Email di notifica breach false (phishing): come riconoscerle
Dopo un allarme breach arrivano email false che chiedono di «verificare» o «sbloccare» l'account. Ecco come riconoscerle e cosa fare senza cliccare.
Hai appena sentito al telegiornale di un grosso furto di dati, oppure hai controllato l’indirizzo su Have I Been Pwned. Il giorno dopo, in posta: «Microsoft: account compromesso» o «Google: attività sospetta, verifica subito».
La coincidenza spaventa. L’istinto è cliccare il pulsante rosso. È esattamente il momento in cui il radar dovrebbe accendersi.
Spesso quelle mail non arrivano da Microsoft, Google o da un servizio legittimo. Sono false notifiche di breach: phishing costruito sull’onda mediatica di un incidente. L’obiettivo non è avvisarti — è rubarti le credenziali proprio quando ti senti più vulnerabile.
Qui: come funzionano, quali segnali controllare, e come verificare l’account sul canale ufficiale senza cliccare i link della mail. Per il controllo breach «vero» resta la guida su email e password compromesse.
Perché queste truffe funzionano
Due leve: tempismo e falsa autorità.
Dopo un breach mediatico, partono campagne massive. I mittenti non devono sapere se sei nel dump reale: sparano nel mucchio sperando di colpire chi ha appena letto la notizia ed è già in allerta.
Le mail clonano colori, font e layout delle notifiche vere. Di fronte a un allarme «critico», la mente analitica si spegne: vuoi solo chiudere la pratica.
ℹ️ Nota / Prerequisito operativo
Google, Apple, Microsoft e altre aziende inviano davvero avvisi di sicurezza. Il punto non è ignorare ogni allarme: è disaccoppiare notifica e azione. Non reagire dalla mail — apri il canale ufficiale.
Segnali tipici di una falsa notifica post-breach
Nei messaggi che analizzano (e nei pattern ricorrenti delle campagne), pochi elementi bastano a far scattare il dubbio.
| Elemento della mail | Segnale | Cosa controllare |
|---|---|---|
| Mittente (nome vs dominio) Display name vs indirizzo reale | Alto rischio | Il nome dice «Google Security», ma l’indirizzo reale è tipo security@google-support-alert.com o una casella generica. I servizi seri usano i propri domini ufficiali (es. @google.com, non un clone «support»). |
| Urgenza e minaccia «Account chiuso tra 24 ore» | Sospetto | Le aziende legittime **possono** bloccare un accesso sospetto; raramente ti minacciano di chiusura *se non clicchi entro X*. L’urgenza serve a spegnere il pensiero. |
| Password in chiaro Form in mail o «rispondi con la password» | Mai legittimo | Nessun servizio serio — né HIBP — ti chiede di «confermare» la password attuale via email per sbloccare o dimostrare chi sei. |
Allegati
.exe, .html, .zip («report accessi»)
|
Mai legittimo | Le notifiche di sicurezza vere non allegano report eseguibili. HTML/ZIP sotto un avviso «breach» = rischio malware o finta login locale. |
Cosa non fare
- Non cliccare bottoni o link — Il testo può dire
microsoft.commentre l’hrefpunta altrove. La pagina clone registra ciò che digiti. - Non rispondere — Anche per insultare: confermi che la casella è attiva e presidato.
- Non aprire allegati — Vedi tabella.
- Non usare «Annulla iscrizione» — Nei phishing quel link può essere falso quanto il CTA: conferma validità o porta alla trappola. Segnala come spam/phishing nel client.
🚨 Avviso critico — Clic ≠ virus automatico
Nella maggior parte dei casi, solo leggere la mail non compromette il PC (client moderni bloccano script e, spesso, immagini remote di default). Il danno tipico arriva se clicchi e inserisci credenziali (o apri un allegato pericoloso).
Verifica ufficiale (senza la mail)
La mail sospetta non prova che non ci sia un problema. Magari l’account è davvero a rischio — ma la procedura corretta esclude il messaggio ricevuto.
Regola: disaccoppia notifica e azione.
- Chiudi (o ignora) il client di posta per quel messaggio.
- Apri il browser.
- Usa un segnalibro o digita a mano l’URL ufficiale (
account.google.com,account.microsoft.com, sito della banca…). Evita il primo risultato «sponsorizzato» di una ricerca frettolosa: può nascondere cloni. - Accedi (meglio con 2FA).
- Apri Sicurezza / Dispositivi / Attività recente.
Se c’è un blocco o un accesso anomalo, il pannello ufficiale lo mostra. Se lì tutto è a posto, la mail era spazzatura.
Per un allarme generico «sei in un dump», usa HIBP come in come sapere se email/password sono compromesse — non i link della mail.
HIBP vero vs mail «HIBP» falsa
Se hai attivato gli alert su Have I Been Pwned, puoi ricevere una mail informativa quando l’indirizzo compare in un nuovo breach. Quella mail non ti chiede password né allegati «report». Se il messaggio ti spinge a «verificare» digitaando credenziali su un link, trattalo come phishing e controlla sul sito ufficiale haveibeenpwned.com (digitato o da segnalibro), non dal CTA della mail.
Laboratorio: ispezionare un link senza aprirlo
Desktop (Windows, macOS, Linux)
Nei client che uso di routine (Outlook / Windows Mail, Thunderbird, Apple Mail) il meccanismo è lo stesso:
- Metti il puntatore sul link o sul bottone (senza cliccare).
- Guarda in basso a sinistra: compare l’URL reale di destinazione.
Leggi il dominio (host) prima del path.
Esempio: https://google.verify-account-now.com/login → il dominio non è Google, è verify-account-now.com. Approfondimento: leggere gli URL e riconoscere i lookalike.
Mobile
- Long-press (tieni premuto ~2 secondi) sul link.
- Nel menu contestuale leggi l’URL completo.
- Tocca fuori per chiudere senza aprire.
💡 Consiglio pratico — URL tagliati sul telefono
Su schermo stretto gli URL lunghi si troncono; i truffatori lo sfruttano. Se non leggi l’host intero, ignora la mail e verifica dal browser ufficiale.
Se hai già interagito
- Solo clic, nessun dato inserito — Chiudi la scheda. Per prudenza: cronologia recente / cache e una scansione Defender (o strumento affidabile). Il rischio è più basso che dopo un login falso, ma non zero se la pagina ha tentato download.
- Hai inserito la password — Dal browser, URL ufficiale digitato a mano → cambia subito quella password (e ovunque la riusavi). Attiva 2FA.
- Hai aperto un allegato sospetto — Scollega la rete. Da un altro dispositivo sicuro cambia le password importanti. Il PC va bonificato (antivirus da supporto esterno o restore pulito) prima di fidarti di quel sistema.
Poi: checklist 2FA e passkey dopo un breach e, se ancora riusi password, password manager in pratica.
Errori comuni
- «Uso Mac/Linux, i link non mi fanno nulla» — Il phishing punta alla mente e alle credenziali, non al kernel. Una password digitata su un clone Google vale su qualsiasi OS.
- «C’è HTTPS / ha passato lo spam filter → è sicuro» — HTTPS cifra la tratta verso chiunque gestisca il sito, incluso il truffatore. Filtri antispam possono fallire.
- «Inoltro la mail agli amici per avvisarli» — Rischi di far cliccare qualcuno meno esperto. Segnala phishing nel client; non inoltrare il payload.
Domande Frequenti (FAQ)
Come riconosco una falsa notifica di data breach?
Urgenza estrema, mittente con dominio non ufficiale, richiesta di password/dati da un link della mail, allegati «report». In dubbio: verifica sul sito ufficiale, non dalla mail.
Have I Been Pwned mi chiede la password via email?
No. Se hai attivato gli alert, HIBP può inviarti un avviso informativo su un nuovo breach. Non chiede password per «verificare» i dati.
Cosa faccio se ho già cliccato il link?
Senza dati inseriti: chiudi e, per prudenza, scansione. Con password digitata: sito ufficiale a mano → cambio immediato + 2FA.
Le aziende vere avvisano mai per email?
Sì (login nuovi, attività sospetta). Di solito ti invitano a controllare la dashboard di sicurezza; non ti costringono a inserire la password su una landing arrivata dalla mail.
Come verifico l’URL senza aprirlo?
Desktop: hover, URL in basso a sinistra. Mobile: long-press e leggi il menu. Dettagli lookalike: guida URL.
Devo rispondere per «dimostrare che sono io»?
Mai. Rispondere conferma che la casella è viva.
Che differenza c’è con uno scanner dark web freemium?
Il phishing ruba credenziali fingendo un allarme. Lo scanner freemium spesso vende allarmismo/abbonamento o profila l’email. Stessa paura, canali diversi — vedi scanner «gratuiti» vs HIBP.
