di copiare un logo in un'email, e non ti promettiamo il contrario. Però la regola per chi firma diventa semplice: se per firmare ti chiedono la password della tua email, non è la procedura. E un codice usa e getta non si detta a nessuno al telefono: serve solo sulla pagina di firma che hai aperto tu. Per il quadro completo di minacce e contromisure c'è sicurezza della firma elettronica: i rischi reali .

Firme che non chiedono password. Apri un account gratuito: i tuoi clienti firmano con un codice usa e getta, senza account. 3 documenti al mese per sempre. Inizia gratis →