Avete cliccato un link di phishing: che cosa fare adesso

Cliccare un link di phishing capita a molte persone attente: è un errore facile, non un disastro, e ciò che conta davvero è quello che fate subito dopo. Agire in fretta e con calma evita quasi tutti i danni. Ecco una guida chiara, passo per passo.

Prima di tutto: niente panico, e niente silenzio

La reazione più dannosa in assoluto è tacere per imbarazzo. Gli aggressori contano proprio su quell’esitazione; ogni minuto conta e segnalare presto è ciò che limita i danni. Non siete nei guai per aver segnalato un errore: state proteggendo l’intera organizzazione.

Respirate. Poi seguite i passaggi qui sotto.

Passo 1: fermatevi e disconnettetevi

Se avete cliccato un link o scaricato un file, scollegate il dispositivo da internet. Su un portatile: spegnete il Wi-Fi o staccate il cavo di rete. Così impedite a un eventuale software dannoso di comunicare all’esterno o di diffondersi.

Non spegnete il computer, a meno che non ve lo dica il reparto IT: potrebbe voler vedere che cosa è successo.

Passo 2: non inserite altro

Se il link ha aperto una pagina che chiede credenziali, password o dati della carta:

• Non digitate nulla. Chiudete la pagina.
• Se avete già inserito qualcosa, non minimizzate: è proprio ciò che va segnalato (vedi passo 4).

Passo 3: cambiate le password

Se avete inserito una password — o non siete sicuri di averlo fatto — cambiatela il prima possibile, usando un altro dispositivo affidabile se quello coinvolto potrebbe essere compromesso.

• Cambiate la password dell’account preso di mira (l’e-mail, o un sistema aziendale).
• Se riutilizzate la stessa password altrove, cambiatela anche lì. Le password riutilizzate sono uno dei rischi maggiori dopo un clic di phishing.
• Dove possibile, attivate l’autenticazione a due fattori (un secondo codice sul telefono o su un’app). È uno strato di protezione molto efficace.

Passo 4: segnalate subito

Avvisate immediatamente il reparto IT o sicurezza, anche fuori orario se possibile. Fornite i fatti:

• Che aspetto aveva il messaggio e da chi sembrava arrivare.
• Che cosa avete cliccato o scaricato.
• Se avete inserito informazioni e, in tal caso, quali.

Il vostro reparto IT preferisce di gran lunga sapere di un clic alle nove di sera che scoprire una violazione la settimana dopo. Segnalare è la cosa responsabile.

Se non avete un reparto IT, contattate l’organizzazione vera per cui si spacciava il messaggio (la vostra banca, per esempio) tramite il suo numero o il suo sito ufficiale, mai i recapiti presenti nel messaggio sospetto.

Passo 5: sorvegliate gli strascichi

Nei giorni successivi restate attenti:

• Controllate gli account per accessi o attività che non riconoscete.
• Tenete d’occhio gli estratti conto se erano coinvolti dati finanziari, e avvisate la banca se qualcosa non torna.
• Diffidate dei nuovi messaggi. Chi ottiene una risposta spesso insiste, a volte fingendo di «aiutarvi» a risolvere il problema.

E se aveste solo cliccato, senza inserire nulla?

Probabilmente è tutto a posto, ma segnalatelo comunque. Anche la sola visita a una pagina malevola può occasionalmente bastare, e il reparto IT può controllare il dispositivo per sicurezza. La segnalazione avverte inoltre che altri potrebbero aver ricevuto lo stesso messaggio.

Trasformare un errore in lezione

Una volta risolto l’urgente, vale la pena riflettere con calma su che cosa rendesse convincente il messaggio. L’urgenza? Un mittente dall’aria familiare? Riconoscere il trucco che ha funzionato su di voi vi rende molto più difficili da ingannare la volta successiva. Errori come questo sono uno dei modi più efficaci per imparare a proteggersi.

Come aiuta GottaPhish

Quando qualcuno clicca un link di phishing, il danno dipende interamente dalla rapidità e dalla calma della reazione — e GottaPhish, insieme al nostro team di esperti, aiuta la vostra organizzazione a costruire proprio quella sicurezza. Le nostre simulazioni realistiche fanno vivere un clic di phishing in un contesto del tutto protetto, così la risposta giusta — fermarsi, cambiare le password, segnalare — diventa automatica, sostenuta da formazione senza colpevolizzazione e da cruscotti che seguono nel tempo il tasso di segnalazione. Il nostro team di supporto ed esperti lavora al vostro fianco per impostare le campagne, disegnare scenari credibili e interpretare i risultati, costruendo un ambiente in cui gli errori si segnalano in fretta e tutti restano protetti.