Susanna Riva Gli attacchi assistiti da IA generativa sono più convincenti, più rapidi e più difficili da riconoscere. Email senza errori, voci sintetiche credibili, finti siti perfettamente clonati: piccoli dettagli che spingono a cliccare dove non si dovrebbe. La buona notizia è che alcune abitudini di cyberigiene riducono in modo netto la superficie d’attacco, anche per chi non è tecnico.
Questo tutorial mette in fila i passi concreti da applicare oggi: gestione password evoluta, MFA sensata, phishing simulato per allenare riflessi e hardening dei dispositivi. Ogni sezione offre istruzioni operative e segnali da riconoscere, con esempi di messaggi malevoli che circolano davvero.
Perché l’IA generativa potenzia le truffe
I modelli generativi producono testi e audio su misura: email di spear phishing con riferimenti a progettiruoli e orari credibili; voci clonabili da pochi secondi di registrazione; traduzioni perfette che abbattono le barriere.
Questo elimina i classici segnali d’allarme (errori grammaticali, toni insoliti) e accelera la creazione di campagne su larga scala. L’IA aiuta anche a generare landing page che imitano login e portali interni, e a scrivere malware su misura contro configurazioni comuni, rendendo ogni clic potenzialmente decisivo.
Password: passphrase, manager e rotte sicure
Il punto di partenza è adottare passphrase lunghe e uniche.
Una buona regola: almeno 14-16 caratteri, meglio frasi composte da parole casuali separate da segni, ad esempio frutto!binario!scala!neve. Evitare riuso e schemi prevedibili. Per gestirle, usare un password manager con cifratura solida e autenticazione biometrica o con codice; creare gruppi separati lavoro/privato; abilitare il controllo di breach per rilevare credenziali esposte; attivare il riempimento automatico solo su siti legittimi. Dove possibile, preferire il passkey che elimina la password e riduce il phishing grazie alla verifica del dominio.
Pratiche operative rapide: 1) sostituire subito password riutilizzate; 2) generare credenziali diverse per email, social, banking lavoro; 3) proteggere il manager con una passphrase che non venga digitata in luoghi pubblici; 4) salvare la chiave di recupero in un posto fisico sicuro. Limitare il salvataggio di password nel browser principale; meglio concentrare la gestione in un’unica soluzione dedicata.
MFA che funziona davvero: app, token e passkey
La multi-factor authentication blocca gran parte dei furti anche quando la password cade. Evitare gli SMS come metodo primario: sono vulnerabili a SIM swapping e intercettazioni. Preferire app di autenticazione con codici temporanei, push con numero da digitare (per evitare approvazioni automatiche) o chiavi hardware FIDO2. Se un servizio offre passkey attivarla: lega l’accesso al dominio reale, indebolendo le pagine di phishing. Tenere almeno due metodi di backup separati (app su un secondo dispositivo e una chiave fisica in cassaforte) e rivedere periodicamente i codici di recupero.
Attenzione agli attacchi di fatigue MFA ondate di richieste push per strappare un “Sì” distratto. Regola d’oro: le notifiche di login inattese non vanno approvate. Se compaiono, cambiare subito la password, controllare sessioni aperte e segnalare all’IT o al gestore del servizio.
Phishing simulato: allenare occhi e riflessi
L’allenamento batte l’istinto, soprattutto quando l’IA pulisce il testo dai classici errori. Organizzare simulazioni mensili, anche in famiglia o in piccoli team, usando modelli che imitano servizi reali e contesti interni. Valutare tre aree: riconoscimento dell’URL, gestione degli allegati, risposta alle richieste urgenti. Registrare i clic in modo anonimo e fornire micro-lezioni immediate. Elementi da controllare sempre: dominio preciso (non solo il nome visualizzato), subdomini fuorvianti, toni di urgenza, richieste di credenziali e pagamenti inattesi.
Esempi di messaggi malevoli ricorrenti, oggi molto raffinati grazie all’IA: “Abbiamo aggiornato i benefici: accedi entro oggi per non perdere la copertura.”; “Nota di consegna bloccata: conferma il pagamento di 2,49 € per lo sdoganamento.”; “Sono in riunione, mi serve un bonifico urgente a questo IBAN, ti mando fattura dopo.”; “Rilevata attività sospetta, verifica subito l’account o verrà disabilitato.”. In caso di dubbio, usare un canale diverso e noto per verificare la richiesta.
Hardening dei dispositivi: ridurre la superficie d’attacco
L’IA aiuta a trovare configurazioni deboli. Per questo serve hardening minimo su ogni dispositivo. Aggiornamenti automatici e tempestivi per sistema e app; disinstallare software inutili; limitare i privilegi amministrativi all’occorrenza; attivare cifratura del disco e blocco schermo breve. Nel browser, separare profili lavoro/privato, disattivare notifiche push non necessarie, bloccare l’esecuzione automatica di macro negli office document, impedire l’installazione di estensioni non firmate. Sui dispositivi mobili, rimuovere store non ufficiali, revocare permessi eccessivi e attivare il tracciamento del dispositivo con possibilità di wipe remoto.
Per le piccole realtà: abilitare DNS filtrato per bloccare domini noti malevoli, attivare l’isolamento dei documenti sconosciuti in sandbox imporre l’autenticazione su schermo all’avvio e l’uso di chiavi FIDO per gli account critici. Applicare la regola del minimo privilegio solo chi deve accedere ai dati sensibili li vede, solo per il tempo necessario.
Abitudini da adottare subito: checklist essenziale
Le tecnologie servono, ma contano soprattutto le abitudini. Ecco una checklist sintetica: 1) usare un password manager e passphrase uniche lunghe; 2) attivare MFA non basata su SMS e predisporre due metodi di backup; 3) verificare l’URL passando il mouse sul link e digitando a mano i domini critici; 4) non aprire allegati inattesi, nemmeno se firmati in modo credibile; 5) aggiornare subito sistema e app; 6) separare profili e browser; 7) verificare richieste di denaro e gift card su un canale alternativo; 8) eseguire simulazioni periodiche e brevi sessioni di awareness. Un minuto speso in verifica previene ore di incident response.
Infine, preparare un piano di segnalazione chi contattare se si clicca un link sbagliato, come revocare token e sessioni, come reimpostare rapidamente credenziali e dispositivi. Sapere prima cosa fare riduce l’impatto degli errori, inevitabili quando attaccano anche le macchine.