Un lavoratore riceve un’email dal suo servizio HR che gli chiede di confermare le sue credenziali su un modulo. Il link punta a un dominio che assomiglia al portale interno, con una lettera di differenza. Nel 2024, la piattaforma cybermalveillance.gouv.fr ha registrato oltre 420.000 richieste di assistenza, di cui circa un terzo legate al phishing.
La sicurezza dei dati online non si basa più su principi vaghi, ma su riflessi precisi di fronte ad attacchi sempre più mirati.
Ulteriori letture : Scopri i migliori strumenti per ottimizzare i tuoi progetti di architettura online
Phishing mirato e fughe massicce: cosa cambiano i numeri recenti
Il barometro delle fughe di dati personali realizzato in collaborazione con la CNIL registra 8.613 violazioni notificate tra settembre 2024 e settembre 2025, con un aumento del 45% rispetto al periodo precedente. Gli incidenti definiti “di massa”, che colpiscono più di un milione di persone, si stanno moltiplicando.
Non si parla più di rischi astratti. Quando una base di dati di un operatore o di una mutua viene compromessa, circolano nomi, indirizzi, numeri di previdenza sociale su forum specializzati. Ogni fuga alimenta campagne di phishing personalizzate: il messaggio fraudolento contiene il tuo vero nome, il tuo vero indirizzo, a volte un numero di contratto. Il filtro anti-spam classico non è più sufficiente.
Lettura complementare : Astucci essenziali per navigare in sicurezza con Pinkgeek leaks nel 2026
Di fronte a questa realtà, si possono trovare risorse tecniche aggiornate su la sezione sicurezza su Tech Mafia, che dettaglia i meccanismi di attacco comuni e le contromisure adeguate.
Il riflesso da instaurare in ogni team: verificare sistematicamente il dominio del mittente prima di cliccare su un link o aprire un allegato. Non il nome visualizzato, ma l’indirizzo tecnico completo. Su mobile, ciò richiede una pressione prolungata sull’indirizzo, un gesto che poche persone hanno.
Gestore di password: l’unico strumento che resiste nel tempo
Si conosce la regola: una password unica per servizio, lunga, complessa. In pratica, una persona gestisce tra cinquanta e cento conti online. Senza uno strumento dedicato, si torna a varianti della stessa password, o si memorizzano in un file di testo.
Un gestore di password (KeePass, Bitwarden, 1Password) genera e memorizza credenziali casuali dietro un’unica password principale. La password principale è l’unica stringa da memorizzare. Il resto è crittografato localmente o in un vault sincronizzato.
Criteri concreti per scegliere un gestore
- Crittografia end-to-end: il fornitore non deve poter leggere le tue password, nemmeno in caso di compromissione dei suoi server
- Compatibilità multi-dispositivo: il gestore deve funzionare sul tuo browser desktop, sul tuo telefono e sul tuo tablet senza attriti
- Audit di sicurezza pubblicato: privilegia le soluzioni il cui codice è stato auditato da un terzo indipendente, con un rapporto accessibile
I feedback variano sulla scelta tra soluzione auto-ospitata e soluzione cloud. Per un uso personale, una soluzione cloud auditata copre la maggior parte delle esigenze. Per un’azienda che gestisce dati sensibili, l’auto-ospitalità offre un controllo totale sull’infrastruttura.
Autenticazione a due fattori: dove attivarla in priorità
Attivare l’autenticazione a due fattori (2FA) ovunque in una volta è il modo migliore per non farlo affatto. Si inizia dai conti la cui compromissione avrebbe l’impatto più grave.
Posta principale, banca online, area del datore di lavoro: questi tre accessi concentrano la maggior parte del rischio. Un attaccante che controlla la tua email può reimpostare le password di tutti gli altri servizi.
SMS, applicazione, chiave fisica: cosa scegliere
Il codice via SMS rimane vulnerabile al SIM swapping (dirottamento della carta SIM). Un’app di autenticazione come Google Authenticator o Authy genera codici localmente, senza passare per la rete mobile. Per i profili più esposti (dirigenti, amministratori di sistema), una chiave fisica FIDO2 blocca qualsiasi tentativo di phishing, anche sofisticato, poiché verifica il dominio del sito prima di attivarsi.
Concretamente, passare da SMS a un’app richiede meno di dieci minuti per conto. Il guadagno in protezione è significativo.
Backup e crittografia dei dati sensibili
Quando un ransomware cripta un disco rigido, la questione non è se si può pagare il riscatto. La domanda è: abbiamo un backup recente, disconnesso dalla rete, e testato?
La regola operativa si riassume in tre punti:
- Una copia locale su un disco esterno scollegato dopo ogni backup, per resistere a un ransomware che cripta tutto ciò che è connesso
- Una copia remota (cloud crittografato o server esterno), per coprire il rischio di incendio, furto o guasto hardware
- Un test di ripristino almeno una volta a trimestre, perché un backup che non è mai stato ripristinato è un backup che non esiste
Crittografare i file sensibili prima di memorizzarli aggiunge uno strato di protezione. Strumenti come VeraCrypt permettono di creare un volume crittografato su un disco esterno in pochi minuti. Se il disco viene rubato, i dati rimangono illeggibili senza la chiave.
Permessi e aggiornamenti: due angoli trascurati quotidianamente
Installare un’app per torcia che richiede l’accesso ai contatti, al microfono e alla geolocalizzazione è una situazione comune. Ogni permesso concesso è una superficie di attacco potenziale.
Su Android come su iOS, ora è possibile concedere permessi temporanei (solo durante l’uso) o revocarli applicazione per applicazione. Una pulizia trimestrale dei permessi installati richiede quindici minuti e riduce sensibilmente l’esposizione.
Per quanto riguarda gli aggiornamenti, un dispositivo non aggiornato è una porta aperta. Le patch di sicurezza colmano vulnerabilità attivamente sfruttate. Attivare gli aggiornamenti automatici su tutti i dispositivi, incluso il router domestico, elimina il rischio di dimenticanza.
La protezione dei dati online si basa meno sulla conoscenza delle regole che sulla loro applicazione regolare. Un gestore di password configurato, un’autenticazione a due fattori attivata su tre conti critici, un backup testato: queste tre azioni coprono la maggior parte degli scenari di attacco a cui siamo realmente esposti.