Riconoscere un’email falsa oggi che l’italiano non è più un indizio

Pubblicato l’8 febbraio 2016, riscritto integralmente il 22 agosto 2026.

Per anni la difesa migliore contro le email truffa è stata l’italiano scritto male. Bastava leggere due righe e si capiva. Quel tempo è finito, e chi insegna ancora a riconoscere un messaggio falso dagli errori di grammatica sta dando alle persone una sicurezza che non hanno più.

Questo articolo è su cosa funziona adesso.

Chi non progetta la sicurezza programma il fallimento.
Kevin Mitnick

Perché puntano sulle persone

La ragione è aritmetica. Le difese tecniche sono migliorate molto: i sistemi si aggiornano da soli, i filtri della posta intercettano quasi tutto, gli antivirus riconoscono in pochi minuti un file già visto altrove. Attaccare la tecnologia è diventato caro e incerto.

Le persone, invece, non si aggiornano da sole. Hanno fretta, ricevono duecento messaggi al giorno e alle sei di sera sono stanche. È l’unica parte del sistema che ha lo stesso comportamento del 1995, ed è lì che si è spostato l’attacco.

Ma attenzione a come lo si dice, perché la frase «l’anello debole è l’utente» ha fatto più danni di quanti ne abbia risolti: suona come una colpa, e quando c’è una colpa da attribuire nessuno alza la mano. Ci torno alla fine, perché è il punto che conta di più.

Il segnale che non funziona più

L’italiano sgrammaticato è stato un buon indizio finché le campagne venivano tradotte a macchina da altri paesi. Ha smesso di esserlo prima di quanto si creda: già nel 2017 una campagna italiana girava con testi impeccabili, mittenti credibili ed esche costruite su categorie precise di destinatari — curriculum agli studi professionali, denunce per buche stradali ai Comuni. L’unico refuso in tutta la campagna era la parola «Risossione».

Oggi, con la generazione automatica dei testi, scrivere in italiano perfetto non richiede nemmeno di saperlo. La lingua non è più un indizio, e nemmeno la cura grafica: un logo si copia in dieci secondi.

I quattro controlli che funzionano ancora

Sono in ordine di velocità: il primo richiede due secondi, l’ultimo un minuto.

• Guarda il dominio del mittente, non il nome. Il nome visualizzato lo sceglie chi scrive e può essere qualunque cosa. Il dominio dopo la chiocciola no. «Agenzia delle Entrate» che scrive da agenzia-entrate.com invece che dal dominio istituzionale è la stessa cosa di un carabiniere in costume di carnevale.
• Passa il cursore sul link senza cliccare. La destinazione vera compare in basso nel browser o nel programma di posta. È il controllo con il miglior rapporto fra fatica e risultato che esista, e in pochi secondi smonta la maggior parte dei tentativi. Da telefono si ottiene lo stesso tenendo premuto il collegamento senza aprirlo.
• Chiediti se quella richiesta ha senso adesso. Le esche sono plausibili in astratto, quasi mai nel tuo mercoledì mattina: una fattura di un fornitore che non hai, un corriere per un pacco che non aspetti, un curriculum per una posizione che non hai mai aperto.
• Verifica fuori dal messaggio. Se una comunicazione è davvero urgente, il numero di telefono dell’ente o del fornitore si trova sul suo sito — non dentro l’email che dovresti verificare. Vale soprattutto per le richieste di cambiare un IBAN: quelle si confermano con una telefonata, sempre, senza eccezioni.

La leva è sempre la stessa: la fretta

Se togli tutto il resto, ogni truffa si riduce a questo: farti agire prima che tu abbia pensato. Il pagamento scaduto, l’account che verrà chiuso, il capo che chiede una cosa entro stasera, il corriere che riconsegna solo oggi.

Non è un caso e non è pigrizia di chi le scrive: è la parte più studiata dell’intera faccenda. Un messaggio urgente sposta la decisione dalla parte che ragiona a quella che reagisce.

Il che suggerisce la contromisura più semplice di tutte, e cioè aspettare. Dieci secondi di esitazione davanti a un messaggio che chiede qualcosa subito disinnescano la quasi totalità dei casi, perché nessuna comunicazione legittima peggiora se la verifichi. Ed è una regola che si insegna in una frase, a differenza di qualunque elenco di indizi tecnici.

Vale anche fuori dalla posta elettronica, dove ormai si è spostata buona parte del problema: gli SMS del corriere, i messaggi di un amico che chiede un favore, le telefonate di chi si spaccia per la banca, le richieste di confermare un accesso che non hai chiesto tu.

Nelle aziende: quello che conta più dei corsi

Le organizzazioni investono in formazione e fanno bene. Ma ho visto aziende con personale formatissimo cavarsela peggio di altre senza un solo corso alle spalle, e la differenza non era nelle conoscenze.

Le altre due cose che contano, e che spesso mancano:

• Sapere a chi si segnala. Un indirizzo o un numero interno, uno solo, noto a tutti. «Avvisa l’informatico» non è una procedura se nessuno sa chi sia l’informatico alle otto di sera.
• Formare su quello che succede davvero, non su quello che succedeva. Nel 2017 tutti insegnavano a non abilitare le macro di Office, e la campagna italiana di quell’anno passava da una finestra che con le macro non c’entrava niente. Chi aveva imparato la regola a memoria era indifeso quanto gli altri, con in più la convinzione di essere al sicuro.

Se ci prendi la mano, aiuta gli altri

È la parte che scrivevo dieci anni fa e che riscrivo identica.

Chi sviluppa l’occhio per queste cose ce l’ha per sempre, e diventa una risorsa per le persone attorno: i genitori, i figli, i colleghi meno smaliziati. Un messaggio inoltrato con scritto «guarda che questa è falsa» vale più di un corso, perché arriva nel momento giusto e da qualcuno di cui ci si fida.

Due note su dove queste email vengono lette. Sullo smartphone lo spazio è poco e l’indirizzo del mittente resta nascosto dietro il nome: è il posto in cui queste truffe funzionano meglio, e le impostazioni che contano sono queste. Se invece in casa c’è qualcuno che ha imparato da poco a usare la posta, il modo di spiegarglielo senza spaventarlo conta più dell’elenco dei segnali.

E se sospetti che un tuo contatto abbia subito una violazione della casella — perché ti arrivano messaggi strani dal suo indirizzo — avvisalo su un altro canale. Non rispondendo a quell’email: chiamandolo.

Il resto

• Le dieci verifiche tecniche — perché le persone sono metà del problema, l’altra metà è come è fatta la rete.
• Il backup — quello che ti salva quando tutto il resto non è bastato.
• Se è appena successo — cosa fare nella prima mezz’ora.