La PEC, cioè la Posta elettronica certificata, è spesso percepita come una garanzia assoluta di autenticità. In realtà certifica tecnicamente invio e consegna di un messaggio, ma non può assicurare da sola che chi usa una determinata casella sia davvero autorizzato a farlo. Se un indirizzo PEC viene violato, oppure se qualcuno ottiene accesso abusivo alle credenziali, anche una richiesta formalmente “certificata” può diventare una trappola.

I contenuti delle richieste

Le richieste avrebbero riguardato dati personali di circa 680 utenti, alcuni dei quali descritti come persone di profilo elevato. Si parla di informazioni fornite durante l’apertura di un conto: generalità, indirizzi, copie di documenti, immagini per la verifica dell’identità e, secondo alcune ricostruzioni, dati collegati ai rapporti bancari. Revolut avrebbe avvisato le persone interessate. La società ha però precisato che i suoi sistemi non sarebbero stati violati e che non risultano movimenti non autorizzati di denaro.

Il punto più delicato non è solo l’eventuale compromissione della PEC. È il processo con cui una banca verifica le richieste di informazioni. In Italia, l’accesso ai dati finanziari nell’ambito di un’indagine segue procedure precise. Sembra che le richieste contestate non sarebbero state accompagnate dal provvedimento dell’autorità giudiziaria necessario a giustificarle. Se confermato, sarebbe un segnale grave: non dovrebbe bastare il mittente apparentemente istituzionale per consegnare dati così sensibili.

Il gruppo che avrebbe rivendicato l’operazione si fa chiamare “I am not a villain” e sostiene motivazioni ideologiche legate alle pratiche di Revolut. Altre fonti parlano invece di una possibile richiesta di riscatto per evitare la pubblicazione delle informazioni. Queste attribuzioni, come le dichiarazioni degli stessi attaccanti, non possono essere considerate prove definitive e dovranno essere valutate dagli inquirenti.

Il caso ha già assunto una dimensione politica: sono state annunciate interrogazioni parlamentari per chiedere chiarimenti al Ministero dell’Interno sull’uso della PEC, sulle eventuali altre richieste inviate e su possibili soggetti coinvolti.

*Illustrazione progettata da Freepick

I dettagli del sostegno

La misura dispone di una dotazione complessiva di 150 milioni di euro, finanziata dal Fondo sviluppo e coesione. Di questi, circa 71,1 milioni sono riservati ai piani di spesa realizzati in Abruzzo, Basilicata, Calabria, Campania, Molise, Puglia, Sardegna e Sicilia.

L’agevolazione è un contributo a fondo perduto: non deve essere restituito, purché siano rispettate le condizioni previste. Può coprire al massimo il 50% delle spese ammissibili, fino a un massimo di 20 mila euro. Ciò significa, per esempio, che un progetto da 20 mila euro potrebbe ricevere fino a 10 mila euro di contributo; per raggiungere il massimale, il piano di spesa deve essere almeno pari a 40 mila euro.

I piani non possono avere un valore inferiore a 4 mila euro e devono puntare su tecnologie nuove o sensibilmente più avanzate e sicure rispetto a quelle già utilizzate. Non basta quindi rinnovare una licenza esistente o comprare un prodotto identico a quello già in uso: l’investimento deve portare un miglioramento concreto, come l’introduzione di funzioni di automazione, intelligenza artificiale, protezione più evoluta o controllo centralizzato dei sistemi.

Spese finanziabili

Tra le spese rientrano dispositivi hardware come firewall, router e switch, ma anche sistemi per rilevare intrusioni. Un firewall può essere paragonato al controllo all’ingresso di un edificio: decide quali connessioni possono entrare o uscire dalla rete aziendale. I sistemi IDS e IPS, invece, funzionano come sensori e addetti alla sicurezza: il primo segnala attività sospette, il secondo può bloccarle.

Sono ammessi anche software antivirus e antimalware, strumenti per monitorare la rete, soluzioni di cifratura dei dati, piattaforme SIEM e software di gestione delle vulnerabilità. Un SIEM raccoglie e mette in relazione i “registri” di computer, server e applicazioni, aiutando a riconoscere comportamenti anomali: come un sistema di videosorveglianza che confronta ciò che accade in più aree dell’azienda.

Il voucher finanzia inoltre servizi cloud. Per cloud si intende l’uso di potenza di calcolo, spazio di archiviazione o programmi via Internet, senza dover acquistare e gestire internamente tutti i server. La misura comprende infrastrutture virtuali, backup, database, VPN e protezioni contro gli attacchi DDoS, cioè quei picchi artificiali di traffico che provano a rendere irraggiungibile un sito o un servizio.

Rientrano nel perimetro anche software aziendali in abbonamento, come contabilità, gestione del personale, ERP, CRM, e-commerce e piattaforme di collaborazione o centralino virtuale. I servizi professionali di configurazione, monitoraggio e assistenza sono agevolabili, ma non possono superare il 30% dell’intero piano di spesa e devono essere collegati ai prodotti o servizi finanziati. La formazione, invece, non è ammessa.

Requisiti

Le imprese e i lavoratori autonomi interessati devono avere una connessione con velocità di download di almeno 30 Mbps e acquistare servizi o prodotti da fornitori iscritti nell’apposito elenco del Ministero. È possibile scegliere l’acquisto diretto, un abbonamento o una formula mista. Per i progetti basati solo su acquisti diretti, la realizzazione non può superare 12 mesi; per gli abbonamenti è richiesta una durata di almeno 24 mesi, anche se le spese finanziabili restano limitate ai primi due anni.

Termini e procedura

La procedura avverrà online e in due fasi. La compilazione potrà iniziare dalle ore 12 del 20 ottobre 2026, mentre l’invio formale della domanda sarà possibile dalle ore 12 del 10 novembre 2026 fino alle ore 12 del 20 gennaio 2027. Le richieste saranno esaminate in ordine cronologico, quindi preparare preventivi e documenti prima dell’apertura dello sportello sarà fondamentale. L’accesso avverrà tramite SPID, Carta d’identità elettronica o Carta nazionale dei servizi. A questo link trovate una guida alla compilazione della domanda in formato PDF.

La notizia va letta con cautela

Il progetto pubblicato non sarebbe il codice sorgente originale di Stuxnet, né la prova di una nuova campagna attiva. Il suo autore, che usa uno pseudonimo, lo presenta come materiale didattico e di ricerca basato sui campioni del malware analizzati negli anni. Alcuni sviluppatori che hanno esaminato il repository hanno però sollevato dubbi, definendolo in parte poco credibile o simile a codice generato automaticamente e non verificato.

Anche se il codice non fosse una copia fedele, il caso riporta l’attenzione su ciò che Stuxnet ha rappresentato. Prima della sua scoperta, il malware era associato soprattutto a furto di password, spionaggio e interruzione di servizi. Stuxnet dimostrò invece che un programma poteva attraversare il confine tra digitale e fisico: entrare in una rete informatica e modificare il comportamento di un impianto reale.

Il worm prendeva di mira i sistemi di controllo industriale, spesso indicati con la sigla ICS. Sono i computer e i software usati per gestire macchinari in fabbriche, centrali elettriche, reti idriche e infrastrutture critiche. Al loro interno operano spesso i PLC, piccoli computer programmabili che ricevono istruzioni e comandano motori, valvole, pompe o centrifughe. Possiamo immaginarli come i semafori intelligenti di una fabbrica: decidono quando una macchina deve partire, fermarsi o cambiare velocità.

Stuxnet cercava una configurazione molto specifica, legata alle centrifughe utilizzate per l’arricchimento dell’uranio nell’impianto di Natanz, in Iran. Nella maggior parte dei computer infettati restava inattivo. Quando trovava il bersaglio giusto, interveniva sui controllori industriali per modificare la velocità delle centrifughe, portandole ripetutamente fuori dai parametri di sicurezza. Nel frattempo, mostrava agli operatori dati apparentemente normali. Era come manomettere il motore di un’auto mentre il cruscotto continua a indicare che tutto procede senza problemi.

Secondo gli esperti, l’operazione avrebbe danneggiato circa mille centrifughe e rallentato il programma nucleare iraniano. L’attribuzione è stata ampiamente collegata a Stati Uniti e Israele, ma nessuno dei due governi ha mai rivendicato pubblicamente lo sviluppo del malware.

Un altro aspetto che rese Stuxnet eccezionale fu l’uso di quattro vulnerabilità “zero-day” di Windows. Una zero-day è un difetto non ancora corretto dal produttore, quindi privo di una patch disponibile nel momento in cui viene sfruttato. Trovarne una richiede competenze e risorse; usarne quattro nello stesso attacco mostrò un livello di preparazione molto raro. Quelle vulnerabilità sono state corrette da tempo e i sistemi di difesa industriale sono maturati con segmentazione delle reti, controllo del software autorizzato e maggiore monitoraggio degli impianti.

Il vero insegnamento non è che chiunque possa scaricare un progetto e replicare Stuxnet. Gli attacchi contro infrastrutture fisiche richiedono conoscenze molto specifiche dell’impianto, dell’hardware e dei processi industriali. Ma la disponibilità di codice, analisi e strumenti online riduce la distanza tra curiosità, sperimentazione e abuso. Per questo le organizzazioni industriali devono continuare a separare le reti operative da Internet, aggiornare i sistemi, limitare gli accessi remoti e prepararsi a rilevare anomalie anche quando gli indicatori sembrano rassicuranti.

Stuxnet resta dunque un simbolo: il momento in cui il mondo ha capito che un attacco informatico può avere conseguenze concrete su macchinari, produzione e infrastrutture. La comparsa di una sua presunta ricostruzione su GitHub è meno importante del messaggio che riporta alla ribalta: la sicurezza digitale e quella fisica, oggi, sono inseparabili.

*Illustrazione progettata da MakeUSOF

ChatGPT elabora un secondo flusso di attività parallelamente alla conversazione visibile.

Il rischio dimostrato

Nella dimostrazione controllata dei ricercatori, un aggressore è riuscito a indurre la sessione ChatGPT della vittima a recuperare informazioni dalla sua casella Gmail collegata e a trasmetterle a un altro account. La vittima inviava una domanda normale, riceveva una risposta apparentemente normale e non vedeva il secondo lavoro che l’assistente stava eseguendo in parallelo.

Il problema non riguardava una password di Gmail rubata né un accesso diretto all’account della vittima. Al centro della scoperta c’era il meccanismo con cui ChatGPT esegue alcune operazioni più complesse, ad esempio quando deve usare codice o strumenti software. Per queste attività vengono avviati ambienti temporanei e isolati, chiamati container: si possono immaginare come stanze separate, una per ogni sessione, che in teoria non dovrebbero comunicare tra loro.

Secondo Check Point, quei container potevano raggiungere un servizio interno di gestione dei pacchetti software, JFrog Artifactory. Questo componente serviva a fornire programmi e librerie senza aprire un accesso diretto a Internet. Tuttavia, una funzione legata ai metadati – piccole informazioni associate a un elemento del repository – avrebbe consentito a container di account diversi di scrivere e leggere dati condivisi. In sostanza, una lavagna che avrebbe dovuto stare in una stanza privata era invece consultabile anche dalla stanza accanto.

ChatGPT elabora una richiesta visibile dell’utente e un’attività nascosta durante lo stesso turno, per poi restituire i risultati attraverso canali separati.

Su quella lavagna digitale, l’attaccante poteva lasciare una richiesta nascosta. Attraverso una forma di prompt injection, cioè un’istruzione malevola inserita dentro contenuti che l’IA viene indotta a leggere, la sessione della vittima poteva controllare il canale, eseguire il compito usando le autorizzazioni di cui disponeva e restituire il risultato all’aggressore. I ricercatori indicano come possibili punti d’innesco un prompt manipolato, un link a una conversazione condivisa o un GPT personalizzato.

Non solo Gmail

La portata dell’attacco dipendeva da ciò che l’utente aveva già autorizzato. Nella prova è stato coinvolto Gmail, ma lo stesso schema avrebbe potuto interessare cronologia delle conversazioni, file presenti nelle chat e applicazioni collegate come Google Drive, Microsoft Teams o GitHub. Questo è il punto decisivo: l’assistente non doveva “bucare” ogni singolo servizio; poteva utilizzare i privilegi che l’utente gli aveva affidato in buona fede.

Plugin di ChatGPT.

Check Point definisce questo rischio un possibile “insider costretto”: non un dipendente infedele, ma un assistente IA convinto a compiere azioni legittime per i permessi, ma illegittime per lo scopo. È come se un assistente d’ufficio, autorizzato a consultare gli archivi, ricevesse istruzioni nascoste in un documento e consegnasse una cartella riservata a uno sconosciuto, senza che il responsabile se ne accorga.

La buona notizia è che questa specifica via d’attacco non risulta più utilizzabile. OpenAI ha comunicato a Check Point che l’istanza interna di Artifactory impiegata nella dimostrazione è stata dismessa. Non sono richieste azioni di aggiornamento sui dispositivi degli utenti per chiudere questo singolo canale.

*Illustrazione progettata da Checkpoint

L’Early Access nasce con uno scopo legittimo. Consente agli sviluppatori di far provare software non ancora completo, raccogliere pareri e correggere difetti prima del lancio ufficiale. È utile soprattutto alle piccole realtà, che rischierebbero giudizi negativi per funzioni mancanti o problemi temporanei. Ma la stessa regola che protegge gli sviluppatori onesti può creare un vantaggio per chi vuole ingannare.

Le recensioni sono infatti uno dei segnali più immediati che usiamo per decidere se fidarci. Se un gioco mostra migliaia di download ma nessun commento, nessuna valutazione e nessuna esperienza condivisa, diventa più difficile capire se mantiene davvero ciò che promette. È un po’ come acquistare un prodotto online senza poter leggere l’opinione di chi lo ha già provato.

App killer

Secondo l’analisi di Bitdefender, nell’area Early Access sono presenti migliaia di applicazioni potenzialmente deceptive: falsi giochi da casinò, app che promettono premi o guadagni, utility come lettori PDF e scanner QR, software per tracciare telefoni e giochi che richiamano marchi noti senza un collegamento evidente con i titolari originali. Non tutte le app in accesso anticipato sono truffe, ma l’assenza di feedback pubblici rende più facile per quelle sospette restare meno esposte al giudizio della comunità.

Un modello ricorrente riguarda le app che promettono denaro, buoni regalo, ricariche PayPal, criptovalute, giri gratis o vincite a giochi di casinò. La pubblicità, diffusa soprattutto sui social, può mostrare persone che ricevono subito premi o guadagni. L’utente installa l’app, accumula rapidamente crediti virtuali e arriva vicino alla soglia necessaria per ritirare il premio. A quel punto, però, l’avanzamento rallenta o si blocca, mentre la persona continua a visualizzare inserzioni. Il guadagno reale finisce così allo sviluppatore, grazie alla pubblicità mostrata.

Il problema dei deepfake

Bitdefender segnala anche annunci che usano deepfake di personaggi famosi per rendere più persuasive le promesse di vincite facili. Un video generato o modificato con l’intelligenza artificiale può far sembrare che un atleta, un attore o un volto noto stia consigliando un gioco. Ma il volto riconoscibile non è una garanzia: può essere solo un’esca costruita per spingere al download.

Tra gli esempi citati nella ricerca figurano titoli che hanno sfruttato temporaneamente il nome di Grand Theft Auto V, per poi cambiare denominazione dopo essere comparsi nei risultati di ricerca. Alcuni giochi presenterebbero immagini non rappresentative dell’esperienza reale e un funzionamento orientato soprattutto alla visualizzazione di annunci. In un caso, un’app ha superato il milione di download pur restando priva di valutazioni pubbliche perché classificata come Early Access.

Il problema non riguarda soltanto il denaro perso o la pubblicità invasiva. App poco trasparenti possono chiedere permessi eccessivi, raccogliere dati, spingere verso siti esterni o costruire una falsa fiducia sfruttando il marchio Google Play. Per questo conviene controllare chi pubblica l’app, quanti download ha, quali permessi richiede e se esiste un sito ufficiale dello sviluppatore. Un’app che promette guadagni rapidi o funzionalità “miracolose” merita sempre un controllo in più.

Bitdefender afferma di aver segnalato le proprie osservazioni a Google, che avrebbe confermato di essere al lavoro sul caso. La lezione per gli utenti resta semplice: la provenienza da uno store ufficiale riduce molti rischi, ma non sostituisce del tutto il giudizio critico

Scelte strategiche

Il cambiamento arriva in un momento in cui gli attacchi sono sempre più frequenti e costosi. Secondo il Rapporto Clusit 2026, nel 2025 sono stati registrati nel mondo 5.265 incidenti cyber gravi, il 49% in più rispetto all’anno precedente. L’Italia ha totalizzato 507 casi, pari al 9,6% del campione globale, con una crescita del 42%.

Di fronte a numeri simili, affidare la sicurezza esclusivamente al reparto IT non è più sufficiente. Il team tecnico può installare sistemi di protezione, controllare i log e intervenire durante un incidente, ma non può decidere da solo quali attività siano indispensabili per l’azienda o quali investimenti siano prioritari. Queste sono scelte strategiche, come quelle relative a finanza, continuità operativa e reputazione.

La NIS2 si applica ai soggetti classificati come essenziali o importanti, individuati in base al settore e alle dimensioni dell’organizzazione. La normativa estende gli obblighi a più comparti e considera l’intera infrastruttura digitale dell’ente o dell’impresa. Non guarda quindi soltanto al singolo computer, ma all’insieme di reti, cloud, software, fornitori e servizi da cui dipende l’operatività. Un esempio può aiutare. Per un ospedale, il sistema da proteggere non è soltanto il server che conserva i dati, ma il servizio complessivo che permette di gestire cartelle cliniche e prenotazioni. Per una fabbrica, il rischio riguarda anche gli impianti connessi che coordinano la produzione. Se uno di questi servizi si ferma, l’impatto può estendersi a clienti, dipendenti, fornitori e cittadini.

Conoscere i rischi

La direttiva chiede agli organi di amministrazione di conoscere i principali rischi cyber, approvare le politiche di sicurezza, controllarne l’attuazione e ricevere una formazione adeguata. Il CEO deve quindi diventare un punto di collegamento tra il linguaggio tecnico del CISO – il responsabile della sicurezza informatica – e le decisioni aziendali. Non deve saper configurare un firewall, ma deve comprendere che cosa accadrebbe se quel controllo venisse meno.

La cybersecurity diventa così anche un tema di fiducia. Dopo un attacco, clienti e partner non valutano soltanto quanti dati siano stati sottratti, ma anche la rapidità con cui l’organizzazione reagisce, comunica l’accaduto e ripristina i servizi. La capacità di gestire una crisi digitale entra quindi nella reputazione dell’impresa. Il decreto prevede poteri di vigilanza e sanzioni amministrative. Per i soggetti essenziali, le multe possono arrivare fino a 10 milioni di euro o al 2% del fatturato mondiale annuo; per quelli importanti il limite è di 7 milioni di euro o dell’1,4% del fatturato globale. L’ACN può effettuare controlli, chiedere documentazione e accertare eventuali violazioni.

Questo non significa che ogni attacco comporti automaticamente una responsabilità personale o penale degli amministratori. Tuttavia, una gestione gravemente negligente e non documentata può diventare rilevante se si verificano le condizioni previste dalle norme già esistenti. L’obiettivo della NIS2 è soprattutto spingere le organizzazioni a prepararsi prima dell’incidente, non limitarsi a cercare un responsabile dopo.

Per i vertici aziendali il percorso parte da alcune azioni concrete: mappare i servizi più esposti, discutere periodicamente il rischio cyber in consiglio, definire un canale diretto con il CISO, verificare la sicurezza dei fornitori e organizzare esercitazioni di risposta agli incidenti. La domanda da porsi non è più “di chi è il problema?”, ma “quale decisione dobbiamo prendere oggi per evitare che un problema tecnico diventi una crisi aziendale?”.

Il tema portante dell’incontro sarà “Cybersecurity nell’era dell’AI: nuove minacce, nuove strategie, nuove responsabilità”. Un titolo che riassume una sfida concreta: l’IA può aiutare a riconoscere attività sospette e automatizzare la difesa, ma può anche rendere più veloci e credibili le truffe online. Un esempio è il phishing, cioè la falsa e-mail che imita banche, fornitori o colleghi per rubare password e dati. Con gli strumenti generativi, un messaggio fraudolento può essere scritto meglio, personalizzato e diffuso più facilmente.

ConfSec propone un’intera giornata di incontri, dalle 9 alle 18, con una sessione plenaria istituzionale, due percorsi paralleli – uno più orientato alle strategie aziendali e uno agli aspetti tecnici – spazi dimostrativi e momenti dedicati al networking. Il programma prevede 12 interventi nei due track, oltre 25 speaker ed esperti e circa 400 partecipanti attesi.

L’iniziativa è rivolta a CISO, CIO, responsabili IT, security manager, tecnici, consulenti e vendor, ma anche a imprenditori e decision maker che devono comprendere come gestire il rischio digitale. In parole semplici, non si parlerà soltanto di hacker e software malevoli: al centro ci saranno anche scelte organizzative, formazione, gestione dei fornitori, protezione delle informazioni e responsabilità del management.

Uno dei temi chiave sarà la NIS2, la normativa europea che impone a numerose organizzazioni di adottare misure di sicurezza concrete e verificabili. La questione non riguarda più solo il reparto IT. Secondo il programma dell’evento, le nuove regole attribuiscono al consiglio di amministrazione un ruolo diretto nell’approvazione delle misure di cybersecurity e richiedono di valutare la criticità dei servizi offerti, non soltanto quella dei singoli computer o server.

Dal 2015 ConfSec si propone come punto di incontro per il Sud Italia tra imprese, professionisti e istituzioni impegnati nella protezione delle informazioni e nella gestione del rischio cyber. L’edizione 2026 punta quindi a offrire non soltanto aggiornamento tecnico, ma occasioni di confronto su come passare dalle regole alla pratica: riconoscere le minacce, definire responsabilità e costruire difese adatte a un contesto in cui dati, servizi digitali e IA sono ormai intrecciati.

La partecipazione è gratuita, con iscrizione obbligatoria tramite il sito ufficiale dell’evento. Le registrazioni, secondo le informazioni diffuse dagli organizzatori, chiuderanno il 18 settembre, salvo esaurimento dei posti disponibili. Il programma completo dell’evento è consultabile a questo indirizzo.

Pubblicità di offerta irrevocabile pervenuta ed invito alla manifestazione di interesse ex art. 91 CCII (c.d. offerte concorrenti) da sottoporre ad eventuale successiva procedura competitiva, per la cessione della partecipazione pari al 51% del capitale sociale di Datamatic Sistemi e Servizi S.p.A. (“DSS” o “Partecipazione”), di proprietà di Datamatic S.r.l., in relazione alla quale è pervenuta proposta irrevocabile di acquisto al prezzo di Euro 550.000,00 (cinquecentocinquantamila/00)

Si invitano gli eventuali interessati a manifestare l’interesse all’acquisto della Partecipazione, per il prezzo base di Euro 550.000,00 (cinquecentocinquantamila/00). La manifestazione di interesse avente ad oggetto la Partecipazione dovrà pervenire entro e non oltre le ore 12:00 del 12 ottobre 2026 all’indirizzo pec carlo.pagliughi@odcecmilano.it. Si precisa che all’indirizzo segreteria@studiopagliughi.it potrà essere inviata richiesta di accesso alla Data Room, previa sottoscrizione di un accordo di riservatezza. Il presente annuncio e la ricezione di eventuali manifestazioni di interesse non comportano alcun obbligo od impegno alla alienazione nei confronti di eventuali offerenti, e per essi alcun diritto a qualsiasi titolo (mediazione o consulenza). L’invito a manifestare completo è pubblicato sul Portale delle Vendite Pubbliche e messo a disposizione a semplice richiesta.

L’annuncio completo è scaricabile cliccando qui.

Come individuare gli account

Il modo più semplice per ricostruire l’elenco dei servizi a cui ci si è registrati è utilizzare la posta elettronica come  archivio. La maggior parte delle piattaforme invia, infatti, messaggi automatici quando viene creato un account o quando sono effettuate operazioni sensibili come la verifica dell’indirizzo email o la reimpostazione della password. Una ricerca nella mailbox con termini tipici dei messaggi di registrazione, come “benvenuto”, “verifica il tuo indirizzo email”, “account creato” o “reimposta la password”, permette di individuare rapidamente molti servizi utilizzati negli
anni. In quelli internazionali cercate formule come “welcome”, “verify your email” o “password reset”. Se avete la posta in archivi locali potete effettuare ricerche analoghe anche dalla riga di comando. Strumenti come grep permettono di analizzare rapidamente grandi archivi con ricerche come:
grep -Ri “welcome” ~/Mail

Una volta individuato un servizio, conviene verificare alcune informazioni disponibili nella maggior parte delle piattaforme, come la data dell’ultimo accesso, l’ultima modifica della password, l’eventuale presenza di sessioni attive oppure una cronologia degli accessi recenti. Questi dati permettono di capire se l’account è stato utilizzato di recente
oppure se è rimasto inattivo per anni. Nel secondo caso è spesso più sicuro eliminarlo.

Password manager e accessi federati

Anche password manager come Bitwarden o KeePassXC permettono di visualizzare l’elenco dei servizi registrati e spesso consentono di ordinare le voci in base alla data di creazione o all’ultimo utilizzo. Potrete così individuare rapidamente servizi utilizzati anni prima, eventuali account duplicati e password ripetute, eliminando quel chen non serve. Un’attenzione particolare merita anche l’autenticazione tramite servizi esterni (Single Sign-On o SSO) con Google, GitHub o altri provider di identità. Questo meccanismo utilizza protocolli di autorizzazione che consentono a un sito di usare l’identità gestita da un’altra piattaforma. Nel tempo è facile accumulare numerose autorizzazioni di
questo tipo senza accorgersene. Potete controllare queste integrazioni nelle impostazioni di sicurezza dei principali servizi, dove di solito è presente una sezione dedicata alle applicazioni collegate o agli accessi autorizzati. Rimuovere le integrazioni non più necessarie riduce il numero di servizi che possono accedere alla vostra identità principale e
limita la superficie di esposizione.

Eliminare o neutralizzare quel che non serve

Quando un account non serve più, la soluzione migliore è eliminarlo tramite le impostazioni del servizi anche se, in alcuni casi, è necessario contattare il supporto o seguire procedure manuali. Se l’eliminazione non è possibile, potete comunque ridurre il rischio sostituendo la password con una stringa casuale generata dal password manager, rimuovendo le informazioni personali dal profilo, disattivando notifiche e integrazioni esterne e revocando eventuali token di accesso. Un controllo periodico del password manager e delle email di registrazione è spesso sufficiente per individuare account inutilizzati e ridurre progressivamente il numero di credenziali attive.

Può diventare un problema di sicurezza

Gli account vecchi spesso utilizzano password che non sono mai state aggiornate oppure credenziali riutilizzate su altri servizi. Se una di queste credenziali compare in un database compromesso, un account dimenticato può diventare un bersaglio facile per attacchi automatici di credential stuffing, nei quali le credenziali rubate vengono provate su numerosi servizi diversi. Un secondo rischio riguarda i dati personali. Molti servizi conservano informazioni, cronologie o file associati all’account anche dopo lunghi periodi di inattività. Se l’account non viene più monitorato, eventuali accessi non autorizzati possono passare inosservati.

Leggi anche: “Il portachiavi in bella mostra“

Come funziona la truffa

La tecnica rientra nella cosiddetta ingegneria sociale, cioè l’insieme di strategie con cui gli aggressori manipolano le persone invece di attaccare direttamente un sistema. In questo caso il punto debole non è una vulnerabilità del computer, ma una preoccupazione molto concreta: il timore di non riuscire a pagare un debito o la speranza di ottenere un sostegno economico.

Il messaggio può sembrare una normale comunicazione commerciale o un’offerta di assistenza. Non contiene necessariamente file pericolosi né collegamenti da cliccare. Proprio per questo può sfuggire ai controlli tradizionali, abituati a cercare URL malevoli, allegati sospetti o malware conosciuti.

Esempio di e-mail fraudolenta.

La truffa prende forma quando la vittima telefona. Da quel momento, la conversazione si sposta fuori dalla casella e-mail, dove i sistemi di sicurezza dell’organizzazione hanno molta meno visibilità. Il finto operatore può chiedere dati personali, informazioni finanziarie, numeri di carta o codici di verifica. In alternativa, può costruire un rapporto di fiducia e rinviare la richiesta di denaro o di credenziali a un momento successivo.

Il numero di telefono, quindi, è soltanto il punto di arrivo. L’attacco comincia nella posta in arrivo, ma punta a portare la vittima su un canale più difficile da controllare. È come ricevere un volantino apparentemente innocuo che invita a entrare in un ufficio: il rischio vero emerge durante la conversazione, non necessariamente sulla carta.

Il caso mostra un cambiamento importante nel modo di riconoscere il phishing. Non basta più chiedersi se un’e-mail contiene qualcosa di dannoso. Bisogna valutare anche che cosa vuole far fare al destinatario. Una richiesta di chiamare un numero può essere normale, ma diventa sospetta se è associata a urgenza, promesse molto vantaggiose, cancellazioni di debiti o richieste di informazioni sensibili.

Per gli utenti, la prima regola è non lasciarsi guidare dall’emozione. Prima di chiamare, occorre verificare l’identità del mittente attraverso canali ufficiali e autonomi, senza usare esclusivamente i recapiti presenti nel messaggio. È inoltre importante non fornire password, codici OTP, dati bancari o informazioni personali durante telefonate ricevute in risposta a e-mail inattese.