Il dipendente clicca, aspetta, e si trova davanti a una pagina bianca con un errore. Chiude la scheda e non lo dice a nessuno: non c'è niente da segnalare, il link era rotto. È esattamente il momento in cui la trappola funziona meglio, perché la pagina non era vuota. Era vuota per lui.

Nell'indagine che hanno ricostruito questa infrastruttura, l'esca compariva soltanto seguendo il percorso completo, per esempio la versione italiana del sito, oppure dopo aver superato una verifica che generava un token di sessione. Chi arrivava dalla home vedeva un errore. Chi arrivava dal messaggio giusto vedeva una pagina di accesso che imitava un servizio conosciuto.

Il risultato è un effetto collaterale che vale la pena capire: quando qualcuno controlla il dominio e lo trova pulito, ha controllato la cosa sbagliata. Il nome del sito non racconta più la storia.

Perché la pagina sembra vuota

Tre meccanismi, tutti semplici da capire e tutti fastidiosi da contrastare.

Il primo è il percorso. La truffa vive in una sottocartella, non nella radice. Un indirizzo a tema italiano mostra l'esca sotto `/it`, la radice restituisce un errore. È come un negozio con la saracinesca abbassata e un ingresso laterale che si apre solo a chi sa dove bussare.

Il secondo è la sessione. Prima di mostrare qualsiasi contenuto serve superare un passaggio intermedio: una verifica che sembra un controllo di sicurezza, che genera un lasciapassare temporaneo. Chi non lo supera non vede niente. Chi lo supera viene indirizzato alla truffa.

Il terzo è il filtro sui visitatori. Chi si presenta come un crawler di un motore di ricerca o di un servizio di reputazione riceve la pagina vuota. La conseguenza pratica è scomoda: gli strumenti automatici che dovrebbero bloccare il sito lo classificano come inattivo, mentre le persone continuano a caderci.

Il dominio non è più l'unità di misura

Per anni la difesa si è basata su un elenco: questi domini sono cattivi, bloccali. Funzionava quando una campagna durava mesi e un dominio costava tempo e denaro.

Oggi l'infrastruttura si sposta. Nell'indagine, circa 19.000 risultati iniziali sono stati ridotti a 322 indirizzi IP candidati, riconosciuti da una combinazione ricorrente di tecnologie e comportamenti dei server. Una raccolta di settembre ha individuato oltre 10.000 domini associati, il 90% nella categoria più dannosa. Una rilevazione successiva ne contava circa 5.800. Non sono numeri da sommare: sono fotografie di momenti diversi, e il calo dice la cosa più importante. Il ricambio è rapidissimo.

Se l'elenco cambia ogni poche settimane, l'elenco è sempre in ritardo. Non è un argomento contro le liste di blocco: sono utili e vanno tenute. È un argomento contro l'idea che bastino. La difesa che regge guarda il comportamento: la catena dei redirect, il certificato, il percorso, la sessione, il modo in cui il server risponde a chi non deve vedere nulla.

Per un'azienda normale questo si traduce in una domanda concreta al fornitore di posta o al firewall: il filtro guarda solo il dominio, o analizza anche il percorso e la pagina di destinazione? Se la risposta è "solo il dominio", sapete già dove sta il buco. Ne parliamo anche nella guida su SPF, DKIM e DMARC, che copre la parte di autenticazione del mittente.

Le esche parlano la lingua di chi le riceve

L'analisi di 500 domini ha trovato esche adattate a molte regioni. In Europa: trasporti, parcheggi, tasse, amministrazione pubblica, consegne. Altrove: banche, premi, programmi di assistenza sociale. Cambiano lingua, marchio e valuta; restano simili alcune strutture tecniche, segno di strumenti condivisi e riutilizzabili.

Questo spiega perché la formazione impostata sul "riconosci la truffa dagli errori di grammatica" ha vita breve. Le esche di oggi sono scritte bene, usano il nome giusto dell'ente, arrivano nel momento in cui aspetti davvero una comunicazione: il rinnovo di un dominio, una multa, una consegna, un pagamento.

Il segnale utile non è l'estetica del messaggio. È la richiesta. Se qualcuno ti chiede credenziali, un codice di conferma, i dati della carta o un pagamento, il canale va cambiato: si chiude il messaggio e si apre l'app o il sito ufficiale, oppure si chiama il numero che hai già in rubrica. Questa abitudine vale più di dieci lezioni sul phishing, ed è la stessa che serve contro le voci clonate, dove la telefonata sembra autentica perché la voce è quella del tuo direttore.

Quattro mosse per una PMI, da domani

Non serve un reparto. Servono quattro decisioni, e la prima è culturale.

  1. Sposta la formazione dal riconoscimento alla verifica. Insegna una regola sola: nessuna credenziale, nessun codice, nessun pagamento in risposta a un messaggio. Si verifica sempre su un canale diverso, scelto da te. Un programma di cybersecurity awareness che misura le segnalazioni, non i clic, funziona meglio di un corso annuale.
  2. Metti in piedi un canale di segnalazione veloce e senza vergogna. Chi clicca deve poter dire "ho sbagliato" in due minuti, senza timore. La differenza tra un incidente gestito e un disastro è quasi sempre questa: qualcuno lo dice subito. Le prime ore contano più di qualsiasi strumento, e il metodo è descritto in incident response.
  3. Autentica il mittente e riscrivi i link. DMARC in modalità di blocco, allineamento SPF e DKIM, riscrittura degli URL in ingresso per controllarli al momento del clic. Sono impostazioni, non progetti.
  4. Blocca i pagamenti fuori procedura. Qualsiasi richiesta di cambio IBAN o di bonifico urgente si conferma a voce, su un numero già noto, con una persona che conosci. È la difesa che nessun filtro può sostituire, perché il bonifico lo autorizza un umano.

Se il link è già stato cliccato

Non spegnere il computer e non cancellare la cronologia: si perdono le tracce. Stacca la macchina dalla rete, conserva il messaggio e l'indirizzo, cambia le password degli account che sono stati digitati e revoca le sessioni attive. Se hai inserito credenziali bancarie, chiama la banca. Se hai inserito credenziali aziendali, avvisa chi gestisce l'IT e verifica gli accessi nelle ore successive, perché il primo passo dell'attaccante è spesso silenzioso.

Poi c'è la parte che nessuno fa volentieri: raccontarlo. Un caso segnalato serve a proteggere i colleghi; un caso nascosto serve solo all'attaccante.

Una pagina vuota non è un'assenza di pericolo. È un modo per non farsi vedere. La difesa che funziona non è quella che promette di riconoscere ogni truffa, ma quella che rende la truffa inutile: perché nessuno consegna un codice, e perché ogni pagamento passa da una voce conosciuta.