Se il mittente sembra affidabile, cominciano i guai

La fiducia ora arriva già precompilata

Lo spoofing è la tecnica con cui qualcuno finge di essere qualcun altro: un mittente, un numero, un sito, un indirizzo, perfino una parte apparentemente innocente della rete. La definizione è pulita, quasi scolastica, come spiegano anche le guide di Malwarebytes sullo spoofing e di Trend Micro sulle tecniche di spoofing . Poi però entra nella vita quotidiana con una mail delle risorse umane, una telefonata della banca e un allegato chiamato “documento urgente”.

La modernità aveva promesso riconoscimento immediato: nomi salvati, notifiche verificate, app ufficiali, icone rassicuranti. Adesso il problema è che anche il truffatore ha imparato a vestirsi bene. Non arriva più urlando da un vicolo digitale; si presenta con oggetto formale, logo allineato e tono da sportello clienti.

La banca chiama con un numero che sembra conoscere il direttore

Nello spoofing telefonico il numero visualizzato può essere manipolato per sembrare quello di un soggetto affidabile, come ricorda anche la pagina di WindTre sullo spoofing telefonico . Il telefono squilla, lo schermo mostra un prefisso familiare, magari persino il nome della filiale. A quel punto la prudenza deve discutere con un rettangolo luminoso che ha già deciso di sembrare autorevole.

Abbiamo affidato al display il compito di dirci chi parla, poi abbiamo scoperto che anche il display può essere educato a mentire. La persona dall’altra parte non deve più inventarsi una scenografia: la scenografia l’abbiamo in tasca. Basta chiedere un codice “per sicurezza” e la sicurezza diventa una recita da fare ad alta voce.

L’email porta la cravatta

L’email spoofing lavora sullo stesso principio: indirizzi simili, domini ritoccati, mittenti falsificati, allegati che sembrano arrivare da colleghi, fornitori o servizi già usati. SentinelOne descrive bene il meccanismo degli indirizzi email falsi e dello spoofing del dominio , ma nella pratica tutto si riduce a un gesto minuscolo: aprire o non aprire.

Per anni ci hanno spiegato di non fidarci delle mail strane. La mail, nel frattempo, ha smesso di essere strana. Ha imparato i saluti corretti, le scadenze, la grafica dell’azienda e quel tono passivo-aggressivo da comunicazione interna; lo stesso ingresso laterale da cui spesso passa anche il programma che non doveva esserci .

Anche l’indirizzo di casa può mentire

Con il DNS spoofing, o DNS cache poisoning, il problema diventa ancora più elegante: l’utente può digitare l’indirizzo giusto e ritrovarsi comunque nel posto sbagliato. La spiegazione tecnica, riassunta da DMARC Advisor sullo spoofing DNS , riguarda la manipolazione delle informazioni che traducono un dominio in una destinazione reale. La versione domestica è meno elegante: hai scritto bene, ma sei arrivato male.

Internet era stato raccontato come una rete di percorsi precisi: cerchi, clicchi, entri. Qui invece il taxi digitale ascolta l’indirizzo corretto e ti accompagna davanti a una porta identica, con un campanello identico e qualcuno dentro che ti chiede le credenziali con grande professionalità. A quel punto il problema non è più ricordare la password, ma capire se esiste ancora un luogo stabile in cui inserirla.

La difesa diventa un secondo mestiere

Le contromisure esistono: controllare il mittente, verificare il dominio, non comunicare codici, usare autenticazione a più fattori, aggiornare sistemi, diffidare dell’urgenza, segnalare anomalie. Tutto corretto. Solo che, sommate insieme, queste buone pratiche trasformano ogni cittadino in un piccolo reparto antifrode senza scrivania, senza stipendio e senza pausa caffè.

Nel mondo in cui persino l’accesso a un concerto può passare da un buttafuori dentro al browser , la fiducia non è più un sentimento: è una procedura. Lo stesso utente che non deve cliccare troppo in fretta deve però vivere abbastanza in fretta da rispondere a notifiche, conferme, codici e avvisi prima che scadano.

Il dettaglio piccolo resta sempre quello decisivo

Alla fine lo spoofing non vince perché è magico. Vince perché somiglia abbastanza a ciò che facciamo ogni giorno: leggere in fretta, confermare in fretta, fidarsi del logo, del numero, del tono, dell’urgenza. La truffa non deve superare un castello; deve solo infilarsi tra una notifica della banca e un messaggio del corriere.

Se sembra falso, nessuno ci casca; se sembra vero, tocca al cittadino autenticare la realtà. Così l’identità diventa un travestimento, la prudenza diventa lavoro amministrativo e una telefonata qualunque può chiedere più attenzione di una dichiarazione dei redditi.

ODRUSSA!