Edoardo Marchesi La sicurezza personale online si gioca nei dettagli quotidiani: un clic affrettato, un SMS ambiguo, una password riutilizzata. Bastano pochi errori per esporre l’identità digitale a furti di account e denaro. Chi desidera ridurre il rischio deve adottare una routine semplice ma sistematica, fatta di autenticazione a più fattorigestione sicura delle credenziali e controlli periodici sui dispositivi.
Questa guida descrive una procedura operativa chiara, con esercizi di riconoscimento delle truffe e una checklist d’emergenza per intervenire con rapidità.
L’obiettivo è costruire uno zoccolo duro di difese senza complicare la vita: strumenti affidabili, abitudini ripetibili, verifiche essenziali. Ogni sezione indica passi concreti e criteri di decisione, così da trasformare buone pratiche in comportamenti automatici.
Prevenzione e risposta diventano parte della routine, come aggiornare il sistema o allacciare la cintura.
Configurare MFA ovunque conta davvero
L’MFA (autenticazione a più fattori) spezza la catena del furto di password. Attivarlo sugli account critici è prioritario: email principale, cloud social, home banking, marketplace e gestore del telefono. Preferire app di autenticazione rispetto agli SMS: riducono il rischio di intercettazioni e SIM swap.
Dove possibile, usare chiavi di sicurezza fisiche (standard FIDO) per le cassaforti digitali. Durante la configurazione, stampare o salvare in modo sicuro i codici di recupero e registrarli nel password manager. Disattivare la posta di recupero obsoleta e verificare le opzioni di backup: numero alternativo, email secondaria, domanda di sicurezza. Meno vie aperte, meno superfici d’attacco.
Password manager: architettura, igiene e routine
Un password manager centrale elimina il riuso delle credenziali e consente password lunghe e uniche. Creare un master password di almeno 14-16 caratteri con parole non correlate, integrate da simboli. Abilitare l’MFA anche per il manager e conservare i codici di emergenza. Impostare regole: password di 20+ caratteri per account sensibili, controllo periodico delle violazioni note, e aggiornamenti automatici del client. Organizzare le voci in cartelle (banca, lavoro, famiglia), annotando i metodi di recupero e i dispositivi autorizzati. Usare il riempimento automatico solo su siti verificati; disabilitarlo per aree ad alto rischio. Ogni trimestre, esportare un backup cifrato e conservarlo offline.
Email e SMS: controlli rapidi e affidabili prima di cliccare
Il canale preferito delle truffe resta l’email seguito da SMS brevi e perentori. Prima di cliccare: verificare dominio e mittente completo, passare il mouse su link per leggere l’URL, cercare incongruenze di lingua, loghi sgranati, richieste urgenti o minacciose. Non usare mai i link del messaggio per accedere: aprire il sito digitando l’indirizzo manualmente o via segnalibro. Diffidare di allegati .zip.exe o macro in documenti Office. Per SMS da banche o corrieri, controllare nell’app ufficiale se esiste davvero la notifica. Se un messaggio chiede codici OTP o password, è quasi certamente un tentativo di phishing. Segnalare e cancellare senza rispondere.
Verifiche periodiche sui dispositivi: sistema, browser, app
La resilienza passa da dispositivi puliti e aggiornati. Attivare aggiornamenti automatici di sistema e browser, rimuovere plugin inutili, e impostare un antivirus con protezione in tempo reale. Su smartphone, limitare le installazioni a store ufficiali e revocare permessi inutili (microfono, posizione, file). Controllare ogni mese l’elenco di app con accesso all’account Google/Apple e ai social: revocare ciò che non serve. Nei browser, separare i profili: uno per lavoro, uno per acquisti, uno per test. Abilitare l’isolamento dei siti e il blocco tracking. Infine, attivare il cifraggio del disco su laptop e smartphone: se il dispositivo viene perso, i dati restano inaccessibili.
Esercizi di riconoscimento delle truffe: 10 minuti a settimana
L’allenamento migliora il fiuto. Ogni settimana, dedicare 10 minuti a tre esercizi: 1) Raccogliere due email sospette e annotare tre segnali di rischio per ciascuna (dominio, tono, allegati). 2) Simulare una chiamata finta: un familiare interpreta un finto operatore che chiede dati; l’obiettivo è chiudere la chiamata e richiamare il numero ufficiale trovato sul sito. 3) Creare un playbook personale: elenco di risposte predefinite (non cliccare, verificare via app, segnalare), con scorciatoie sul telefono per bloccare e segnalare. Ripetere gli esercizi consolida schemi mentali e riduce l’ansia in situazioni reali.
Se si sospetta una compromissione, agire per priorità. 0-2 ore: scollegare il dispositivo dalla rete, cambiare la password dell’email principale da un device sicuro, disconnettere le sessioni attive e abilitare l’MFA. 2-6 ore: aggiornare password degli account critici (banca, cloud, social), revocare app collegate, controllare le regole di inoltro nelle caselle email. 6-24 ore: attivare monitoraggio di transazioni e notifiche, impostare alert su movimenti insoliti, segnalare a banca o emittenti carte. 24-72 ore: ripristinare i device da backup puliti se necessario, eseguire scansioni antivirus/anti-malware complete, registrare l’accaduto in un diario di sicurezza. Se ci sono indizi di SIM swap contattare subito l’operatore per blocco e nuova SIM, e ripristinare i numeri di recupero.
Procedure minime settimanali e trimestrali
Per mantenere lo stato di sicurezza: settimanale, rivedere due messaggi sospetti, aggiornare una password debole segnalata dal manager controllare le notifiche di accesso inusuale. Mensile, verificare dispositivi collegati agli account, rimuovere app non usate, aggiornare software. Trimestrale, audit completo: cambiare il master password hint aggiornare contatti di recupero, testare i codici di backup e rinnovare il backup cifrato del password manager. Questa igiene riduce la probabilità di compromissione e accorcia i tempi di risposta.