Sicurezza informatica

1. Un lunedì mattina senza file

Immagina di accendere il computer del lunedì e di scoprire che l'elenco degli iscritti non si apre più.

Nella segreteria di una piccola scuola di musica, la signora Marta (nome di fantasia) apre la cartella delle iscrizioni. I file ci sono, ma hanno un'estensione strana e nessun programma li legge. Sul desktop c'è un messaggio che non aveva mai visto.

Nello stesso momento, in un altro ufficio, un collega si accorge che l'importo di una fattura è cambiato. Nessuno sa chi l'abbia modificato. In un terzo ufficio, una mail con l'elenco dei genitori è partita per sbaglio verso un indirizzo esterno.

Tre episodi diversi, un solo tema: la sicurezza informatica. È l'insieme di regole, abitudini e strumenti che servono a proteggere le informazioni e i computer che le contengono. Non è una materia per tecnici: riguarda chiunque usi un computer per lavoro.

1.1 Che cosa c'è in gioco in una segreteria

Il computer di una segreteria contiene dati di persone: nomi, indirizzi, numeri di telefono, codici fiscali (il codice che in Italia identifica ogni cittadino ai fini fiscali), a volte documenti sanitari o economici. Sono informazioni che qualcuno ci ha affidato con fiducia.

Diagramma

Piramide con quattro livelli di delicatezza dei dati: contatti, identificativi, economici, sanitari

I dati di persone in una segreteria, dai più comuni ai più delicati

Proteggerle è un obbligo di legge, ma prima ancora è una questione di fiducia. Una famiglia che iscrive il figlio a scuola, un cliente che lascia i suoi documenti a un piccolo studio, un paziente che prenota una visita: tutti si aspettano che quei dati restino al sicuro.

DATI E FIDUCIA

Una famiglia consegna una cartella a una segretaria; nella cartella schede anonime con persona, contatto, documento sanitario ed economico, protette da uno scudo.

Proteggere i dati significa custodire la fiducia delle persone.

2. Le tre proprietà da proteggere

Gli esperti dicono che la sicurezza informatica protegge tre cose, chiamate le tre proprietà dell'informazione. Hanno nomi un po' tecnici, ma sono concetti che conosci già.

SICUREZZA INFORMATICA

Sicurezza informatica

Sicurezza informatica

2.1 Riservatezza: chi può vedere

È la proprietà più intuitiva. Una scheda con i dati di un allievo deve poterla leggere chi se ne occupa, non il visitatore che aspetta in corridoio e vede lo schermo.

Si perde la riservatezza in molti modi: una mail inviata alla persona sbagliata, un foglio dimenticato sulla stampante, una password prestata al collega «tanto lui è di fiducia».

RISERVATEZZA

Un elenco di iscritti chiuso da un lucchetto: la persona con la chiave accede, l'estraneo è fermato da un divieto.

Riservatezza: i dati sono visibili soltanto alle persone autorizzate.

2.2 Integrità: che cosa è stato cambiato

Un dato può restare riservato e diventare comunque inaffidabile, se qualcuno lo cambia. Pensa a un IBAN (il codice che identifica un conto corrente) modificato in una richiesta di pagamento: la fattura sembra la stessa, ma il denaro va altrove.

Le alterazioni non sono sempre dolose. Anche un file sovrascritto per distrazione, o un programma che si blocca mentre salva, può lasciare dati sbagliati senza che nessuno se ne accorga subito.

INTEGRITÀ

Una fattura originale con il campo dell'importo: una matita furtiva tenta di alterarlo ma è fermata da uno scudo con occhio di controllo.

Integrità: proteggere i dati dalle modifiche di nascosto.

2.3 Disponibilità: ci sono quando servono

I dati possono essere perfettamente riservati e corretti, ma inutili se non riesci ad aprirli. Un disco che si rompe, un virus che cifra i documenti, un account bloccato il giorno della scadenza: sono tutte perdite di disponibilità.

È la proprietà che si difende con le copie di sicurezza (i backup), di cui parleremo in una lezione dedicata.

DISPONIBILITÀ

Un disco guasto, una copia di sicurezza e una freccia di ripristino verso un computer che riapre correttamente l'elenco iscritti.

Disponibilità: ritrovare i dati quando servono.

3. Da che cosa ci difendiamo: minacce tecniche e umane

Le minacce sono tutto ciò che può far perdere una delle tre proprietà. Le dividiamo in due grandi famiglie, e conviene tenerle distinte perché si combattono in modo diverso.

Diagramma

Confronto fra minacce tecniche e minacce umane

Due famiglie di minacce, due modi di difendersi

3.1 Minacce tecniche

Sono quelle che nascono dalle macchine e dal software. Un virus, cioè un programma dannoso, ne è l'esempio più noto. Ma ci sono anche un guasto del disco, un programma non aggiornato che ha una falla già conosciuta, una rete Wi-Fi pubblica senza protezione.

Contro queste minacce servono strumenti: aggiornamenti, malware).">antivirus, copie di sicurezza. Li vedremo uno per uno nelle prossime lezioni.

3.2 Minacce umane

Sono quelle che passano dalle persone: un errore, una distrazione, oppure un inganno. Un truffatore non ha bisogno di forzare il computer se riesce a convincerti a spalancargli la porta.

• l'errore: una mail inviata al destinatario sbagliato, un file cancellato per distrazione;
• la dimenticanza: il computer lasciato acceso e sbloccato, la password scritta su un post-it;
• l'inganno: un messaggio che finge di essere della banca, del corriere o del direttore;
• la leggerezza: una chiavetta USB trovata nel parcheggio e infilata nel computer «per vedere cosa c'è».

3.3 Spesso le due famiglie si incontrano

Un attacco riuscito di solito unisce le due cose. Il truffatore usa un trucco umano (una mail convincente) per far partire una minaccia tecnica (un programma dannoso). Per questo non basta comprare un buon antivirus: bisogna anche sapere che cosa non cliccare.

MINACCE TECNICHE E UMANE

Due gruppi di icone, tecniche (malware, disco guasto, software da aggiornare) e umane (clic distratto, password debole, inganno), e sotto un esempio: mail convincente, clic, programma dannoso.

Minacce tecniche e umane si incontrano spesso.

4. L'errore umano: dove nascono davvero gli incidenti

Nella realtà, la maggior parte degli incidenti nasce da un errore umano.

Un clic sbagliato, una password debole, una chiavetta persa. Non è una colpa da addossare a qualcuno: è la normale conseguenza del fatto che lavoriamo di fretta, in mezzo a mille cose, con la posta che arriva a ondate.

Chi attacca lo sa bene. Per questo i messaggi truffa sono scritti per far sentire urgenza, paura o curiosità: sono le emozioni che ci fanno cliccare prima di pensare.

4.1 Primo caso: la mail del «direttore»

Giulia (nome di fantasia) lavora nella segreteria di un piccolo ente. Un giovedì pomeriggio riceve un messaggio che sembra del direttore: «Sono in riunione, non posso telefonare. Devi fare subito un bonifico a questo fornitore, ti spiego dopo». Il nome è giusto, il tono è quello di sempre.

Se Giulia esegue, il denaro è perso. Se si ferma e legge l'indirizzo del mittente, nota che il dominio (la parte dell'indirizzo dopo la chiocciola) è leggermente diverso da quello dell'ente. Se telefona al direttore sul numero che già conosce, in pochi secondi scopre che è un inganno.

MAIL URGENTE? VERIFICA

Tre passaggi numerati: fermati davanti alla mail che chiede un bonifico, controlla l'indirizzo del mittente con una lente, telefona al direttore e scopri l'inganno.

Una richiesta urgente di denaro merita una verifica.

4.2 Secondo caso: la chiavetta del fornitore

In un negozio di fantasia, un rappresentante lascia una chiavetta USB con «il listino aggiornato». Il commesso la inserisce nel computer della cassa per stamparlo. Se la chiavetta contiene un programma dannoso, ora si trova nel computer dove passano gli incassi e i dati dei clienti.

CHIAVETTA SCONOSCIUTA

Un commesso alla cassa esita davanti a una chiavetta USB offerta da una mano esterna; sopra la chiavetta una lente mostra un malware simbolico e un triangolo di attenzione.

Anche un gesto in buona fede può introdurre un rischio.

Il gesto era in buona fede. La buona fede però non basta: serve una regola semplice, nota a tutti, per esempio non si inserisce nei computer di lavoro nulla che non sia stato controllato dal referente informatico.

Diagramma

Quattro passi dalla mail truffa all'incidente

Come un piccolo errore diventa un incidente, e dove si può fermare

4.3 Perché sbagliamo, e come se ne esce

5. Perché la formazione è la difesa più efficace

Se la maggior parte degli incidenti passa dalle persone, anche la difesa più efficace passa dalle persone. Un buon malware).">antivirus ti protegge da ciò che conosce. Una persona attenta ti protegge anche da ciò che nessun programma ha ancora visto.

Questo non vuol dire che gli strumenti siano inutili. Vuol dire che funzionano insieme: gli strumenti fermano il grosso, le persone fermano il resto.

Diagramma

Quattro schede: persone, regole, strumenti, copie di sicurezza

Le difese lavorano insieme: nessuna basta da sola

5.1 Che cosa significa essere formati

• sapere che cosa si rischia e perché i dati delle persone vanno trattati con cura;
• riconoscere i segnali di un inganno prima di cliccare;
• conoscere poche regole semplici e applicarle sempre, anche quando si ha fretta;
• sapere chi avvisare se qualcosa va storto, e farlo subito.

5.2 Che cosa vedremo nel corso

Questa lezione è la mappa. Nelle prossime vedremo il malware e il ransomware, il phishing e le sue varianti, i siti-trappola e l'ingegneria sociale, le password e la verifica in due passaggi, la protezione di dispositivi e reti, il backup, la privacy e che cosa fare se succede.

Ogni lezione parte da un problema reale e finisce con una breve esercitazione che puoi fare con ciò che hai già sul tuo computer.

PROVA SUL TUO LAVORO

Un foglio esercizio con due colonne, Quali dati? e Chi può vederli?, da compilare; a destra il presentatore indica il foglio.

Quali dati di persone passano dal tuo lavoro? Chi deve poterli vedere?

5.3 Come appare una giornata ben protetta

Non è una giornata eroica: è una giornata normale, con qualche gesto in più. Accendi il computer e lo sblocchi con la tua password, che nessun altro conosce. Quando ti alzi dalla scrivania, blocchi lo schermo. Una mail che mette fretta la rileggi con calma e, se riguarda soldi, telefoni a chi dovrebbe averla scritta.

A fine giornata, i documenti importanti sono anche in una copia al sicuro. Nessuno di questi gesti richiede competenze tecniche. Richiede un'abitudine, e le abitudini si costruiscono: è proprio ciò che faremo lezione dopo lezione.

PICCOLI GESTI

Quattro azioni con icona: blocca lo schermo, rileggi con calma, per i soldi telefona, conserva una copia.

Bloccare, rileggere, verificare e conservare una copia: piccoli gesti quotidiani.

C'è poi un effetto che si nota col tempo: chi lavora in un ambiente dove queste abitudini sono condivise si sente meno solo davanti al dubbio. Sa a chi chiedere e sa che chiedere non è una debolezza.

FERMATI, CONTROLLA, SEGNALA

Tre elementi in sequenza: una mano che invita a fermarsi, una lente su un avviso, una persona che segnala il problema a un collega di supporto.

Fermati, controlla, segnala. Chiedere aiuto fa parte della sicurezza.

5.4 Un limite onesto

Nessuna difesa dà sicurezza assoluta. L'obiettivo non è non sbagliare mai, ma ridurre molto le occasioni di errore e limitare i danni quando uno sbaglio succede. Una segreteria che ha copie di sicurezza recenti e persone abituate a segnalare i problemi è già molto più al riparo di una che confida nella fortuna.

Esercitazione: la mappa dei tuoi dati

Una breve esercitazione, con carta e penna e il computer che usi di solito. Nessuno strumento da installare.

1. Elenca quali dati di persone passano dal tuo lavoro in una settimana normale: nomi, indirizzi, telefoni, codici fiscali, documenti, foto.
2. Per ciascun tipo di dato scrivi dove si trova: sul computer, in una cartella condivisa, in una mail, su carta, su una chiavetta.
3. Per tre di questi dati rispondi alle domande: chi deve poterlo vedere (riservatezza)? Che cosa succederebbe se qualcuno lo modificasse (integrità)? Che cosa succederebbe se lunedì mattina non fosse più disponibile (disponibilità)?
4. Cerca un'abitudine tua o di chi lavora con te che mette a rischio una delle tre proprietà, per esempio una password condivisa o un foglio lasciato in vista.
5. Scrivi la prima piccola regola che adotteresti per correggerla.

Le domande che arrivano in aula

Sono solo una segretaria (o un impiegato): perché dovrebbero attaccare proprio me?

Perché spesso non attaccano te in particolare. Inviano lo stesso messaggio a moltissime persone e vedono chi cade. Inoltre, un computer di segreteria è interessante proprio perché contiene dati di persone e ha accesso a mail, pagamenti e archivi.

Basta un buon antivirus per essere al sicuro?

No. L'antivirus è una parte importante, ma non ferma un truffatore che ti convince a consegnargli una password o a fare un bonifico. Servono insieme strumenti, regole e persone attente.

Se ho sbagliato e ho cliccato, rischio un richiamo?

Dipende dall'organizzazione, ma il messaggio giusto è questo: segnalare subito è molto meglio che tacere. Un clic sbagliato avvisato subito si rimedia spesso; lo stesso clic nascosto può diventare un danno grave.

Qual è la differenza tra sicurezza informatica e privacy?

La sicurezza informatica protegge le informazioni e i sistemi dai rischi di perdita, alterazione e accesso non autorizzato. La privacy riguarda il diritto delle persone al corretto uso dei propri dati personali. Si sovrappongono: senza sicurezza non c'è privacy. Alla privacy dedichiamo una lezione a parte.

Con il lavoro da casa o da smartphone cambia qualcosa?

I principi sono gli stessi. Cambiano i luoghi: una rete Wi-Fi di casa o di un bar, un telefono che si smarrisce. Per questo i dispositivi personali usati per lavoro vanno protetti con la stessa cura, e chiedi sempre all'organizzazione quali sono le regole.

Glossario della lezione

Le parole che incontri in questa lezione, spiegate in una riga.

Per approfondire

Le fonti usate per costruire questa dispensa: se un dato ti interessa, vai alla fonte e verificalo.

Regolamento (UE) 2016/679 (GDPR)

testo ufficiale su EUR-Lex

Agenzia per la cybersicurezza nazionale (ACN)

materiali informativi per cittadini e imprese, acn.gov.it

Garante per la protezione dei dati personali

guide e schede sulla sicurezza dei dati, garanteprivacy.it

1. Che cos'è il malware

Il computer è lento, compaiono finestre mai viste, e un programma che non hai installato parte da solo.

Quando succede, molti pensano che «il computer sia vecchio». A volte è vero. Altre volte sul computer c'è un malware.

Malware viene dall'inglese malicious software, cioè programma dannoso. È il nome generico di tutti i programmi creati per danneggiare un computer, rubare dati, spiare chi lo usa o prenderne il controllo. Non è un difetto del computer: è un programma, scritto apposta, che qualcuno ha fatto arrivare sul tuo dispositivo.

Il malware non ha un solo volto. Si divide in famiglie, che si distinguono per come si diffondono e per ciò che fanno una volta dentro. Conoscere le famiglie serve a capire quali segnali cercare e quali abitudini correggere.

MALWARE = PROGRAMMA DANNOSO

Malware è il nome generale dei programmi dannosi

Malware è il nome generale dei programmi dannosi

2. Virus, worm, trojan, spyware e keylogger

Vediamo le famiglie una per una, con un caso di tutti i giorni. I nomi sono un po' curiosi, ma ognuno racconta bene che cosa fa il programma.

2.1 Il virus: ha bisogno che tu lo apra

Come un virus biologico, quello informatico ha bisogno di un ospite. Si nasconde dentro un programma o un documento e si attiva quando lo apri. Se poi giri quel file a un collega, il virus viaggia con lui.

2.2 Il worm: viaggia da solo

Worm vuol dire verme. Si copia da un computer all'altro attraverso la rete, senza che nessuno clicchi. In un ufficio con i computer collegati fra loro, uno solo non protetto può contagiare gli altri. Per questo è così importante aggiornare i programmi, tema della lezione sui dispositivi.

2.3 Il trojan: il regalo che nasconde il pericolo

Il nome viene dal cavallo di Troia. Il programma si presenta come qualcosa di utile e gratuito: un convertitore da un formato all'altro, un programma a pagamento «sbloccato» (il cosiddetto crack), un finto aggiornamento. Lo installi tu, volontariamente, e intanto apri la porta a chi lo ha creato.

TROJAN: UTILE FUORI, PERICOLOSO DENTRO

Un programma può funzionare e nascondere un accesso indesiderato

Un programma può funzionare e nascondere un accesso indesiderato

2.4 Spyware e keylogger: chi ti guarda mentre lavori

Lo spyware spia ciò che fai: i siti visitati, i documenti aperti. Il password e numeri di carta.">keylogger (da key, tasto, e logger, registratore) è il suo cugino più insidioso: annota ogni tasto che premi. Se scrivi una password, la registra. Se digiti il numero di una carta, lo registra.

La caratteristica di queste due famiglie è il silenzio. Non cifrano nulla, non rallentano molto, non mostrano messaggi. Spesso te ne accorgi solo quando qualcuno usa un tuo account o addebita un acquisto che non hai fatto.

SPIARE IN SILENZIO

Alcuni malware raccolgono informazioni senza segnali evidenti

Alcuni malware raccolgono informazioni senza segnali evidenti

2.5 Alcuni segnali che qualcosa non va

• il computer è diventato molto lento senza una ragione evidente;
• compaiono programmi o barre del browser che non ricordi di aver installato;
• la pagina iniziale del browser cambia da sola;
• i tuoi account mostrano accessi o operazioni che non riconosci;
• l'malware).">antivirus si è spento e non riesci a riattivarlo.

3. Il ransomware: il ricatto dei file cifrati

Il Malware che cifra i file e chiede un riscatto per restituirli. Detto anche cryptolocker.">ransomware non ruba i tuoi file: te li chiude in cassaforte e ti chiede soldi per la chiave.

Il nome unisce ransom (riscatto) e software. Un ransomware blocca il computer o, più spesso, cifra tutti i documenti. Cifrare significa trasformare un file con un procedimento matematico, così che diventi illeggibile senza una chiave, cioè un codice segreto.

A cifratura finita compare un messaggio. Dice che i file sono stati bloccati e chiede un pagamento, di solito in criptovaluta (denaro digitale difficile da rintracciare), in cambio della chiave.

RANSOMWARE: FILE SOTTO CHIAVE

Il ransomware cifra i file e chiede un riscatto

Il ransomware cifra i file e chiede un riscatto

3.1 CryptoLocker, il nome che è rimasto

CryptoLocker è uno dei primi ransomware largamente diffusi, apparso nel 2013. Cifrava i documenti dei computer Windows e chiedeva un pagamento per sbloccarli. Il suo nome è diventato un sinonimo: oggi molti dicono «cryptolocker» per indicare qualunque ransomware.

Da allora il fenomeno è cresciuto e si è organizzato. Oggi colpisce anche ospedali, comuni, scuole, studi professionali e piccole imprese, perché dove ci sono dati importanti c'è chi è disposto a pagare.

3.2 La doppia estorsione

Molti gruppi criminali, prima di cifrare, copiano i dati dell'organizzazione. Poi chiedono due pagamenti: uno per la chiave e uno per non pubblicare i dati. Anche se avessi un buon backup, resterebbe il problema di che cosa è finito in mani sbagliate.

DOPPIA ESTORSIONE

I criminali possono minacciare sia il blocco dei file sia la pubblicazione dei dati

I criminali possono minacciare sia il blocco dei file sia la pubblicazione dei dati

Per questo la sicurezza non si riduce al backup: serve anche impedire l'ingresso e, per i dati di persone, sapere che cosa fare in caso di violazione. Ne parleremo nelle lezioni su privacy e su che cosa fare se succede.

4. Perché non si paga, e qual è la vera difesa

Davanti a un messaggio di riscatto, la tentazione è pagare per far finire tutto. Capisco bene la pressione, ma pagare è quasi sempre una cattiva idea.

Diagramma

Confronto fra pagare il riscatto e ripristinare dalla copia di sicurezza

Pagare il riscatto o ripristinare dal backup

4.1 Perché non conviene pagare

• non c'è garanzia: chi ricatta non è tenuto a mantenere la parola; a volte la chiave non arriva, a volte non funziona, a volte i file restano danneggiati;
• finanzi chi attacca: ogni pagamento rende il crimine più redditizio e incoraggia nuovi attacchi;
• puoi essere ricolpito: chi sa che hai pagato può considerarti un bersaglio facile;
• i dati rubati restano rubati: pagare non cancella la copia che gli aggressori hanno già fatto.

Per questo le autorità di polizia, in Italia come in Europa, sconsigliano il pagamento. Il progetto internazionale No More Ransom (nomoreransom.org), nato dalla collaborazione tra forze di polizia e aziende di sicurezza, mette a disposizione gratuitamente strumenti per sbloccare alcuni tipi di Malware che cifra i file e chiede un riscatto per restituirli. Detto anche cryptolocker.">ransomware. Non per tutti, ma vale sempre la pena controllare.

PAGARE NON DÀ GARANZIE

Pagare non garantisce il recupero e non cancella i rischi

Pagare non garantisce il recupero e non cancella i rischi

4.2 La vera difesa: una copia che il ransomware non raggiunge

Se hai una copia recente dei tuoi dati, il ricatto perde forza: formatti il computer, rimetti i file dalla copia e riparti. Il danno è fastidioso, ma limitato.

Attenzione però: il ransomware cifra anche i dischi collegati al computer. Un backup lasciato sempre inserito, o su una cartella di rete raggiungibile, può essere cifrato insieme al resto. La copia deve stare fuori dal computer: un disco esterno scollegato dopo l'uso, oppure un servizio cloud (archivio online) che conserva le versioni precedenti dei file.

IL RANSOMWARE PUÒ COLPIRE ANCHE IL BACKUP

Anche un backup collegato può essere colpito

Anche un backup collegato può essere colpito

UNA COPIA RECENTE, RECUPERABILE

Una copia recente deve poter essere recuperata

Una copia recente deve poter essere recuperata

Come si organizzano le copie, quante, dove e ogni quanto è l'argomento della lezione dedicata al backup e alla regola 3-2-1. Qui ti basta ricordare un principio: senza una copia fuori dal computer, un ransomware può trasformarsi in una perdita definitiva.

5. Come si prende un malware: i falsi file e i supporti sconosciuti

I malware non entrano per magia. Quasi sempre qualcuno li fa entrare, senza saperlo. Le strade più frequenti sono poche, e sono le stesse che ritroverai nelle prossime lezioni.

Diagramma

Quattro schede: allegati, falsi file, chiavette, programmi non ufficiali

Le strade più comuni da cui entra un malware

5.1 Allegati e link nelle mail

È il metodo più diffuso. Un ransomware si prende di solito aprendo un allegato infetto o cliccando un link in una mail. Il messaggio sembra una fattura, un ordine, una notifica di un corriere. Come riconoscerli è il tema della lezione sul phishing.

MAIL INATTESA? ATTENZIONE AD ALLEGATI E LINK

Una mail inattesa richiede attenzione prima di aprire allegati o link

Una mail inattesa richiede attenzione prima di aprire allegati o link

5.2 Il falso .pdf.exe

Una trappola classica è il file con doppia estensione. L'estensione è la parte finale del nome, dopo il punto, che dice al computer di che tipo di file si tratta. Un file chiamato fattura-ottobre.pdf.exe sembra un PDF, ma in realtà finisce con .exe: è un programma eseguibile, e se lo apri, parte.

CONTA L'ULTIMA ESTENSIONE

fattura.pdf.exe termina in .exe: è un programma, non un PDF

fattura.pdf.exe termina in .exe: è un programma, non un PDF

Il problema è che Windows, di base, può nascondere le estensioni dei file conosciuti. Allora vedi soltanto fattura-ottobre.pdf, e non sai che dietro c'è altro. Per vederle tutte, apri Esplora file, vai nel menu Visualizza, scegli Mostra e spunta Estensioni nomi file.

RENDI VISIBILI LE ESTENSIONI

Windows 11: Visualizza, Mostra, Estensioni nomi file

Windows 11: Visualizza, Mostra, Estensioni nomi file

5.3 Chiavette e supporti sconosciuti

Una chiavetta USB (la piccola memoria che si infila nel computer) trovata, regalata o prestata può contenere un malware che parte appena la inserisci. Vale per le chiavette, ma anche per dischi esterni e schede di memoria di origine ignota.

La regola è semplice: non inserire nel computer di lavoro supporti che non conosci. Se devi proprio aprire il contenuto, chiedi al referente informatico: ha strumenti per controllarlo in sicurezza.

SUPPORTI SCONOSCIUTI: NON INSERIRLI

Nel computer di lavoro evita supporti di provenienza sconosciuta

Nel computer di lavoro evita supporti di provenienza sconosciuta

5.4 Programmi «gratuiti» e crack

Il programma a pagamento regalato su un sito sconosciuto, il convertitore gratuito, il lettore di documenti «speciale». Se non arriva da un sito ufficiale, il prezzo che paghi potresti essere tu. Scarica solo dal sito del produttore o dagli archivi di programmi ufficiali del sistema.

5.5 Programmi non aggiornati

Alcuni malware, come i worm, entrano sfruttando falle già note nei programmi. I produttori le chiudono con gli aggiornamenti: se li rimandi per mesi, lasci aperta una porta che tutti conoscono.

HAI UN DUBBIO? FERMATI E SEGNALA

Se qualcosa ti sembra strano, fermati e chiedi al referente informatico

Se qualcosa ti sembra strano, fermati e chiedi al referente informatico

Esercitazione: sono visibili le estensioni?

Una breve esercitazione da fare sul tuo computer Windows 11, con una cartella di documenti qualsiasi.

1. Apri Esplora file e vai in una cartella che contiene alcuni documenti.
2. Guarda i nomi: vedi la parte finale con il punto, come .pdf o .docx? Se non la vedi, apri il menu Visualizza, scegli Mostra e attiva Estensioni nomi file.
3. Scrivi su un foglio tre nomi di file e, accanto a ciascuno, di che tipo è davvero secondo l'estensione.
4. Immagina che ti arrivi una mail con un allegato chiamato «preventivo.pdf.exe». Scrivi in una riga che cosa è e che cosa faresti.
5. Controlla se sul tuo computer c'è una copia recente dei documenti importanti fuori dal computer stesso (disco esterno o cloud). Scrivi dove si trova, oppure annota che manca.

Le domande che arrivano in aula

Come faccio a sapere se il mio computer è infetto?

Non sempre si capisce. Alcuni malware, come spyware e password e numeri di carta.">keylogger, sono silenziosi. I segnali tipici sono lentezza insolita, programmi mai installati, impostazioni cambiate, antivirus spento. Nel dubbio, avvisa il referente informatico e fai una scansione completa con firewall e altri controlli, basata su Microsoft Defender.">Sicurezza di Windows.

Un Mac o un telefono sono immuni dai malware?

No. Chi attacca prende di mira soprattutto Windows perché è molto diffuso, ma esistono malware per Mac, Android e, in modo meno frequente, per iPhone. Le abitudini prudenti valgono per tutti i dispositivi.

Se pago il riscatto, riavrò i miei file?

Non c'è alcuna garanzia. A volte la chiave non arriva, a volte non funziona, a volte i criminali chiedono di nuovo. Inoltre il pagamento finanzia nuovi attacchi. Le autorità sconsigliano di pagare.

L'antivirus basta a fermare un ransomware?

Aiuta molto, ma non è garantito: i criminali modificano continuamente i loro programmi. Per questo servono più barriere insieme: attenzione ai messaggi, aggiornamenti e, soprattutto, un backup fuori dal computer.

Il mio backup è su un disco sempre collegato: va bene?

È meglio di niente, ma non basta. Un ransomware cifra anche i dischi collegati. Tieni una copia che scolleghi dopo l'uso oppure un servizio cloud che conserva le versioni precedenti dei file.

Ho aperto un allegato strano e non è successo niente. Sono salvo?

Non necessariamente. Alcuni malware lavorano in silenzio per giorni prima di agire. Avvisa subito il referente informatico: meglio un controllo inutile che un danno scoperto in ritardo.

Glossario della lezione

Le parole che incontri in questa lezione, spiegate in una riga.

Per approfondire

Le fonti usate per costruire questa dispensa: se un dato ti interessa, vai alla fonte e verificalo.

No More Ransom

progetto internazionale di polizia e aziende di sicurezza, nomoreransom.org

Agenzia per la cybersicurezza nazionale (ACN) e CSIRT Italia

guide e avvisi sul ransomware, acn.gov.it

Polizia Postale e delle Comunicazioni

indicazioni e segnalazioni, commissariatodips.it

Documentazione di Microsoft su Sicurezza di Windows

per le funzioni dell'antivirus incluso in Windows 11

1. Un inganno che sembra vero

Il truffatore non ha bisogno di forzare il tuo computer, se riesce a convincerti ad aprirgli la porta.

È lunedì mattina nella segreteria dello Studio Esempio. Marta apre la posta e trova un messaggio che sembra del corriere: «Il suo pacco è bloccato, confermi i dati entro oggi». Aspettava davvero un pacco. Il logo è quello giusto, il tono è gentile ma deciso. Il dito è già sul link.

ASPETTAVI UN PACCO? FERMATI

Aspettavi un pacco? Fermati. Un messaggio atteso può diventare un'esca.

Un messaggio atteso può diventare un'esca.

Quel messaggio è phishing. La parola viene dall'inglese fishing, cioè «pescare»: il truffatore lancia un'esca e aspetta che qualcuno abbocchi. Finge di essere una persona o un ente di cui ti fidi (una banca, un corriere, l'Agenzia delle Entrate, un collega, il direttore) per convincerti a fare una di queste tre cose: cliccare un link, aprire un allegato, comunicare dati riservati.

Diagramma

Quattro passi in sequenza: esca, fretta, azione, furto.

Come funziona un attacco di phishing, dall'esca al furto

1.1 Perché funziona, anche con persone attente

Il phishing non attacca le macchine, attacca le persone. Non c'è nessuna falla da sfruttare nel computer: la falla è la fretta, la fiducia, la distrazione di un lunedì mattina. Per questo cade anche chi è competente.

I truffatori usano quasi sempre le stesse leve. Fanno leva sull'urgenza («entro oggi»), sulla paura («il suo conto sarà sospeso»), sull'autorità («sono il direttore»), sulla curiosità («una foto di te») o sul desiderio di essere utili («mi serve una mano»). Se un messaggio ti spinge ad agire senza pensare, è già un segnale.

QUANDO IL MESSAGGIO PREME SU DI TE

Quando il messaggio preme su di te. Riconoscere la pressione aiuta a rallentare.

Riconoscere la pressione aiuta a rallentare.

1.2 Che cosa rischia davvero una segreteria

Se Marta inserisce la sua password su una pagina falsa, il truffatore può entrare nella posta dello studio, leggere i messaggi dei clienti, scaricare gli elenchi con nomi e codici fiscali e mandare altri messaggi a nome di Marta. Una sola password rubata apre la porta a tutto il resto. È il motivo per cui questa lezione viene subito dopo quella sul malware: molti attacchi cominciano proprio da un messaggio come questo.

UN ACCESSO RUBATO, MOLTE CONSEGUENZE

Un accesso rubato, molte conseguenze. Una password rubata può esporre la posta e i contatti.

Una password rubata può esporre la posta e i contatti.

2. Le varianti: stesso obiettivo, canali diversi

Quando le e-mail false sono diventate più facili da riconoscere, i truffatori non hanno smesso: hanno cambiato strada. Oggi lo stesso inganno può arrivare per posta elettronica, per SMS, per telefono o con un codice QR. Cambia il canale, non lo scopo.

PHISHING: CAMBIA IL CANALE

Phishing: cambia il canale. Cambia il canale, l'obiettivo rimane l'inganno.

Cambia il canale, l'obiettivo rimane l'inganno.

2.1 Spear phishing: il messaggio fatto su misura

Spear vuol dire «fiocina»: non si getta una rete a caso, si prende di mira un pesce preciso. Il truffatore studia la vittima. Guarda il sito dello studio, i profili pubblici sui social, i nomi dei colleghi. Poi scrive un messaggio credibile, con il nome giusto e il tono giusto.

2.2 Smishing: l'esca arriva sul telefono

Il nome unisce SMS e phishing. Il messaggio sembra del corriere, della banca, dell'ufficio postale, del gestore telefonico: «Pacco in giacenza, paghi 1,99 euro di spese di consegna». La cifra è piccola apposta, così non ti insospettisce. Ma il link porta a una pagina che chiede i dati della carta di credito, e quei dati servono per ben altro che 1,99 euro.

Sul telefono è più difficile controllare l'indirizzo e si tende a fidarsi di più, perché l'SMS sembra una cosa personale. Vale lo stesso consiglio: non toccare il link, apri tu l'app o il sito ufficiale del corriere e controlla lì se c'è davvero un pacco.

2.3 Vishing: la voce che sembra sicura

Il vishing usa la voce (voice più phishing). Ti telefona qualcuno che si presenta come operatore della tua banca: «Abbiamo rilevato un movimento sospetto, per bloccarlo mi dica il codice che le arriva con un SMS». Il tono è professionale e rassicurante. Il codice, in realtà, serve al truffatore per autorizzare un'operazione a tuo nome.

A volte il numero che compare sul display sembra quello giusto, perché i truffatori possono falsificarlo. Per questo non basta guardare chi chiama: conta cosa ti chiedono.

2.4 Quishing: il codice QR che nasconde il link

Un codice QR è un quadrato fatto di puntini che, inquadrato con la fotocamera, apre un indirizzo web. Il problema è che a occhio non puoi leggere dove porta. Un truffatore incolla un adesivo con un QR falso sul parchimetro, sul totem del parcheggio, su una locandina o su un volantino. Chi lo inquadra arriva a una pagina che imita quella vera e chiede la carta di credito.

Il QR può arrivare anche dentro un'e-mail o un PDF. Spesso è un modo per portare l'attacco sul telefono, dove i controlli sono minori. Prima di aprire l'indirizzo, guarda l'anteprima che il telefono mostra: se il dominio non è quello che ti aspetti, chiudi. Sugli adesivi, controlla che non siano incollati sopra altri.

3. I segnali d'allarme

Nessun segnale da solo prova che un messaggio sia falso, e nessun messaggio falso li ha tutti. Ma più ne trovi, più devi essere prudente. Ecco i principali, con quello che devi guardare.

Diagramma

Confronto fra le caratteristiche di un messaggio affidabile e di uno sospetto.

Messaggio affidabile e messaggio sospetto a confronto

3.1 Caso pratico: la finta mail dell'Agenzia delle Entrate

Arriva una mail con intestazione dell'Agenzia delle Entrate (l'ufficio italiano che si occupa delle tasse): «È stato rilevato un rimborso a suo favore. Clicchi qui per inserire i dati della carta». Il logo è giusto. Ma l'indirizzo del mittente è un dominio qualsiasi, il saluto è generico e la richiesta riguarda la carta di credito.

Un ente pubblico non ti chiede i dati della carta in questo modo e non ti manda a pagine esterne con un link in un messaggio. Se pensi che ci sia qualcosa di vero, accedi tu al sito ufficiale scrivendo l'indirizzo a mano, oppure chiami l'ufficio.

4. La lista «fermati e controlla»

Riconoscere tutti i trucchi è impossibile, perché cambiano di continuo. Un'abitudine invece si può imparare. Prima di cliccare, aprire o rispondere, fermati un momento e fai quattro controlli. Poi, se hai ancora un dubbio, un quinto gesto.

PRIMA DEL CLIC

Prima del clic. Mittente, pressione, link, allegati e verifica su altro canale.

Mittente, pressione, link, allegati e verifica su altro canale.

1. Chi è davvero il mittente? Leggi l'indirizzo, non solo il nome. Sul telefono, tocca il nome per vedere l'indirizzo completo.
2. Mi mette fretta o mi minaccia? Se sì, rallenta di proposito. La fretta è l'arma del truffatore.
3. Dove porta il link? Passa il mouse sopra, senza cliccare, e leggi l'indirizzo che compare in basso. Sul telefono, tieni premuto il link per vedere l'anteprima.
4. Me lo aspettavo? Se ricevi un allegato o una richiesta che non aspettavi, il fatto che sembri vero non basta.
5. Nel dubbio, verifica. Chiama l'ente con il numero ufficiale oppure chiedi a chi si occupa di informatica.

DOVE PORTA DAVVERO?

Dove porta davvero?. Il testo visibile può nascondere una destinazione diversa.

Il testo visibile può nascondere una destinazione diversa.

4.1 Il numero ufficiale: dove si trova davvero

Il numero da chiamare non è quello scritto nel messaggio sospetto: sarebbe come chiedere al truffatore se è un truffatore. Cercalo da una fonte tua: il sito dell'ente scritto a mano nella barra degli indirizzi, la bolletta, il contratto, la tessera della banca, l'estratto conto.

IL NUMERO CERCALO TU

Il numero cercalo tu. Richiama usando un recapito ottenuto da una fonte indipendente.

Richiama usando un recapito ottenuto da una fonte indipendente.

4.2 Due regole che valgono per tutti

• Nessun pagamento nuovo o cambio di IBAN senza una seconda conferma su un canale diverso da quello della richiesta, per esempio una telefonata a un numero già noto.
• Nessuna password, nessun codice si comunica a nessuno. Neanche a un collega, neanche al «tecnico». Un tecnico vero non ne ha bisogno.
• In caso di dubbio, mostralo a qualcuno. Una seconda persona guarda con occhi diversi e non ha la fretta addosso.

SOLDI? SECONDA CONFERMA

Soldi? Seconda conferma. Un nuovo bonifico o cambio di IBAN richiede una conferma indipendente.

Un nuovo bonifico o cambio di IBAN richiede una conferma indipendente.

5. Tre casi dal lavoro di ogni giorno

Mettiamo in pratica quanto visto. Per ogni caso prova prima a decidere da solo che cosa faresti, poi leggi la risposta.

5.1 Caso 1: la fattura che non aspettavi

In una scuola arriva una mail: «In allegato la fattura scaduta, la preghiamo di saldare». Il mittente è sconosciuto, l'allegato si chiama fattura.pdf.exe. La segretaria non ha ordinato nulla a quel fornitore.

Cosa fare: non aprire l'allegato. Il nome con doppia estensione indica un programma che finge di essere un documento: può essere un malware, come hai visto nella lezione precedente. Controllare nell'archivio ordini se esiste davvero quel fornitore, avvisare il referente informatico e cancellare il messaggio.

FATTURA INATTESA: NON APRIRLA

Fattura inattesa: non aprirla. Un allegato inatteso non diventa sicuro perché sembra una fattura.

Un allegato inatteso non diventa sicuro perché sembra una fattura.

5.2 Caso 2: il QR sull'avviso del parcheggio

Fuori dal negozio c'è un avviso: «Pagamento sosta, inquadra il QR». Sembra incollato un po' storto, sopra l'avviso originale. Il QR apre un sito con un modulo per pagare con carta.

Cosa fare: non inquadrarlo. Se il parcheggio ha un'app ufficiale o un parchimetro, usa quelli. Un adesivo incollato sopra l'avviso è un segnale d'allarme. Se hai già inserito la carta, chiama subito la banca per bloccarla e passa alla lezione dedicata a che cosa fare se succede.

5.3 Caso 3: il «tecnico» che chiama

Squilla il telefono: «Buongiorno, sono dell'assistenza del suo gestore di posta. Abbiamo notato un accesso anomalo, mi serve il codice che sta per arrivarle sul telefono per bloccarlo». Il tono è cortese e sicuro, e il codice arriva davvero mentre parlate.

Cosa fare: chiudere la telefonata. Il codice che arriva è proprio quello che serve al truffatore, che in quel momento sta provando ad entrare nel tuo account. Nessun servizio serio ti chiede quel codice a voce. Poi avvisa il referente informatico e cambia la password dal sito vero, come vedrai nelle lezioni successive.

QUEL CODICE APRE IL TUO ACCOUNT

Quel codice apre il tuo account. Un codice appena arrivato non va comunicato a chi telefona.

Un codice appena arrivato non va comunicato a chi telefona.

FERMATI, CONTROLLA, AVVISA

Fermati, controlla, avvisa. Hai cliccato? Avvisa subito. Per esercitarti osserva senza aprire link o allegati.

Hai cliccato? Avvisa subito. Per esercitarti osserva senza aprire link o allegati.

Esercitazione pratica

Una breve esercitazione, da fare da solo o in coppia, con le ultime mail e i messaggi che hai ricevuto davvero.

1. Apri la cartella della posta indesiderata (spam) e scegli tre messaggi. Se non ne hai, usa quelli di una mail che ti pare strana degli ultimi giorni.
2. Per ciascuno scrivi su un foglio: chi è il mittente (indirizzo completo), che cosa chiede, quale leva usa (fretta, paura, autorità, curiosità).
3. Passa il mouse sopra ogni link, senza cliccare, e annota l'indirizzo che compare in basso: coincide con quello che il testo dichiara?
4. Applica la lista «fermati e controlla» e decidi per ognuno: cancello, segnalo o verifico con il numero ufficiale.
5. Se lavori in coppia, scambiatevi i fogli e discutete le differenze. Poi scrivete insieme la regola di studio per i bonifici nuovi.

Le domande che arrivano in aula

Posso riconoscere il phishing dagli errori di grammatica?

Non più. Un tempo era un buon indizio, ma oggi molti messaggi falsi sono scritti con cura. Fidati meno del tono e più dei fatti: mittente, link, richiesta di dati o di soldi.

Se passo il mouse sul link e sembra normale, posso cliccare?

Se l'indirizzo coincide con quello che ti aspetti, è un buon segno, ma non è una garanzia. Se hai dubbi sul messaggio, non cliccare comunque: apri il sito scrivendo l'indirizzo a mano o dall'app ufficiale.

Ho cliccato un link sospetto ma non ho inserito niente. Sono a rischio?

Di solito il rischio principale è nell'inserire dati o scaricare qualcosa. Chiudi la pagina, non scaricare nulla e avvisa il referente informatico. Se hai scaricato o aperto un file, o inserito dati, passa subito ai passi della lezione dedicata.

Il messaggio sembra arrivare da un collega che conosco. Posso fidarmi?

Non sempre: l'indirizzo può essere falsificato o l'account del collega può essere stato rubato. Se la richiesta è insolita (soldi, password, file riservati), conferma con una telefonata o di persona.

Posso inquadrare un codice QR senza rischi?

Inquadrare di per sé non basta a farti del male, ma ti porta a una pagina che non conosci. Guarda l'indirizzo nell'anteprima prima di aprirla e non inserire mai password o dati di carta in una pagina raggiunta così, se non sei sicuro.

Come segnalo un tentativo di phishing?

Avvisa il referente informatico del tuo studio o della tua scuola. Se ci sono soldi o dati di terzi di mezzo, conserva i messaggi e rivolgiti alla Polizia Postale e delle Comunicazioni (il servizio della polizia che si occupa dei reati online), tramite commissariatodips.it.

Glossario della lezione

Le parole che incontri in questa lezione, spiegate in una riga.

Per approfondire

Le fonti usate per costruire questa dispensa: se un dato ti interessa, vai alla fonte e verificalo.

Polizia Postale e delle Comunicazioni, Commissariato di P.S. online

commissariatodips.it, per segnalazioni e consigli sulle truffe online

Agenzia per la cybersicurezza nazionale (ACN) e CSIRT Italia

avvisi e guide sulle minacce informatiche in Italia

Garante per la protezione dei dati personali

garanteprivacy.it, schede informative su phishing e sicurezza dei dati

1. Il sito che sembra quello giusto

Un solo carattere sbagliato in un indirizzo può portarti in una pagina identica a quella vera, ma gestita da un'altra persona.

Giulia lavora nella segreteria di un ente. Deve accedere al portale dei servizi, che ha l'indirizzo www.ente-esempio.it. Va di fretta, scrive l'indirizzo a memoria e preme invio. Compare una pagina identica: stesso logo, stessi colori, stessa casella per la password. Inserisce le credenziali. Poi si accorge che l'indirizzo era www.ente-esenpio.it, con una «n» al posto della «m».

Quella pagina era un sito-trappola. Chi l'ha costruito non ha violato nulla: ha semplicemente registrato un nome quasi uguale e ha aspettato che qualcuno sbagliasse a scrivere.

STESSA PAGINA, INDIRIZZO DIVERSO

Due finte pagine di accesso identiche: nell'indirizzo atteso e in quello alterato cambia una sola lettera.

L'aspetto di una pagina può essere copiato: controlla l'indirizzo.

1.1 Che cosa sono un dominio e un nome a dominio

Il dominio" data-def="La parte dell'indirizzo che identifica un sito, per esempio ente-esempio.it.">nome a dominio è la parte dell'indirizzo che identifica un sito, per esempio ente-esempio.it. Si registra presso società autorizzate e chiunque può registrare un nome libero, finché non è già preso. Non esiste un controllo che verifichi se il nome somiglia a quello di qualcun altro.

1.2 Cybersquatting e typosquatting

Il cybersquatting consiste nel registrare un nome a dominio uguale o molto simile al nome di un'azienda, di un ente o di una persona nota, per rivenderlo a caro prezzo o per sfruttarne la notorietà. Il termine viene dall'inglese to squat, «occupare abusivamente».

Il typosquatting ne è una variante: si registrano domini con errori di battitura probabili (typo significa «refuso»), sperando che l'utente sbagli a scrivere. Non serve ingannare nessuno con una mail: basta aspettare.

I NOMI CHE INGANNANO

Cybersquatting (un nome noto trattenuto per rivenderlo) e typosquatting (una lettera in più nel nome).

Nomi simili ed errori di battitura possono essere sfruttati per ingannare.

Che cosa ospitano questi siti? Pagine che imitano quelle vere per rubare credenziali, negozi che vendono prodotti contraffatti o mai spediti, a volte pagine che diffondono malware, il software dannoso della lezione sul ransomware.

2. Leggere un indirizzo senza farsi ingannare

Per riconoscere un indirizzo falso devi sapere come è fatto uno vero. Prendiamone uno di fantasia: https://portale.ente-esempio.it/accesso. Si legge a pezzi.

Diagramma

Quattro schede: protocollo, sottodominio, dominio, percorso.

Le parti di un indirizzo web

• https:// è il protocollo: indica che la connessione è cifrata, cioè i dati in viaggio sono resi illeggibili a chi li intercetta;
• portale è il dominio vero e che il gestore sceglie liberamente.">sottodominio, una sezione scelta da chi gestisce il sito (può essere qualunque parola);
• ente-esempio.it è il dominio vero, la parte che conta, formata dal nome e dall'estensione (.it, .com, .net...);
• /accesso è il percorso, cioè la pagina dentro il sito.

LEGGI L'INDIRIZZO A PEZZI

Un indirizzo diviso in protocollo, sottodominio, dominio e percorso, con Gianluca che indica le parti.

Protocollo, sottodominio, dominio e percorso hanno funzioni diverse.

2.1 La regola per trovare il dominio vero

Cerca la prima barra (/) dopo https:// e guarda le due parole che stanno subito prima, separate da un punto. Quelle sono il dominio vero. Tutto ciò che sta più a sinistra può essere scelto liberamente da chi possiede il dominio.

IL NOME NOTO PUÒ ESSERE L'ESCA

Un indirizzo con il nome dell'ente come sottodominio ingannevole e un altro dominio come dominio vero.

Il nome dell'ente all'inizio non prova che il sito gli appartenga.

2.2 Caratteri che si somigliano

Alcuni caratteri si confondono facilmente a occhio. Il numero zero e la lettera «o». Il numero uno e la lettera «l» minuscola. Due lettere affiancate, come «r» e «n», che somigliano a una «m». In alcuni casi i truffatori usano anche lettere di altri alfabeti, che sembrano identiche alle nostre. Il browser, il programma con cui navighi, a volte mostra questi indirizzi in una forma diversa proprio per segnalarlo, ma non puoi contarci.

HTTPS NON CERTIFICA L'ONESTÀ

Un tunnel cifrato con lucchetto tra una persona e un sito da verificare, gestito da un impostore.

HTTPS protegge la connessione; non certifica l'onestà del sito.

2.3 I link accorciati

A volte il link è «accorciato» da un servizio apposito e non si vede dove porta. È comodo, ma in un messaggio inatteso è un motivo in più di sospetto. Meglio non aprirlo: vai tu direttamente sul sito ufficiale.

3. Come controllare e come difendersi

Le difese sono poche e semplici. Il difficile è trasformarle in abitudine, soprattutto quando si lavora di fretta.

Diagramma

Cinque passi per controllare un sito prima di inserire dati.

Cinque abitudini per non cadere nel sito-trappola

3.1 Cinque abitudini che salvano la giornata

1. Scrivi con attenzione gli indirizzi che digiti a mano e rileggili prima di premere invio.
2. Salva tra i preferiti i siti importanti (banca, posta, portali dell'ente): ci arrivi con un clic, senza il rischio di un errore di battitura.
3. Controlla sempre il dominio nella barra degli indirizzi prima di inserire una password: leggi dall'estensione verso sinistra.
4. Non seguire i link dei messaggi inattesi: apri il sito dai preferiti o digitando l'indirizzo.
5. Diffida degli annunci in cima ai risultati di ricerca: possono essere sponsorizzati. Prima di cliccare, controlla che l'indirizzo mostrato sia quello giusto.

PRIMA DELLA PASSWORD

Cinque icone: scrivi e rileggi, usa i preferiti, controlla il dominio, evita link inattesi, valuta gli annunci.

Rileggi, usa i preferiti e controlla prima di inserire credenziali.

Un aiuto in più: un gestore di password (lo vedrai nella lezione dedicata alle password) propone di solito le credenziali solo sul sito per cui le hai salvate. Se non le propone, può voler dire che ti trovi su un sito diverso da quello vero. Non è infallibile, ma è un buon campanello.

3.2 Un negozio online sconosciuto: come capire se è serio

I siti-trappola non servono solo a rubare password. Molti sono negozi falsi, con prezzi che sembrano un affare. Prima di comprare da un sito che non conosci, guarda alcuni segnali.

NEGOZIO SCONOSCIUTO? VERIFICA

Una vetrina con quattro indizi da verificare, accanto a un sito conosciuto aperto dai preferiti.

Indizi da verificare prima di comprare.

4. L'ingegneria sociale: manipolare le persone

Forzare un computer è difficile. Convincere una persona gentile a dare la password, molto più facile.

L'ingegneria sociale è l'arte di manipolare le persone, più che le macchine, per ottenere informazioni o accessi. Il phishing che hai visto nella lezione precedente ne è una forma. Ma l'ingegneria sociale è più ampia: può essere una telefonata, un cartellino falso, una persona in giacca e cravatta che entra dietro di te.

4.1 Le leve che usa

Cambiano le storie, non le leve. Chi ti inganna cerca di toccare uno di questi punti sensibili.

Diagramma

Cinque schede: autorità, urgenza, paura, aiuto, curiosità.

Le cinque leve dell'ingegneria sociale

LE LEVE DELL'INGANNO

Cinque leve (autorità, urgenza, paura, aiuto, curiosità) che premono su una persona.

Autorità, urgenza, paura, aiuto e curiosità possono diventare leve d'inganno.

4.2 Alcune tecniche, con esempi

• Pretesto (pretexting): il truffatore si inventa una storia credibile. Esempio: telefona fingendosi dell'assistenza tecnica per farsi dare la password.
• Esca (baiting): lascia un oggetto allettante. Esempio: una chiavetta USB con scritto «Stipendi» lasciata nel parcheggio. Chi la inserisce nel computer può installare un malware.
• Accesso fisico (tailgating): si infila dietro di te in un ufficio, magari con le mani piene di scatole, e tu gli tieni la porta.
• Raccolta di informazioni: prima di attaccare, il truffatore guarda organigrammi, social e siti per sapere chi sei e con chi lavori.

LA PASSWORD NON SI COMUNICA

Un falso tecnico chiede la password al telefono; l'impiegata rifiuta, riaggancia e richiama il referente.

Un nome conosciuto non autorizza la richiesta della tua password.

4.3 Una procedura batte la buona volontà

Dire di no a una persona gentile che dice di aver bisogno di aiuto è difficile. Per questo serve una regola scritta, valida per tutti, anche per il direttore: così il «no» non è personale ma è la procedura. Per esempio: nessuna password si comunica a nessuno; ogni visitatore ha un accompagnatore; ogni richiesta strana si verifica su un altro canale.

5. Il furto di identità

Il furto di identità consiste nell'usare i dati di qualcuno per aprire conti, fare acquisti, firmare contratti o chiedere finanziamenti a suo nome. Chi lo subisce può accorgersene mesi dopo, quando arriva una richiesta di pagamento per qualcosa che non ha mai comprato.

5.1 Da dove arrivano i dati

I dati possono arrivare da molte strade, e molte le hai già incontrate in queste lezioni: una password rubata con il phishing, un sito-trappola, una violazione di dati di un servizio, un documento lasciato in vista, un profilo pubblico sui social pieno di informazioni (data di nascita, città, nome degli animali, luoghi frequentati).

Messi insieme, questi frammenti dicono molto. Per un truffatore, nome, data di nascita e indirizzo sono già un buon inizio per sembrare credibile al telefono o per indovinare una risposta di sicurezza.

FURTO DI IDENTITÀ

Sito falso, password rubata, documento in vista e profilo pubblico confluiscono in una carta d'identità duplicata, usata per conti, acquisti e contratti.

I dati sottratti possono essere usati per impersonare una persona.

5.2 Come ridurre il rischio

• Condividi il minimo. Non pubblicare sui social documenti, codice fiscale, foto di biglietti, carte o tessere.
• Non lasciare documenti in giro. Fotocopie di carte d'identità e tessere non vanno lasciate sulla scrivania o nella stampante.
• Controlla le tue password e i tuoi account. Una password riutilizzata su più servizi apre tutte le porte quando uno viene violato (ne parliamo nella lezione dedicata).
• Guarda gli estratti conto. Un addebito sconosciuto va chiesto subito alla banca.
• Distruggi i documenti prima di buttarli. Un foglio con dati personali non va nel cestino così com'è.

CONDIVIDI POCO, CUSTODISCI BENE

Tre gesti: condividere il minimo, custodire i documenti, controllare i movimenti.

Condividi il minimo e custodisci anche i documenti degli altri.

5.3 Se pensi di essere stato colpito

Se scopri che qualcuno usa i tuoi dati o quelli di un cliente, non aspettare. Avvisa la banca se ci sono pagamenti, cambia le password degli account interessati, conserva le prove e rivolgiti alla Polizia Postale e delle Comunicazioni (commissariatodips.it). I passi completi sono nella lezione «Che cosa fare se succede».

SOSPETTI UN FURTO DI IDENTITÀ?

Quattro azioni: avvisa la banca, cambia le password, conserva le prove, contatta la Polizia; Gianluca le indica.

Avvisa, proteggi gli accessi, conserva le prove e contatta le autorità.

Esercitazione pratica

Una breve esercitazione con il browser che usi ogni giorno, senza installare nulla.

1. Apri il browser e scrivi a mano l'indirizzo di un sito che usi spesso (la banca, la posta, il portale dell'ente). Controlla che sia quello giusto e salvalo tra i preferiti.
2. Prendi quattro indirizzi di fantasia e per ciascuno scrivi qual è il dominio vero: https:servizi.ente-esempio.it/login, https:ente-esempio.it.accesso-sicuro.net/login, https:www.ente-esemp1o.it, https:ente-esempio-it.net/accesso.
3. Cerca sul motore di ricerca il nome della tua banca o di un ente. Guarda se il primo risultato è un annuncio e confronta l'indirizzo con quello dei preferiti.
4. Scrivi su un foglio la procedura di studio per le telefonate sospette: che cosa si risponde, chi si chiama, dove si segnala.
5. Fai l'inventario di che cosa si sa di te in pubblico, sui social: data di nascita, luogo di lavoro, nomi di familiari. Che cosa toglieresti?

Le domande che arrivano in aula

Se il sito ha il lucchetto, è sicuro?

Non necessariamente. Il lucchetto dice che la connessione è cifrata, non che il sito sia onesto. Anche un sito-trappola può averlo: controlla sempre il dominio.

Basta scrivere l'indirizzo a mano per essere al sicuro?

Riduce il rischio, ma un errore di battitura può portarti proprio su un sito-trappola. Per i siti importanti, i preferiti sono più sicuri che digitare ogni volta.

Come faccio a sapere se un negozio online è affidabile?

Guarda i dati dell'azienda (nome, indirizzo, partita IVA), le modalità di pagamento, i prezzi troppo bassi e cerca opinioni fuori dal sito. Se hai dubbi, paga con un metodo che permette di contestare l'addebito, non con un bonifico.

Come mi comporto con chi mi chiede aiuto e sembra in buona fede?

Con gentilezza, ma seguendo la procedura. Un vero collega capisce una verifica: «Ti richiamo io su un numero che conosco» non offende nessuno.

Posso sapere se i miei dati sono già in circolazione?

Esistono servizi che avvisano se un indirizzo e-mail compare in una violazione nota. Non danno una garanzia completa, e conviene usare solo servizi affidabili e ufficiali. In ogni caso: password diverse per ogni servizio.

Si può registrare un dominio simile al mio per proteggersi?

Sì, molte organizzazioni registrano le varianti più probabili, come l'estensione .com o l'errore di battitura più comune. Non protegge da tutto, ma riduce il rischio. Chi ha un marchio può anche avviare procedure per riavere un dominio registrato in malafede, con l'aiuto di un legale.

Glossario della lezione

Le parole che incontri in questa lezione, spiegate in una riga.

Per approfondire

Le fonti usate per costruire questa dispensa: se un dato ti interessa, vai alla fonte e verificalo.

Registro .it

il registro dei nomi a dominio italiani, con regole e informazioni sulla registrazione

Polizia Postale e delle Comunicazioni

commissariatodips.it, per segnalazioni e consigli su truffe e furti di identità online

Agenzia per la cybersicurezza nazionale (ACN) e CSIRT Italia

avvisi e guide sulle minacce informatiche

Garante per la protezione dei dati personali

garanteprivacy.it, indicazioni su furto di identità e tutela dei dati

1. Perché la password è il punto debole

Puoi avere il computer più aggiornato del mondo: se la tua password è «segreteria2024», la porta è aperta.

Una password è la chiave con cui un servizio capisce che sei proprio tu. Posta elettronica, registro della scuola, gestionale delle fatture, banca online: ogni porta ha la sua chiave. E il problema, nella vita di tutti i giorni, è che le chiavi sono tante e la memoria è una sola.

Così facciamo quello che fanno quasi tutti: scegliamo una password facile e la usiamo ovunque. Magari con un numero in fondo, per rispettare la regola «almeno una cifra». È comodo. È anche il modo più veloce per farsi rubare l'account.

UNA PASSWORD, TANTI ACCOUNT

Una chiave sblocca un sito violato e fa cadere come tessere di domino gli account collegati, tra cui posta e cloud.

Una password riutilizzata collega la sicurezza di account diversi.

1.1 Il caso di Marta e della scuola di danza

Marta lavora in segreteria in una piccola scuola di danza. Anni fa si è iscritta a un sito di sconti per l'abbigliamento sportivo, usando la stessa e-mail e la stessa password che usa per la posta della scuola. Un giorno quel sito di sconti viene violato: i ladri portano via l'elenco di indirizzi e password degli iscritti.

LA CATENA DI MARTA

Tre passaggi: il sito di sconti viene violato, un programma automatico prova la stessa coppia di dati altrove, la posta della scuola resta esposta.

Credenziali sottratte a un sito vengono provate su altri servizi.

Nessuno avvisa Marta. Pochi giorni dopo, però, un programma automatico prova quella coppia di dati su centinaia di altri servizi, uno dopo l'altro. Alla posta della scuola la password funziona. Da lì, i ladri leggono le mail, vedono gli elenchi degli iscritti e scrivono ai genitori fingendosi la segreteria.

Diagramma

Quattro passi: un sito viene violato, le password finiscono in un elenco, i ladri le provano altrove, la posta si apre.

Come una password riutilizzata apre account che non c'entrano

1.2 Come si rubano le password

Non serve un genio informatico. Esistono pochi metodi, tutti molto comuni:

• furto da un sito violato: gli elenchi di password finiscono in vendita o in rete, e vengono provati su altri servizi (si chiama credential stuffing, cioè «riempimento di credenziali»);
• tentativi a raffica: un programma prova le password più usate al mondo, e parole del dizionario con qualche cifra aggiunta;
• phishing e siti trappola: sei tu a digitare la password in una pagina falsa (le lezioni tre e quattro del corso);
• programmi spia: un keylogger registra i tasti che premi (lezione due);
• sguardi e post-it: la password scritta sul foglietto sotto la tastiera, che chiunque passi può leggere.

Nota una cosa: contro quattro di questi cinque metodi, una password più complicata non basta. È per questo che serve anche la seconda parte della lezione, la verifica in due passaggi.

2. Come si costruisce una password buona

Per anni ci hanno insegnato a scrivere password brutte e difficili. La buona notizia è che oggi si consiglia l'esatto contrario.

Una password come «Xk9#pL2!» è ostica per te e abbastanza facile per un programma, perché è corta. Quello che conta davvero è la lunghezza: ogni carattere in più moltiplica il lavoro che serve per indovinarla. Per questo la regola pratica è di arrivare ad almeno dodici-quattordici caratteri, meglio ancora se sono una frase.

2.1 La frase lunga

Una frase lunga è una password che riesci a ricordare perché ha un senso, ma che nessuno può indovinare perché è tua. Un esempio come «Il-giovedi-porto-il-caffe-in-ufficio!»: sette parole, sei trattini, un punto esclamativo. Facile da ricordare, lunga, non è una parola del dizionario.

LUNGA, UNICA, TUA

Gianluca presenta un tram con tre gatti che mangiano la pizza e un campo password a pallini, con l'avviso di non copiare gli esempi.

Scegli una frase lunga e unica, senza copiare gli esempi.

Come inventarne una? Pensa a un'immagine vivida e un po' assurda, e scrivila con parole separate da trattini o spazi. Per esempio: «tre-gatti-mangiano-una-pizza-sul-tram». Non è un modo di dire, non è collegata a te, ma la visualizzi subito.

Diagramma

Confronto tra una password corta e prevedibile e una frase lunga fatta di parole non collegate.

Password debole e frase lunga a confronto

2.2 Cosa evitare

NON USARE CIÒ CHE SANNO TUTTI

Il nome del cane, una data di compleanno e i dati di un profilo pubblico convergono verso una chiave barrata.

Nomi e date pubbliche sono scelte prevedibili.

2.3 Cambiarla ogni tre mesi? Oggi non più

Probabilmente in qualche ufficio ti obbligano a cambiare password di continuo. Le linee guida più recenti sull'identità digitale, quelle dell'ente americano NIST (National Institute of Standards and Technology, l'istituto che fissa gli standard tecnici negli Stati Uniti), non lo consigliano più come regola fissa: chi è costretto a cambiare spesso, tende a fare cambi minimi («Estate1», «Estate2») che non proteggono nulla.

La regola di buon senso è questa: cambia la password subito se hai il sospetto che sia stata rubata, se un servizio ti avvisa di una violazione, o se l'hai data a qualcuno. Altrimenti, una password lunga e unica può restare dov'è.

QUANDO CAMBIARLA?

Un sospetto furto e un avviso di violazione portano alla stessa azione: cambiare subito la password. Il calendario non è il motivo.

Cambiala se è compromessa o se il servizio segnala una violazione.

3. Una password per servizio: il gestore

Hai venti account e una memoria. Lascia fare il lavoro a chi non si dimentica niente.

Una password diversa per ogni servizio è l'unico modo per fermare la catena di Marta. Ma nessuno riesce a ricordare venti frasi lunghe e diverse. Qui entra in scena il gestore di password (in inglese password manager): un programma, o una funzione del browser, che conserva tutte le tue password in un archivio cifrato.

Tu ricordi una sola password, la principale (in inglese master password), che apre l'archivio. Tutte le altre le sceglie e le compila lui, e possono essere lunghe e casuali, perché non devi impararle.

UNA DIVERSA PER OGNI SERVIZIO

Una cassaforte digitale con chiavi diverse per posta, cloud, banca e social, aperta da una sola password principale; il portatile genera e compila.

Un archivio cifrato conserva credenziali diverse per ogni servizio.

3.1 Che cosa fa, in pratica

• crea password lunghe e casuali quando ti iscrivi a un servizio;
• le ricorda e le compila al posto tuo sul sito giusto, sul computer e sul telefono;
• ti avvisa se una password è debole, se è riusata o se compare in una violazione nota;
• conserva anche altre informazioni riservate: codici di recupero, note, a volte i dati della carta.

C'è un bonus meno evidente e molto utile: il gestore compila la password solo sul sito giusto. Se finisci su www.ente-esemp1o.it, un sito trappola come quelli visti nella lezione quattro, il gestore non riconosce l'indirizzo e non ti propone niente. Quel silenzio è un campanello d'allarme.

UN SILENZIO DA CONTROLLARE

Due pagine di accesso: sul sito atteso il gestore compila, sul dominio diverso il campo resta vuoto e la lente rivela una lettera in più.

Se la compilazione attesa non compare, verifica il dominio.

3.2 Quale scegliere

Non ti do un nome di prodotto, perché le offerte cambiano di continuo. Ti do il criterio: cerca un gestore di un fornitore noto, con archivio cifrato, che funzioni sui dispositivi che usi e che sappia attivare la verifica in due passaggi sul suo stesso accesso.

3.3 Il caso dello studio di Luca

In un piccolo studio di commercialisti, quattro persone condividevano le credenziali del portale delle scadenze con un foglio incollato sul monitor. Quando una collaboratrice ha lasciato lo studio, nessuno ha cambiato nulla: lei aveva ancora l'accesso, e nessuno poteva dire chi avesse fatto cosa.

Con un gestore di password che prevede condivisione, ogni persona ha il suo accesso. Si decide chi vede quali credenziali, e quando qualcuno se ne va si cambia la password condivisa in un attimo. Per un ufficio con più persone, è molto meglio di qualsiasi foglio.

4. La verifica in due passaggi

La password può essere rubata. Il secondo passaggio la rende molto meno utile a chi l'ha rubata.

La verifica in due passaggi (in inglese multi-factor authentication, abbreviata MFA, cioè autenticazione a più fattori) significa che per entrare non basta la password: serve un secondo elemento, diverso dal primo. Anche se un ladro conosce la tua password, senza il secondo elemento non entra.

PIÙ DI UNA PASSWORD

Tre famiglie di fattori: la password (qualcosa che sai), telefono e chiave fisica (qualcosa che hai), impronta (qualcosa che sei).

Qualcosa che sai, che hai e che sei.

In pratica combini due cose di famiglie diverse, tra queste tre: qualcosa che sai (la password), qualcosa che hai (il telefono, una chiave fisica), qualcosa che sei (l'impronta, il volto).

Diagramma

Tre schede: qualcosa che sai, qualcosa che hai, qualcosa che sei.

I tre tipi di prova che dimostrano chi sei

4.1 I metodi, dal più debole al più robusto

Una passkey è una credenziale che sostituisce la password: invece di digitare qualcosa, confermi con l'impronta, il volto o il codice di sblocco del dispositivo. Un sito falso non può rubarla, perché funziona solo con il sito vero. Sempre più servizi la offrono: se la trovi, provala.

SCEGLI IL METODO PIÙ ROBUSTO

Tre metodi a confronto: SMS (meglio di solo password), app di autenticazione (codici temporanei), passkey o chiave di sicurezza (resistenza al phishing).

I metodi non offrono tutti la stessa resistenza al phishing.

4.2 Quando arrivano richieste che non hai fatto

Se ti arriva sul telefono una richiesta di approvazione senza che tu abbia fatto nulla, vuol dire che qualcuno ha la tua password e sta provando a entrare. A volte i truffatori ne mandano a raffica, sperando che tu prema «approva» per sfinimento. Rifiuta, e cambia subito la password di quell'account.

NON APPROVARE CIÒ CHE NON HAI CHIESTO

Due scene: un falso assistente chiede il codice e una donna lo rifiuta; sul telefono arriva una richiesta d'accesso inattesa e il dito preme Rifiuta.

Non condividere i codici e non approvare richieste inattese.

5. Dove attivarla per prima e come non restare fuori

Non devi attivare tutto oggi. Devi attivare le cose giuste, nell'ordine giusto.

Il primo bersaglio dei truffatori è la posta elettronica. Il motivo è semplice: quasi ogni servizio, quando dimentichi la password, ti manda il link per reimpostarla all'indirizzo di posta. Chi controlla la tua posta controlla, a cascata, tutto il resto.

Diagramma

Piramide delle priorità: posta, gestore di password, cloud e banca, social e altri servizi.

In che ordine proteggere i tuoi account

5.1 Un ordine pratico

1. La posta elettronica, quella personale e quella dell'ufficio.
2. Il gestore di password. Se lui è protetto bene, tutto il resto lo è.
3. Il cloud e i documenti (gli archivi online dove tieni file e cartelle).
4. La banca, i pagamenti e i portali pubblici, come l'area riservata dell'Agenzia delle Entrate (l'ente fiscale italiano) o i servizi che usi con la tua identità digitale.
5. I social e tutto il resto. Anche un profilo social rubato serve ai truffatori per ingannare i tuoi contatti.

COMINCIA DALLE PORTE IMPORTANTI

Gianluca presenta il percorso: posta, gestore, cloud e banca, social; la posta viene per prima perché permette di recuperare gli altri account.

Comincia dalla posta, poi proteggi gli altri accessi importanti.

Di solito l'opzione si trova nelle impostazioni dell'account, in una voce che si chiama «Sicurezza», «Verifica in due passaggi» o «Autenticazione a più fattori». I nomi variano da servizio a servizio, ma il percorso è sempre simile: scegli il metodo, scansioni un codice con l'app o confermi con il telefono, e il gioco è fatto.

5.2 Il piano B: i codici di recupero

Quando attivi la verifica in due passaggi, il servizio ti dà quasi sempre dei codici di recupero: una breve serie di codici monouso, da usare se perdi il telefono. Sono più importanti di quanto sembrino.

• stampali o scrivili a mano e custodiscili lontano dal computer (una cassaforte, un cassetto chiuso a chiave);
• oppure salvali nel gestore di password, se lo proteggi con una verifica robusta;
• non lasciarli in un file qualsiasi sul desktop e non fotografarli sul telefono, dove finiscono nel backup automatico di tutto il resto.

5.3 Il caso del telefono perso

Giulia, segretaria di una scuola media, perde il telefono in autobus. Dentro c'è l'app che genera i codici per la posta dell'istituto. Se Giulia ha conservato i codici di recupero, accede con quelli, toglie il telefono perso dall'elenco dei dispositivi di fiducia e ne collega uno nuovo. Se non li ha conservati, deve passare dall'assistenza, con tempi e documenti da presentare.

PREPARA IL PIANO B

Una ragazza ha perso il telefono sull'autobus; i codici di recupero custoditi in un cassetto chiuso o in un archivio cifrato le fanno recuperare l'accesso con un telefono nuovo.

Conserva i codici di recupero in un luogo sicuro.

Morale: la verifica in due passaggi protegge, ma richiede di preparare prima il piano B. Dieci secondi di organizzazione oggi, giornate di lavoro risparmiate domani.

PROTEGGI GLI ACCESSI

Proteggi gli accessi

Proteggi gli accessi

Esercitazione pratica

Una breve esercitazione da fare davanti al tuo computer, con quello che hai già: la posta elettronica e il telefono.

1. Elenca su un foglio (solo i nomi dei servizi, mai le password) i cinque account più importanti che usi: posta, cloud, banca, gestionale, social.
2. Apri il servizio di haveibeenpwned.com e controlla il tuo indirizzo di posta. Annota se compare in qualche violazione.
3. Inventa una frase lunga, nuova e tua, di almeno quattro parole, e usala per la password principale di un gestore (quello del browser va benissimo per cominciare).
4. Entra nelle impostazioni della tua posta elettronica, cerca «Sicurezza» e attiva la verifica in due passaggi, scegliendo l'app di autenticazione se disponibile.
5. Quando il servizio ti propone i codici di recupero, salvali in un posto sicuro e fuori dal computer.
6. Scegli un secondo account dell'elenco e ripeti: cambia la password con una lunga e attiva il secondo passaggio.

Le domande che arrivano in aula

Un gestore di password non è come mettere tutte le uova in un solo paniere?

In parte sì, ed è per questo che l'archivio è cifrato e va protetto con una password principale lunga e con la verifica in due passaggi. Ma il paragone giusto è con l'alternativa reale: password deboli, riusate o scritte su un foglio. Per la grande maggioranza delle persone, un gestore è molto più sicuro di quello che fa oggi.

L'SMS come secondo passaggio è inutile?

No, è molto meglio di niente. È il metodo più debole tra quelli disponibili, perché si può intercettare o farsi dettare. Se il servizio offre un'app di autenticazione o una passkey, scegli quelle. Se c'è solo l'SMS, attivalo comunque.

Quanto deve essere lunga la mia password?

Come minimo dodici-quattordici caratteri; meglio una frase di quattro o cinque parole. Le password generate dal gestore possono essere ancora più lunghe, perché non devi ricordarle.

Posso usare la stessa frase con una piccola variazione per ogni sito?

È una cattiva idea: se un ladro vede la variazione su un sito, la indovina sugli altri. Ogni servizio merita una password diversa e indipendente, ed è proprio il lavoro del gestore.

Ho perso il telefono con l'app dei codici: sono fuori da tutto?

Se hai salvato i codici di recupero no: li usi per entrare e colleghi il nuovo telefono. Se non li hai, devi passare dalla procedura di recupero del singolo servizio, che può richiedere tempo e verifiche. Per questo conviene prepararli subito.

Posso condividere la password con una collega quando sono in ferie?

Meglio di no: un accesso condiviso non dice più chi ha fatto cosa. Se serve, usa la condivisione prevista dal gestore, oppure chiedi al responsabile di creare un accesso apposta per lei.

Glossario della lezione

Le parole che incontri in questa lezione, spiegate in una riga.

Per approfondire

Le fonti usate per costruire questa dispensa: se un dato ti interessa, vai alla fonte e verificalo.

NIST, Digital Identity Guidelines (Special Publication 800-63B)

indicazioni su lunghezza minima (almeno 15 caratteri se la password è l'unico fattore) e sul cambio solo in caso di necessità

Have I Been Pwned (haveibeenpwned.com)

servizio gratuito per verificare se un indirizzo compare in violazioni note

FIDO Alliance, informazioni sulle passkey

descrizione del funzionamento e dei vantaggi

Agenzia per la cybersicurezza nazionale (acn.gov.it)

materiali di sensibilizzazione sull'uso sicuro degli account

1. Gli aggiornamenti: chiudere le falle note

Le porte più usate dagli attaccanti non sono quelle nuove: sono quelle già note, che qualcuno non ha ancora chiuso.

Ogni programma, dal sistema operativo al lettore di PDF, è scritto da persone, quindi contiene errori. Alcuni sono falle di sicurezza (in inglese vulnerability): punti deboli che un attaccante può sfruttare per entrare nel computer. Quando una falla viene scoperta, chi produce il programma pubblica una correzione, che arriva a te sotto forma di aggiornamento.

FALLE NOTE

Un muro digitale con una falla etichettata «Falla»: un aggiornamento la chiude come una toppa e l'attaccante incappucciato resta fuori.

Gli aggiornamenti chiudono le vulnerabilità conosciute.

Da quel momento succede una cosa inquietante: la falla diventa pubblica. Chi attacca sa dove guardare, e va a caccia dei computer che non hanno ancora installato la correzione. Il rischio non è tanto la falla in sé, quanto il tempo in cui resta aperta.

Diagramma

Quattro passi: la falla viene scoperta, la correzione viene pubblicata, gli attaccanti cercano i computer non aggiornati, tu aggiorni e la porta si chiude.

Il rischio sta nel tempo tra la correzione e il tuo aggiornamento

1.1 Il caso che tutti ricordano: WannaCry

Nel maggio del 2017 un Malware che cifra i file e chiede un riscatto per restituirli. Detto anche cryptolocker.">ransomware chiamato WannaCry ha colpito centinaia di migliaia di computer nel mondo, bloccando anche ospedali e aziende. Sfruttava una falla di Windows per cui Microsoft aveva già pubblicato la correzione quasi due mesi prima (marzo 2017). I computer colpiti erano, in larga parte, quelli che non erano stati aggiornati.

Lo stesso vale in piccolo. Immagina uno studio dove un vecchio computer della segreteria «non si tocca perché funziona». Funziona, certo. Ma ogni mese che passa senza aggiornamenti, la lista di falle note aumenta.

1.2 Come tenere tutto aggiornato

• Windows Update: apri Impostazioni, scegli Windows Update e lascia gli aggiornamenti automatici attivi. Se vedi il pulsante «Controlla gli aggiornamenti» puoi cliccarlo per controllare subito;
• riavvia davvero: molti aggiornamenti si completano solo al riavvio. Un computer che resta acceso per settimane con un «riavvio in sospeso» non è ancora protetto;
• i programmi: browser, lettore di PDF, programmi di videoconferenza e di ufficio si aggiornano da soli, di solito. Lasciali fare, e non ignorare gli avvisi;
• telefono e tablet: valgono le stesse regole, dal menu delle impostazioni del sistema.

AGGIORNA E RIAVVIA

Sequenza Impostazioni, Windows Update, Riavvio richiesto, con browser e lettore PDF che si aggiornano.

Aggiorna sistema e programmi; completa i riavvii richiesti.

C'è anche un'abitudine collegata: installa solo programmi di cui hai bisogno, e togli quelli che non usi più. Ogni programma in più è una porta in più da tenere aggiornata.

2. Sicurezza di Windows: antivirus e firewall già inclusi

In Windows 11 ti serve meno di quanto pensi: la protezione di base è già dentro, e basta controllare che sia accesa.

Windows 11 include malware).">antivirus, firewall e altri controlli, basata su Microsoft Defender.">Sicurezza di Windows, che usa il motore chiamato Microsoft Defender. Contiene due strumenti fondamentali. L'antivirus controlla i file e i programmi alla ricerca di software dannoso (il malware della lezione due). Il firewall (letteralmente «muro tagliafuoco») controlla il traffico di rete in entrata e in uscita dal computer, e blocca i collegamenti non autorizzati.

DUE CONTROLLI

Una lente su un programma malevolo (antivirus) e un cancello che lascia passare o blocca il traffico (firewall) proteggono insieme un computer.

Antivirus e firewall controllano rischi diversi.

2.1 Come aprirla

1. Apri il menu Start e scegli Impostazioni.
2. Vai su Privacy e sicurezza e poi su Sicurezza di Windows.
3. Clicca su Apri Sicurezza di Windows. In alternativa, scrivi «Sicurezza di Windows» nella casella di ricerca e apri il programma dal risultato.

La prima schermata mostra una panoramica, chiamata «Sicurezza in breve». Ogni area ha un'icona: una spunta verde significa che non devi fare nulla. Un punto esclamativo giallo o una croce rossa significa che qualcosa richiede la tua attenzione.

Diagramma

Quattro schede: virus e minacce, firewall e rete, controllo di app e browser, sicurezza dei dispositivi.

Le quattro aree principali di Sicurezza di Windows

2.2 Le sezioni da conoscere

L'antivirus lavora da solo in sottofondo: analizza i file mentre li scarichi o li apri. Puoi anche avviare a mano una scansione rapida dalla sezione «Protezione da virus e minacce», per esempio dopo aver aperto un allegato di cui non eri sicuro.

TAGLIANDO

Gianluca accanto a una finestra illustrativa di Sicurezza di Windows con Virus e minacce, Firewall e rete e il pulsante Scansione rapida.

Controlla le protezioni e presta attenzione agli avvisi.

2.3 Serve un antivirus a pagamento?

Per un uso normale in ufficio o a casa, la protezione inclusa in Windows 11 è una base solida, a patto di tenerla attiva e aggiornata. Prodotti a pagamento possono aggiungere funzioni (gestione centralizzata, protezione di più dispositivi), e in aziende più grandi si scelgono per questo. Non è un obbligo, e non risolve gli errori umani: nessun antivirus ferma chi inserisce la password in una pagina falsa.

FALSO ALLARME

Un finto allarme «Computer infetto!» in una pagina del browser, con una maschera nascosta dietro; la mano evita il pulsante e si verifica da Sicurezza di Windows.

Un avviso in una pagina web può essere un'esca.

3. Proteggere il computer quando non ci sei: blocco e cifratura

Il computer più sicuro del mondo, lasciato acceso e sbloccato, è un computer aperto a chiunque passi.

Fino a qui abbiamo parlato di attacchi dalla rete. Ma in una segreteria un buon numero di rischi è molto più fisico: un cliente che passa dietro la scrivania, una collega delle pulizie, un fornitore lasciato un attimo da solo, un portatile dimenticato sul treno.

3.1 Il blocco dello schermo: un gesto da ripetere

Ogni volta che ti alzi dalla scrivania, premi insieme il tasto Windows e il tasto L. Lo schermo si blocca e per rientrare serve la tua password, il PIN o l'impronta. È un gesto di un secondo. Fallo anche se esci per due passi, perché due passi bastano per leggere uno schermo.

Aiutati con l'automatismo: nelle impostazioni di accesso di Windows puoi far sì che il computer richieda di nuovo la password dopo un periodo di inattività, e puoi impostare lo screensaver in modo che chieda l'accesso al ritorno. Windows Hello offre anche il blocco dinamico: il computer si blocca quando il telefono collegato via Bluetooth si allontana.

3.2 Sguardi indiscreti e post-it

Il post-it con la password attaccato al monitor è un classico. Ma anche l'elenco delle iscrizioni lasciato accanto alla tastiera, o lo schermo orientato verso la sala d'attesa, sono falle di sicurezza. Alcuni accorgimenti semplici:

• orienta lo schermo in modo che non sia visibile da chi entra o da chi aspetta;
• metti sotto chiave i documenti con dati personali quando non servono;
• usa un gestore di password al posto dei foglietti (lezione cinque);
• se lavori in treno o al bar, valuta una pellicola «privacy» per lo schermo, che restringe l'angolo di visione.

BLOCCA LO SCHERMO

Una persona si alza dalla scrivania: i tasti Windows più L bloccano il monitor, i documenti stanno in un armadio chiuso e il post-it con la password è barrato.

Blocca lo schermo e custodisci fogli e credenziali.

3.3 Un account normale per il lavoro di ogni giorno

Windows distingue tra account amministratore (può installare programmi e cambiare impostazioni di sistema) e account standard. Per il lavoro quotidiano conviene un account standard: se un malware si insinua, ha meno poteri per fare danni. Quando devi installare qualcosa, Windows ti chiede la conferma con la password di amministratore, ed è proprio quel momento di pausa il vantaggio.

3.4 La cifratura: se il computer viene perso o rubato

Immagina che il portatile di una collaboratrice, con gli elenchi dei partecipanti a un corso, venga rubato dall'auto. Se il disco non è cifrato, chi lo ruba può estrarlo, collegarlo a un altro computer e leggere tutto, anche se Windows aveva una password. Il codice di accesso protegge Windows, non i file sul disco.

La cifratura trasforma i dati in un codice illeggibile, che si sblocca solo con la chiave giusta. Chi non ha la chiave vede soltanto caratteri senza senso. In Windows lo strumento si chiama BitLocker ed è disponibile nelle edizioni Windows Pro (e superiori). Le edizioni Home hanno una funzione simile, chiamata crittografia del dispositivo, che dipende dall'hardware del computer.

CIFRATURA

Un ladro con un portatile rubato: la password d'accesso da una parte, la cifratura dall'altra; il disco non cifrato mostra i documenti, quello cifrato solo simboli e un lucchetto.

La cifratura protegge i dati sul disco sottratto.

CHIAVE DI RIPRISTINO

Un portatile cifrato con un lucchetto e, in una cassaforte aperta, il foglio della chiave di ripristino con codice mascherato, custodita separatamente.

Conserva la chiave di ripristino separatamente dal computer.

Per sapere se il tuo computer è già cifrato, cerca nelle impostazioni la voce dedicata (per Windows Pro, scrivi «BitLocker» nella ricerca; per Home, controlla la sezione sulla crittografia dei dispositivi in Privacy e sicurezza). Se non sei sicuro, chiedi a chi segue l'informatica: è una scelta da fare con calma, perché cambia l'organizzazione dei dati.

4. Wi-Fi pubbliche e reti di casa e d'ufficio

Una rete Wi-Fi gratuita in stazione è comodissima. È anche una sala d'attesa dove non sai chi siede accanto a te.

Quando ti colleghi a una rete Wi-Fi pubblica, i tuoi dati viaggiano nella stessa rete di sconosciuti. Se la rete è aperta, o gestita male, chi è collegato può tentare di intercettare il traffico o di farti collegare a una rete falsa con un nome quasi uguale a quella vera: per esempio «Stazione_Free_WiFi» al posto di quella ufficiale.

4.1 Che cosa è prudente fare, in pratica

LA RETE CONTA

Una stazione con due Wi-Fi dal nome simile («Rete ospiti» e «Rete ospiti?») e tre alternative: hotspot personale per il lavoro, rete mobile per i pagamenti, rete fidata per i dati personali.

Scegli una rete fidata per le attività di lavoro delicate.

Due precisazioni oneste. Oggi la maggior parte dei siti usa una connessione cifrata (il lucchetto accanto all'indirizzo, HTTPS), che rende molto più difficile leggere il traffico anche sulle reti pubbliche. Non è però una garanzia contro le reti false o i siti trappola. E una VPN (virtual private network, rete privata virtuale: un tunnel cifrato tra il tuo dispositivo e un server di fiducia) aiuta, ma solo se è di un fornitore serio e se la usi davvero.

HTTPS E VPN

Un computer collegato tramite un tunnel VPN a un server fidato e poi a un sito con lucchetto https; un attaccante mostra un sito falso: «Non rende onesto un sito falso».

La cifratura aiuta, ma resta necessario verificare rete e destinazione.

4.2 Le buone abitudini quando sei fuori

• se Windows ti chiede che tipo di rete è, scegli pubblica per ogni rete che non è casa tua o il tuo ufficio: il firewall sarà più rigoroso;
• disattiva la condivisione automatica di file e stampanti sulle reti pubbliche;
• chiedi al personale il nome esatto della rete e non fidarti dei nomi simili;
• dopo l'uso, scollegati e fai «dimentica rete», per non riconnetterti da solo in futuro;
• preferisci i dati del telefono quando devi lavorare su cose riservate.

4.3 E la rete del tuo ufficio?

Il router, la scatola che porta internet in ufficio, è la porta d'ingresso della tua rete. Tre controlli che valgono per studio e casa: cambia la password di amministrazione predefinita (quella stampata sull'etichetta); imposta il Wi-Fi con la cifratura più recente disponibile (WPA3, oppure WPA2 se il dispositivo non supporta altro) e una password lunga; tieni aggiornato il software del router, ricorrendo al tuo fornitore di connessione se non sai come fare.

ROUTER IN ORDINE

Un router con quattro controlli (password amministratore, Wi-Fi protetto, aggiornamenti, rete ospiti) e due reti separate: la rete lavoro con i documenti e la rete ospiti senza accesso ad essi.

Proteggi il router e separa gli ospiti dalla rete di lavoro.

Se ospiti clienti o fornitori, usa la rete ospiti del router: dà loro internet senza aprire la porta ai computer dello studio.

5. Chiavette USB e supporti sconosciuti

Una chiavetta trovata nel parcheggio è un regalo. Il problema è che nessuno sa da chi.

Una chiavetta USB è un piccolo supporto di memoria che colleghi al computer. Proprio perché è comodissima, è anche un classico veicolo di malware. Chi vuole colpire un'organizzazione a volte lascia chiavette in giro, con etichette invitanti («Stipendi», «Foto della festa»), contando sulla curiosità.

Alcuni dispositivi, inoltre, sembrano chiavette ma si comportano da tastiera: appena li colleghi, digitano da soli comandi veloci sul computer. Non c'è nulla da cliccare. Per questo l'unica regola sicura è non collegare supporti di origine ignota.

Diagramma

Quattro passi: non collegarla, consegnarla al responsabile, farla analizzare su un computer isolato, restituire o distruggere.

Che cosa fare se trovi una chiavetta sconosciuta

5.1 Il caso della chiavetta in sala d'attesa

In una piccola clinica, un'infermiera trova una chiavetta nella sala d'attesa. Sul portachiavi c'è scritto «Referti». Con le migliori intenzioni (restituirla al proprietario!) la infila nel computer della reception, per capire di chi sia. È esattamente ciò che l'attaccante sperava.

Il comportamento giusto è semplice: non la collega, la consegna al responsabile, che la mette da parte o la fa analizzare da chi sa come, in un computer separato dalla rete e senza dati.

5.2 Quando devi usare le tue chiavette

• usa solo chiavette che conosci, comprate da te o fornite dall'organizzazione, non regali di fiere o promozioni;
• se ci metti dati di persone, cifra la chiavetta (BitLocker To Go, in Windows Pro, protegge anche i supporti USB) e usa una password lunga;
• non lasciarle in giro, e non usare la stessa chiavetta tra il computer di casa e quello dell'ufficio senza una buona ragione;
• una chiavetta non è un backup: si perde e si rompe facilmente (lezione sette);
• per scambiare un file con un cliente, preferisci un servizio di condivisione protetto da password.

USB

Una chiavetta trovata con l'etichetta «Referti» resta lontana dalla porta e va al referente informatico; a destra una chiavetta propria cifrata con lucchetto, con Gianluca che indica.

Non collegare supporti ignoti; proteggi quelli autorizzati.

Esercitazione pratica

Una breve esercitazione da fare sul computer che usi di più: un piccolo «tagliando» di sicurezza, con quello che Windows 11 ti mette già a disposizione.

1. Apri Impostazioni, vai su Windows Update e controlla che non ci siano aggiornamenti in attesa. Se serve, riavvia il computer.
2. Vai su Privacy e sicurezza, poi su Sicurezza di Windows, e apri il programma.
3. Guarda la schermata «Sicurezza in breve»: annota quali aree hanno la spunta verde e quali no.
4. Nella sezione «Protezione da virus e minacce» verifica che la protezione in tempo reale sia attiva e avvia una scansione rapida.
5. Nella sezione «Protezione firewall e della rete» controlla che il firewall sia attivo.
6. Prova la scorciatoia Windows più L: blocca lo schermo, poi rientra con il tuo PIN o la tua password.
7. Cerca «BitLocker» o la crittografia del dispositivo e annota se il tuo disco risulta cifrato o no, senza cambiare nulla prima di aver sentito chi segue l'informatica.
8. Scrivi tre righe di regole per la tua postazione: dove metti i documenti, quando blocchi lo schermo, cosa fai con una chiavetta sconosciuta.

Le domande che arrivano in aula

Basta Microsoft Defender o devo comprare un altro antivirus?

Per un uso normale la protezione inclusa in Windows 11 è una base valida, se resta attiva e aggiornata. Un prodotto a pagamento può aggiungere funzioni (gestione centrale, più dispositivi) utili soprattutto alle organizzazioni più grandi. Nessun antivirus, in ogni caso, sostituisce la prudenza con link e allegati.

Gli aggiornamenti rallentano il computer: posso rimandarli?

Puoi sceglierne il momento, per esempio lasciando che il riavvio avvenga a fine giornata. Rimandarli a lungo è però rischioso, perché ogni falla non corretta resta aperta. Meglio un riavvio programmato che settimane di esposizione.

Windows Home ha BitLocker?

BitLocker nella sua forma completa è in Windows Pro e superiori. Molti computer con Home hanno la crittografia del dispositivo, se l'hardware lo permette. Controlla nelle impostazioni o chiedi a chi segue l'informatica: dipende dal modello.

Posso usare il Wi-Fi dell'hotel per la posta di lavoro?

Meglio evitarlo, o usare la rete dati del telefono. Se non hai alternative, accedi solo a siti con il lucchetto (HTTPS), attiva la verifica in due passaggi e, se la tua organizzazione te la fornisce, usa la VPN.

Ho inserito una chiavetta sconosciuta: che cosa faccio?

Non farti prendere dal panico, ma agisci subito: scollega il computer dalla rete (togli il cavo o disattiva il Wi-Fi), avvisa il responsabile informatico e non continuare a lavorare. Vedi la lezione nove per i passi da fare.

Basta il blocco dello schermo, perché cifrare il disco?

Sono due protezioni diverse. Il blocco ferma chi si siede alla tua scrivania. La cifratura ferma chi porta via il computer o il disco. Per i portatili, che si perdono e si rubano, sono tutte e due consigliate.

Glossario della lezione

Le parole che incontri in questa lezione, spiegate in una riga.

Per approfondire

Le fonti usate per costruire questa dispensa: se un dato ti interessa, vai alla fonte e verificalo.

Microsoft, documentazione su Sicurezza di Windows e Microsoft Defender

funzioni e aree dell'applicazione

Microsoft, documentazione su BitLocker e sulla crittografia del dispositivo

edizioni di Windows e chiave di ripristino

Microsoft, ciclo di vita di Windows 10

data di fine supporto del 14 ottobre 2025

Agenzia per la cybersicurezza nazionale (acn.gov.it)

materiali di sensibilizzazione su aggiornamenti e uso sicuro dei dispositivi

1. Perché un backup, e che cos'è davvero

Prima o poi un computer si rompe, un file si cancella o qualcuno ti blocca i dati. La domanda non è se succederà, ma se quel giorno avrai una copia.

Immagina la segreteria di un piccolo studio, lo Studio Esempio. Una mattina il computer che custodisce le pratiche dei clienti non si accende più. Dentro ci sono dieci anni di lavoro: contratti, fatture, scansioni. Se non c'è una copia, quel lavoro è perso.

Un backup (parola inglese che significa copia di sicurezza) è una copia dei tuoi dati tenuta in un posto diverso dall'originale, pensata per un solo scopo: permetterti di ripartire dopo un guasto, un errore o un attacco.

Diagramma

Le quattro cause più comuni di perdita dei dati

Le quattro cause più comuni di perdita dei dati

1.1 Le quattro strade verso la perdita dei dati

• Un guasto: il disco si rompe, spesso senza segnali;
• Un errore: cancelli o sovrascrivi un file per sbaglio;
• Un furto o un incendio: il computer sparisce, con tutto quello che contiene;
• Un Malware che cifra i file e chiede un riscatto per restituirli. Detto anche cryptolocker.">ransomware: un programma dannoso cifra i file e chiede un riscatto.

Nessuna di queste cause avvisa prima. Per questo la copia va fatta prima che serva, non dopo.

LA COPIA SI FA PRIMA

Quattro cause intorno ai documenti: disco rotto, errore, furto o incendio, ransomware

Guasto, errore, furto o attacco possono far perdere i dati.

1.2 Copia, sincronizzazione, backup: non sono la stessa cosa

Molti pensano di avere un backup perché i file sono anche sul cloud o su una chiavetta. Non sempre è vero. Una sincronizzazione tiene due posti identici: se cancelli un file da una parte, sparisce anche dall'altra. Se un ransomware cifra i tuoi file, la cifratura viene sincronizzata a sua volta.

SINCRONIZZAZIONE NON BASTA

Confronto tra due cartelle sincronizzate che replicano la cancellazione e una copia con versioni recuperabili

Sincronizzare non basta se si propagano cancellazioni e modifiche.

2. La regola 3-2-1

Tre numeri da ricordare: 3 copie, 2 supporti diversi, 1 copia lontana.

La regola 3-2-1 è lo schema che i tecnici usano da anni perché è semplice e regge quasi a tutto. Vediamola un pezzo alla volta.

REGOLA 3-2-1

Gianluca presenta la regola 3-2-1: tre copie totali, due supporti diversi, una copia fuori sede

Tre copie totali: originale e due copie di sicurezza, su due supporti, una fuori sede.

• 3 copie dei dati: l'originale sul computer più due copie di sicurezza. Se una cosa va storta, ne restano altre due;
• 2 supporti diversi: per esempio il disco interno del computer e un disco esterno, oppure un disco esterno e il cloud. Supporti diversi si rompono per motivi diversi;
• 1 copia fuori sede: almeno una copia lontana dall'ufficio, per esempio nel cloud o in un altro edificio. Così un incendio, un allagamento o un furto non portano via tutto.

2.1 Un esempio per la segreteria di una scuola

La segreteria dell'Istituto Esempio lavora sui registri e sulle iscrizioni. Applica la regola così.

TRE COPIE NELLA PRATICA

Tre copie nella pratica: originale sul computer, disco scollegato nel cassetto, copia cloud con versioni e lucchetto

Computer, disco scollegato e copia fuori sede hanno ruoli diversi.

2.2 Il disco lasciato inserito è un errore comune

Un disco esterno sempre collegato al computer è raggiungibile dal Malware che cifra i file e chiede un riscatto per restituirli. Detto anche cryptolocker.">ransomware, che lo cifra insieme al resto. La copia davvero al sicuro è quella scollegata, o quella che il programma di attacco non riesce a modificare.

3. Dove tenere le copie: disco, rete, cloud

Non esiste il supporto perfetto: ognuno ha pregi e difetti, ed è per questo che se ne usano due.

DOVE TENERE LE COPIE?

Confronto tra disco esterno, NAS e cloud con un pregio e un limite ciascuno

Ogni destinazione ha vantaggi e limiti da considerare.

3.1 Disco esterno

È la scelta più semplice e più economica: lo colleghi alla porta USB (la presa standard dei computer), copi e lo stacchi. Funziona anche senza Internet. Il limite è che è fisico: si può rompere, perdere o rubare, e va ricordato di collegarlo.

3.2 Disco di rete

Un piccolo studio può usare un NAS, cioè un apparecchio con uno o più dischi collegato alla rete dell'ufficio, a cui i computer inviano le copie in automatico. È comodo, ma se resta sempre acceso e raggiungibile può essere colpito dal Malware che cifra i file e chiede un riscatto per restituirli. Detto anche cryptolocker.">ransomware come i computer. Chiedi al tecnico di configurarlo con copie che non si possano modificare.

3.3 Cloud

Il cloud (letteralmente nuvola) significa tenere i file sui computer di un fornitore, raggiungibili via Internet. È la copia fuori sede più comoda: non devi portarla da nessuna parte. Scegli un servizio che conservi le versioni precedenti dei file, così puoi tornare a ieri se oggi è stato tutto cifrato.

Diagramma

Disco esterno e cloud a confronto

Disco esterno e cloud a confronto

CLOUD: VERSIONI E ACCESSI PROTETTI

Nuvola con tre stati dello stesso documento e ritorno alla versione pulita, accesso protetto da password e verifica in due passaggi

Il cloud deve conservare copie recuperabili e avere accessi protetti.

3.4 La copia incorporata in Windows 11

Windows 11 ha strumenti pronti. Cerca Backup di Windows nella casella di ricerca della barra delle applicazioni: ti permette di salvare cartelle e impostazioni sul servizio cloud di Microsoft (OneDrive). Per salvare su un disco esterno puoi usare la funzione Cronologia file, se è disponibile sulla tua versione. I nomi esatti dei menu possono cambiare con gli aggiornamenti: cerca la funzione per nome.

4. Che cosa salvare e ogni quanto

Non serve salvare tutto: serve salvare quello che non puoi rifare.

Windows e i programmi si reinstallano. I tuoi documenti, le foto, i database e le mail no. Parti dall'elenco di ciò che, se sparisse domani, ti metterebbe nei guai.

SALVA CIÒ CHE NON PUOI RIFARE

Documenti, foto, posta e database entrano in una copia protetta, con la domanda: se sparisse domani?

Parti da ciò che non puoi ricreare facilmente.

4.1 Ogni quanto

La regola pratica è una domanda: quanto lavoro posso permettermi di rifare? Se per te è accettabile rifare il lavoro di un giorno, la copia va fatta ogni giorno. Se perdere una settimana sarebbe un disastro, la copia va fatta più spesso. Per dati che cambiano ogni giorno, come la contabilità, la copia automatica quotidiana è la scelta più sicura.

QUANTO LAVORO PUOI RIFARE?

Linea del tempo con il lavoro tra una copia e l'altra, e l'invito ad automatizzare

La frequenza dipende da quanto lavoro puoi permetterti di rifare.

4.2 Completa, incrementale, versioni

• Copia completa: ricopia tutto. È la più semplice da usare, ma richiede più spazio e più tempo;
• backup.">Copia incrementale: salva solo ciò che è cambiato dall'ultima copia. È più leggera;
• Versioni precedenti: il programma ricorda più versioni dello stesso file, così puoi recuperare quella di prima di un errore o di un attacco.

COMPLETA O INCREMENTALE

Confronto tra copia completa e incrementale, che richiede anche le copie precedenti

Una copia completa salva tutto; un'incrementale salva le modifiche.

Diagramma

Il ciclo del backup che funziona

Il ciclo del backup che funziona

5. Provare il ripristino, e il legame con il ransomware

Una copia che non hai mai provato a riaprire è solo una speranza.

Capita di scoprire, nel giorno del bisogno, che la copia era vuota, danneggiata o incompleta. Per questo ogni tanto bisogna provare il ripristino: scegliere qualche file a caso dalla copia e verificare che si aprano e che siano aggiornati.

1. scegli tre file importanti, di tipo diverso (un documento, un foglio di calcolo, una foto);
2. recuperali dalla copia, mettendoli in una cartella di prova, non sopra gli originali;
3. aprili e controlla che il contenuto sia quello giusto;
4. annota la data della prova e che cosa hai verificato.

UNA COPIA VA PROVATA

Gianluca presenta i quattro passi della prova di ripristino: scegli tre file, recupera in una cartella di prova, apri e controlla, annota la data

Ripristina tre file in una cartella di prova e aprili.

5.1 Il backup è la vera difesa contro il ransomware

Nella lezione sul malware e sul ransomware abbiamo visto che chi ti cifra i file chiede un riscatto. Pagare non dà garanzie: non hai certezza di riavere i dati, e finanzi chi ti ha attaccato. Con una copia recente e scollegata il ricatto perde forza: non hai bisogno dei criminali per riavere i tuoi file.

5.2 Backup e disponibilità

Ricordi le tre proprietà della sicurezza della prima lezione? Il backup difende la disponibilità: avere i dati quando servono. Ma attenzione, perché le copie contengono gli stessi dati personali degli originali e vanno protette allo stesso modo.

• cifra il disco esterno e le copie (in Windows Pro c'è BitLocker, ne abbiamo parlato nella lezione sui dispositivi);
• tieni il disco in un luogo chiuso, non appoggiato sulla scrivania;
• proteggi l'accesso al cloud con una password lunga e la verifica in due passaggi;
• quando smaltisci un vecchio disco, cancellalo in modo sicuro o distruggilo, non buttarlo.

PROTEGGI ANCHE LE COPIE

Tre azioni per proteggere le copie: cifra, custodisci, smaltisci in sicurezza

Anche le copie contengono dati delle persone.

Esercitazione pratica

Una breve esercitazione con il tuo computer e un disco esterno o un account cloud che hai già.

1. Elenca su un foglio le cartelle che non vorresti mai perdere: documenti, foto, posta.
2. Controlla dove si trovano oggi: solo sul computer, o anche altrove?
3. Disegna la tua regola 3-2-1: quale è la copia 1, la 2 e la 3, e quale è fuori sede.
4. Fai una copia manuale delle cartelle importanti su un disco esterno e poi scollegalo.
5. Recupera tre file dalla copia in una cartella di prova e aprili.
6. Annota la data e programma un promemoria per ripetere la prova.

Le domande che arrivano in aula

Basta salvare i file su OneDrive o su Google Drive?

Non da solo. Il cloud sincronizzato copia anche gli errori e, in certi casi, anche i file cifrati da un ransomware. Va bene come copia fuori sede se conserva le versioni precedenti, ma serve almeno un'altra copia su un supporto diverso.

Il cloud è sicuro?

Dipende dal servizio e da come lo usi. Un fornitore serio protegge i suoi sistemi, ma un account con password debole e senza verifica in due passaggi resta il punto debole. Attivala sempre.

Quanto spazio mi serve?

Guarda quanto occupano le cartelle da salvare e scegli un disco di dimensione almeno doppia, così hai spazio per le versioni nel tempo. Un disco esterno di capacità media basta per la maggior parte delle segreterie.

Posso tenere il disco esterno sempre collegato per comodità?

Meglio di no. Se è sempre collegato, un ransomware lo raggiunge e lo cifra. Collegalo per la copia e poi scollegalo.

Ogni quanto devo provare il ripristino?

Più spesso all'inizio, per essere sicuro che tutto funzioni, e poi a intervalli regolari decisi da te. L'importante è farlo davvero e annotarlo.

I dati nel backup sono soggetti alla privacy?

Sì. Le copie contengono gli stessi dati personali degli originali, quindi vanno protette con gli stessi criteri: accesso limitato, cifratura e smaltimento sicuro.

Glossario della lezione

Le parole che incontri in questa lezione, spiegate in una riga.

Per approfondire

Le fonti usate per costruire questa dispensa: se un dato ti interessa, vai alla fonte e verificalo.

Agenzia per la Cybersicurezza Nazionale (ACN)

indicazioni e buone pratiche sulle copie di sicurezza e sulla difesa dal ransomware

Microsoft, documentazione di Windows 11

Backup di Windows, Cronologia file e Sicurezza di Windows

Polizia Postale e delle Comunicazioni

consigli per la sicurezza dei dati

1. Che cos'è un dato personale

In una segreteria passano ogni giorno nomi, telefoni, indirizzi, voti, certificati. Ogni foglio racconta qualcosa di una persona vera.

Immagina Marta, che lavora nella segreteria dell'Istituto Esempio. Una famiglia le chiede di mandare per mail la scheda di un alunno. Marta ha fretta e sbaglia indirizzo. Un file con nome, classe e note sulla salute finisce a uno sconosciuto. Non c'è stato nessun attacco informatico, ma è comunque una violazione della privacy.

La privacy (parola inglese che indica il diritto alla riservatezza) in Europa è tutelata da due testi. Il primo è il Regolamento UE 2016/679, chiamato GDPR (dall'inglese General Data Protection Regulation), valido in tutti gli Stati dell'Unione e applicato dal 25 maggio 2018. Il secondo è il Codice in materia di protezione dei dati personali, cioè il decreto legislativo 196 del 2003, aggiornato nel 2018 per adeguarlo al GDPR. In Italia si applicano insieme.

1.1 Il dato personale

Un dato personale è qualsiasi informazione che riguarda una persona fisica identificata o identificabile. Non serve il nome: basta che da quell'informazione si possa risalire a chi è.

Diagramma

Tre livelli di delicatezza dei dati

Tre livelli di delicatezza dei dati

DIETRO OGNI DATO C'È UNA PERSONA

Dati personali e categorie particolari, con le icone dei dati comuni e di quelli delicati

Un'informazione identificabile riguarda una persona.

2. Chi è chi e quali sono le regole

La legge dà un nome a ogni ruolo. Sapere chi è chi serve a capire a chi rivolgersi quando qualcosa va storto.

Diagramma

I ruoli previsti dalla legge

I ruoli previsti dalla legge

• Interessato: la persona a cui i dati si riferiscono (l'alunno, il cliente, il paziente);
• Titolare del trattamento: chi decide perché e come si usano i dati, cioè la scuola, lo studio, l'azienda. È il titolare a rispondere davanti alla legge;
• cloud.">Responsabile del trattamento: chi tratta i dati per conto del titolare, per esempio il fornitore del gestionale o del cloud;
• Persona autorizzata: tu, quando lavori in segreteria e tratti dati seguendo le istruzioni ricevute;
• Garante per la protezione dei dati personali" data-def="L'autorità italiana indipendente che controlla il rispetto della privacy.">Garante per la protezione dei dati personali: l'autorità italiana indipendente che controlla il rispetto delle regole (in inglese, the Italian Data Protection Authority).

CHI FA COSA CON I DATI

Mappa dei cinque ruoli: interessato, titolare, responsabile, autorizzato e Garante

Ruoli diversi, responsabilità diverse.

2.1 I principi in parole semplici

Il GDPR (articolo 5) fissa alcuni principi che puoi tradurre in abitudini quotidiane.

I PRINCIPI DIVENTANO ABITUDINI

Cinque principi della privacy come abitudini quotidiane

Scopo preciso, minimo necessario, esattezza, durata e sicurezza.

QUESTO DATO SERVE DAVVERO?

Modulo di iscrizione sportiva con il campo sul reddito dei genitori evidenziato da una lente

Chiedi soltanto informazioni pertinenti allo scopo.

2.2 Perché la legge conta

Chi non rispetta le regole rischia sanzioni amministrative. Per le violazioni più gravi il GDPR (articolo 83) prevede importi che possono arrivare a 20 milioni di euro o, per le imprese, al 4 per cento del fatturato mondiale annuo, se è più alto. Per altre violazioni, come quelle sugli obblighi di sicurezza e di notifica, il massimo è 10 milioni di euro o il 2 per cento. Ma c'è un motivo più concreto: dietro ogni dato c'è una persona che può subire un danno.

3. Le buone prassi in ufficio

La maggior parte delle violazioni della privacy non nasce da un attacco: nasce da una distrazione.

3.1 Raccogli e usa solo i dati necessari

Prima di chiedere un dato, domandati a che cosa serve. Se non sai rispondere, probabilmente non serve. Meno dati hai, meno dati puoi perdere.

3.2 Documenti in vista e stampanti

Una pratica sulla scrivania, vista da chi passa, è già una piccola violazione. Lo stesso vale per i fogli dimenticati nella stampante, che chiunque può prendere e leggere.

• a fine giornata riponi le pratiche in armadi o cassetti chiusi a chiave;
• quando ti alzi, blocca lo schermo con i tasti Windows e L (ne abbiamo parlato nella lezione sui dispositivi);
• dopo aver stampato, ritira subito i fogli; se la stampante ha la stampa protetta con codice, usala;
• per i documenti da buttare usa il distruggidocumenti, non il cestino;
• non lasciare password su post-it e non lasciare fogli con dati sul tavolo durante le visite.

DATI PROTETTI ANCHE SULLA SCRIVANIA

Quattro gesti: chiudi l'armadio, blocca lo schermo, ritira le stampe, distruggi i fogli

Armadi chiusi, schermi bloccati, stampe ritirate e scarti protetti.

3.3 La copia nascosta (Ccn)

Quando mandi una mail a molte persone che non si conoscono tra loro, gli indirizzi sono dati personali. Se li metti nel campo "A" o "Cc" (copia conoscenza), tutti vedono gli indirizzi di tutti. Usa il campo Ccn (copia conoscenza nascosta, in inglese Bcc), che nasconde i destinatari agli altri.

MAIL A MOLTI? USA CCN

Confronto tra il campo A, che mostra l'elenco a tutti, e il campo Ccn, che lo nasconde

Ccn evita di esporre gli indirizzi degli altri destinatari.

3.4 Prima di inviare, controlla

Molte violazioni nascono da un invio sbagliato: un destinatario simile, un allegato sbagliato. Prima di premere invio rileggi destinatario e allegato. Per i documenti molto delicati, come quelli sulla salute, valuta di proteggere il file con una password, comunicata a parte con un altro mezzo.

PRIMA DI INVIARE

Lente su destinatario e allegato, file protetto da lucchetto e chiave inviata a parte sul telefono

Rileggi destinatario e allegato; per dati delicati proteggi il file e separa la password.

4. La violazione dei dati e la notifica al Garante

Può capitare a chiunque, anche a chi è molto attento. Quello che conta è come si reagisce.

Il GDPR chiama Violazione dei dati personali" data-def="Un incidente che porta alla perdita, alla modifica, alla diffusione o all'accesso non autorizzato a dati di persone.">violazione dei dati personali (in inglese data breach) ogni violazione di sicurezza che provoca, in modo accidentale o illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali. Non serve un hacker.

• una chiavetta persa con elenchi di persone;
• una mail con allegati inviati alla persona sbagliata;
• un computer rubato o un portatile lasciato in auto;
• un Malware che cifra i file e chiede un riscatto per restituirli. Detto anche cryptolocker.">ransomware che cifra l'archivio dei clienti;
• un account della posta violato dopo un phishing;
• un faldone di pratiche buttato intero nel cestino.

NON SERVE UN HACKER

Quattro eventi: invio errato, perdita, furto e indisponibilità dei dati personali

Una violazione può nascere anche da un errore o da una perdita.

4.1 Le 72 ore

L'articolo 33 del GDPR dice che il titolare del trattamento deve notificare la violazione al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando ne è venuto a conoscenza. L'obbligo c'è a meno che sia improbabile che la violazione comporti un rischio per i diritti e le libertà delle persone. Se la notifica arriva più tardi, va spiegato il motivo del ritardo.

Diagramma

Che cosa succede dopo una violazione

Che cosa succede dopo una violazione

Il termine parte dal momento in cui il titolare ha la ragionevole certezza che sia avvenuta una violazione. Per questo il tuo compito è uno solo: avvisare subito il titolare o la persona che lui ha incaricato. Ogni ritardo tuo toglie tempo a chi deve decidere.

4.2 Che cosa tocca a te e che cosa tocca al titolare

Anche quando non notifica al Garante, il titolare deve documentare ogni violazione in un registro interno, con i fatti, le conseguenze e le misure adottate. Dunque, anche un piccolo incidente va segnalato: è il titolare a decidere che cosa farne.

VIOLAZIONE: IL TITOLARE VALUTA

Checklist: documentare ogni violazione, notificare al Garante se dovuto, informare gli interessati se il rischio è elevato

Il titolare valuta il rischio e gli obblighi; tutti i casi vanno documentati.

TU AVVISA SUBITO

Un operatore passa al titolare una scheda con che cosa, quando e quali dati, mentre Gianluca indica il piano contatto

Avvisa subito chi è incaricato e riferisci fatti precisi.

Esercitazione pratica

Una breve esercitazione sulla tua scrivania e sulla tua posta, con quello che hai già.

1. Guarda la tua scrivania e il tuo schermo come li vedrebbe un visitatore: che dati personali si vedono?
2. Scegli un modulo che usi (iscrizione, richiesta, scheda) e segna i dati che non servono davvero allo scopo.
3. Apri la tua posta e cerca l'ultima mail inviata a più persone: gli indirizzi erano in A, Cc o Ccn?
4. Scrivi in tre righe che cosa faresti se ti accorgessi di aver inviato un allegato alla persona sbagliata.
5. Chiedi a chi di dovere chi è il titolare nel tuo ufficio e a chi segnalare una violazione, e scrivi il nome in un posto che ritrovi.

Le domande che arrivano in aula

Anche un nome e un numero di telefono sono dati personali?

Sì. Nome, telefono, e-mail, indirizzo, foto e perfino una targa sono dati personali, perché permettono di risalire a una persona.

Devo avvisare il Garante se mi accorgo di una violazione?

No, tocca al titolare del trattamento, cioè all'ente per cui lavori. Il tuo compito è avvisarlo subito: è lui a valutare il rischio e a decidere se notificare al Garante entro 72 ore.

Le 72 ore contano dal momento in cui è successo?

Contano da quando il titolare ne è venuto a conoscenza. Per questo avvisare subito è così importante.

Il GDPR vale anche per un piccolo studio o per un'associazione?

Sì. Vale per chiunque tratti dati di persone, a prescindere dalle dimensioni. Cambia, in alcuni casi, la quantità di adempimenti, non la responsabilità.

Posso inviare via WhatsApp i documenti di un cliente?

Dipende dalle regole del tuo ente e dalla delicatezza dei dati. Per documenti con dati particolari, come quelli sulla salute, chiedi al titolare quale canale è autorizzato: non decidere da solo.

Che differenza c'è tra GDPR e Codice privacy?

Il GDPR è il regolamento europeo, uguale in tutta l'Unione. Il Codice è la legge italiana che lo completa, aggiornata nel 2018 per adeguarla al regolamento. Si applicano insieme.

Glossario della lezione

Le parole che incontri in questa lezione, spiegate in una riga.

Per approfondire

Le fonti usate per costruire questa dispensa: se un dato ti interessa, vai alla fonte e verificalo.

Regolamento (UE) 2016/679 (GDPR)

testo ufficiale su EUR-Lex; in particolare articoli 4, 5, 33, 34 e 83

Codice in materia di protezione dei dati personali, D.Lgs. 196/2003

come modificato dal D.Lgs. 101/2018

Garante per la protezione dei dati personali

www.garanteprivacy.it: schede informative e procedura di notifica delle violazioni

Comitato europeo per la protezione dei dati (EDPB)

linee guida sulla notifica delle violazioni di dati personali

1. Il momento in cui te ne accorgi

Prima o poi capita a tutti: un clic di troppo, un allegato aperto di fretta, uno schermo che si comporta in modo strano.

Immagina Marta, che lavora nella segreteria di una scuola. Riceve una mail che sembra della banca dell'istituto, clicca sul link, inserisce le credenziali e solo dopo nota che l'indirizzo della pagina era strano. Il cuore accelera. Cosa fa?

La reazione più comune è una di queste due: far finta di niente sperando che passi, oppure fare molte cose insieme e senza ordine. Sono entrambe sbagliate. Nel primo caso il problema cresce nel silenzio, nel secondo si rischia di cancellare proprio le tracce che servirebbero a capire che cosa è successo.

La buona notizia è che esiste una sequenza semplice, da imparare una volta sola. Sono quattro passi, sempre gli stessi, qualunque sia l'incidente.

SE SUCCEDE: QUATTRO PASSI

Quattro tappe in sequenza: isola, avvisa, proteggi gli accessi, conserva e segnala.

Se succede: isola, avvisa, proteggi gli accessi, conserva e segnala

1.1 I segnali che qualcosa non va

Non sempre l'incidente si annuncia con una schermata minacciosa. Spesso i segnali sono piccoli e vanno presi sul serio.

• hai cliccato un link o aperto un allegato e subito dopo succede qualcosa di insolito;
• i file hanno cambiato nome o estensione, oppure non si aprono più;
• compare un messaggio che chiede un riscatto in denaro;
• il computer è improvvisamente lentissimo o si comporta da solo;
• ti avvisano che dal tuo indirizzo di posta partono mail che non hai scritto;
• ricevi un avviso di accesso al tuo account da un luogo o da un dispositivo che non riconosci;
• vedi sul conto movimenti che non hai fatto.

2. I quattro passi, uno alla volta

Ecco la sequenza completa. Poi la vediamo con calma, passo per passo.

2.1 Primo passo: isolare

Isolare vuol dire togliere il dispositivo dalla rete. Se il computer è collegato con un cavo, scollegalo. Se usa il Wi-Fi, spegni il Wi-Fi dalle impostazioni rapide di Windows 11 oppure attiva la modalità aereo. In questo modo un eventuale programma dannoso non può né diffondersi agli altri computer dell'ufficio né comunicare con chi lo ha creato.

Se il dispositivo ha una chiavetta o un disco esterno collegato, scollega anche quelli: potrebbero essere i prossimi a essere colpiti. E se sospetti un Malware che cifra i file e chiede un riscatto per restituirli. Detto anche cryptolocker.">ransomware (il programma che blocca i file e chiede un riscatto), scollegare in fretta può salvare le copie di backup, se erano collegate.

Poi lascia il computer com'è. Non formattarlo, non reinstallare niente e non cancellare file di tua iniziativa. Se il tuo ufficio ha un referente informatico, sarà lui a decidere come procedere.

ISOLA IL DISPOSITIVO SOSPETTO

Portatile con Wi-Fi disattivato e cavo di rete scollegato, dischi esterni messi da parte, cartello Non formattare.

Scollega la rete e chiedi assistenza, senza formattare

2.2 Secondo passo: avvisare

È il passo che costa di più, perché ci si vergogna. Eppure è il più importante. Più passa il tempo, più il danno si allarga: l'attaccante usa gli accessi che ha ottenuto per muoversi in altri sistemi, scrivere ai tuoi contatti o svuotare un conto.

Avvisa nell'ordine giusto. Prima il responsabile dell'ufficio o il referente informatico. Poi, se è stato coinvolto un conto o una carta, la banca, con il numero ufficiale che trovi sul sito o sul retro della carta (non quello scritto nella mail sospetta). Se la tua mail è stata usata per truffare altri, avvisa anche i tuoi contatti più importanti, con un messaggio breve: «Ignorate le mail strane arrivate dal mio indirizzo».

AVVISA SUBITO

Una persona preoccupata viene accolta dal referente; accanto, il ramo con telefono, banca e carta con il numero ufficiale.

Avvisa il responsabile; se ci sono soldi coinvolti, chiama la banca al numero ufficiale

2.3 Terzo passo: cambiare password e verifica in due passaggi

Se hai inserito una password in una pagina sospetta, quella password è da considerare compromessa. Cambiala subito sul sito vero (digitando tu l'indirizzo o usando un preferito, mai un link ricevuto). Poi cambia anche tutte le altre password che erano uguali o simili: chi ne ha una prova subito con gli altri servizi.

Fai il cambio da un dispositivo pulito, cioè da uno che non è quello sospetto: il tuo telefono, se non è coinvolto, o il computer di un collega. Se un programma spia (spyware) è rimasto sul computer, cambiare le password da lì le consegnerebbe di nuovo a chi ti spia.

CAMBIA DA UN DISPOSITIVO PULITO

Il computer sospetto è fermato dallo stop; il telefono pulito apre il sito vero e cambia la chiave.

Cambia le credenziali da un dispositivo affidabile e dal sito vero

Poi controlla la verifica in due passaggi (la seconda prova di identità, come il codice nell'app). Assicurati che sia attiva sugli account importanti: posta, banca, servizi dell'ente. Controlla anche che non siano comparsi dispositivi sconosciuti tra quelli autorizzati e, se il servizio lo permette, esci da tutte le sessioni aperte.

CONTROLLA CHI PUÒ ANCORA ENTRARE

Schermata dell'account di posta con tre aree da controllare e due segnalazioni da verificare con il referente.

Controlla verifica in due passaggi, dispositivi autorizzati e inoltri sospetti

2.4 Quarto passo: conservare le prove e segnalare

Prima di cancellare la mail truffa, il messaggio o la schermata, conservane una copia: salva la mail come file, fai una fotografia dello schermo con il telefono, annota giorno, ora e che cosa hai fatto. Sono tue note, scritte a caldo: dopo una settimana non ti ricorderai nulla.

PRIMA DI CANCELLARE, CONSERVA

Gianluca indica una cartella con mail originale, foto dello schermo e giorno e ora, lontano dal cestino.

Conserva il messaggio, la foto dello schermo e giorno e ora

Poi segnala. In Italia il riferimento per i reati informatici è la Polizia Postale e delle Comunicazioni, la parte della Polizia di Stato che si occupa di crimini commessi online. Il suo portale, il Commissariato di Polizia di Stato online (commissariatodips.it), ti permette di scegliere tra più strade.

SEGNALAZIONE E DENUNCIA SONO DIVERSE

Due colonne a confronto: la segnalazione è un messaggio, la denuncia è un documento formale presso la Polizia.

Una segnalazione non equivale a una denuncia formale

3. Che cosa non fare

Nel panico si fanno cose che sembrano utili e invece peggiorano la situazione.

Diagramma

Confronto tra le azioni giuste e quelle sbagliate dopo un incidente.

Che cosa fare e che cosa non fare

3.1 Gli errori più frequenti

• Far finta di niente. Il silenzio è l'errore più costoso, perché dà tempo all'attaccante.
• Pagare un riscatto. Non c'è garanzia che i file tornino, e il pagamento finanzia altri attacchi e segna la tua azienda come cliente disponibile.
• Rispondere ai ricattatori o richiamare il numero del messaggio. Ogni risposta conferma che l'indirizzo è attivo.
• Cancellare mail, file o cronologia per «pulire». Distruggi le prove.
• Formattare il computer subito. Se lo fai prima di aver capito cosa è successo, non saprai cosa è stato rubato.
• Cambiare le password dal computer infetto. Le consegni di nuovo a chi ti spia.
• Chiamare il numero scritto nella mail o nel messaggio per «verificare». Cerca sempre il numero ufficiale tu.

EVITA DI PEGGIORARE IL DANNO

Quattro icone barrate: tacere, pagare il riscatto, cancellare le prove, formattare da soli.

Non tacere, non pagare, non cancellare le prove, non formattare da soli

4. Tre casi pratici

La teoria è semplice. Vediamola applicata a tre situazioni da ufficio. I nomi sono di fantasia.

4.1 Caso 1: il link falso nella segreteria scolastica

Marta, della segreteria dell'Istituto Esempio, clicca su un link ricevuto per mail e inserisce le credenziali della posta. Si accorge che il dominio era sbagliato: ente-esempio.it diventava ente-esempio.com.

• Isola: chiude la pagina e scollega il computer dal Wi-Fi.
• Avvisa: lo dice subito al dirigente scolastico e al referente informatico, senza aspettare.
• Cambia: dal telefono cambia la password della posta e controlla che la verifica in due passaggi sia attiva; controlla le regole di inoltro, che gli attaccanti usano per ricevere copia della posta.
• Conserva e segnala: salva la mail truffa e annota l'ora; la scuola fa una denuncia.">segnalazione alla Polizia Postale.

Risultato: l'accesso è chiuso prima che l'attaccante lo usi. Marta non è stata punita, anzi: la scuola ha avvisato gli altri colleghi che stava circolando quella mail.

4.2 Caso 2: il ransomware nello studio

Al piccolo studio di consulenza Rossi e Soci, un lunedì mattina i file condivisi non si aprono più e compare un messaggio che chiede un pagamento. Giulia, la segretaria, non tocca nulla e non prova a «sistemare» da sola.

• Isola: scollega il cavo di rete e chiede a tutti di fare lo stesso; scollega anche il disco esterno dei backup.
• Avvisa: chiama il titolare e il tecnico di fiducia.
• Cambia: si cambiano da un dispositivo pulito le password della posta e dei servizi online.
• Conserva e segnala: si fotografa il messaggio del riscatto e si presenta denuncia alla Polizia Postale.

Lo studio non paga. Il disco di backup era scollegato dalla settimana prima, perciò il tecnico ripristina i dati dall'ultima copia sana. Si perdono alcuni giorni di lavoro, non tutto. Qui si vede perché la lezione sul backup è la vera assicurazione.

4.3 Caso 3: la mail al destinatario sbagliato

In un ufficio, Luca invia per errore a un indirizzo esterno un elenco con nomi, codici fiscali e dati di contatto di alcune persone. Non c'è nessun attaccante, ma è comunque una Violazione dei dati personali" data-def="Un incidente che porta alla perdita, alla modifica, alla diffusione o all'accesso non autorizzato a dati di persone.">violazione dei dati personali.

Che cosa fa? Avvisa subito il titolare del trattamento (cioè chi decide come si usano i dati dell'ente). Prova a richiamare il messaggio e chiede al destinatario, per iscritto, di cancellarlo senza aprirlo. Annota che cosa è successo. Sarà il titolare a valutare se sia necessario notificare la violazione al Garante, come vediamo nell'ultima sezione.

5. Dopo l'incidente

Quando l'emergenza è passata, resta il lavoro più utile: capire e migliorare. Un incidente gestito bene è una lezione che costa meno di quella che arriverebbe la volta dopo.

Diagramma

Ciclo di quattro tappe dopo l'incidente: capire, ripristinare, notificare se serve, migliorare.

Dopo l'incidente: dal ripristino al miglioramento

5.1 Capire e ripristinare

Insieme al referente informatico ricostruite i fatti: che cosa è stato colpito, che cosa è stato visto o portato via, da dove è entrato l'attaccante. Solo dopo si ripristina, con i backup e su un sistema ripulito. Ripristinare prima di aver chiuso la porta d'ingresso significa ricevere lo stesso attacco una seconda volta.

RIPARTIRE SENZA RIAPRIRE LA FALLA

Quattro tappe: capire, chiudere l'accesso, ripristinare su sistema pulito, migliorare insieme.

Capisci la causa, chiudi l'accesso, ripristina su un sistema pulito, migliora

5.2 Se sono coinvolti dati di persone

Quando l'incidente riguarda dati personali, entra in gioco il GDPR (il regolamento europeo sulla protezione dei dati) e scatta il dovere di valutare la violazione. A farlo è il titolare del trattamento, non il singolo dipendente: tu avvisi subito, lui decide.

• la violazione va notificata al Garante per la protezione dei dati personali" data-def="L'autorità italiana indipendente che controlla il rispetto della privacy.">Garante per la protezione dei dati personali, l'autorità italiana che controlla la privacy, senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando il titolare ne è venuto a conoscenza;
• la notifica non serve se è improbabile che la violazione comporti un rischio per i diritti e le libertà delle persone;
• la notifica oltre le 72 ore è possibile, ma bisogna spiegare i motivi del ritardo;
• oggi la notifica si fa con la procedura telematica sul sito del Garante;
• se il rischio per le persone è elevato, vanno informati anche gli interessati, cioè le persone a cui i dati si riferiscono;
• ogni violazione va comunque annotata in un registro interno, anche quando non viene notificata.

DATI PERSONALI? AVVISA IL TITOLARE

Flusso da operatore a titolare a valutazione del rischio, con notifica al Garante, informazione alle persone e documentazione.

Il titolare valuta il rischio, notifica e informa le persone quando serve

5.3 Imparare e migliorare

Chiudi con un breve confronto, senza cercare colpevoli. Che cosa ha permesso l'incidente? Una password debole, un aggiornamento rimandato, un backup mai provato? Scegli una o due azioni concrete e fissa chi le farà. Poi racconta l'accaduto ai colleghi: un incidente ben raccontato ai colleghi vale più di mille avvisi generici.

PREPARA IL FOGLIO PER L'EMERGENZA

Gianluca indica un foglio con i quattro passi e la colonna Chi contatto, ancora da compilare.

Scrivi il promemoria e i contatti prima che servano

Esercitazione pratica

Una breve esercitazione per preparare, adesso e con calma, il piano che ti servirà se un giorno ti trovi nei guai.

1. Prendi un foglio e scrivi in alto «Se succede». Sotto, elenca i quattro passi con parole tue.
2. Accanto al passo «Avvisare», scrivi il nome e il numero della persona da chiamare nel tuo ufficio o in famiglia.
3. Cerca sul sito ufficiale della tua banca il numero per bloccare carte e conti e annotalo sul foglio.
4. Apri commissariatodips.it e guarda dove si trovano la denuncia.">segnalazione online e la denuncia per reati telematici; annota l'indirizzo.
5. Prova a trovare nelle impostazioni rapide di Windows 11 il pulsante per spegnere il Wi-Fi o attivare la modalità aereo.
6. Appendi il foglio vicino alla postazione o salvalo in un posto sicuro.

Le domande che arrivano in aula

Ho cliccato un link ma non è successo niente. Devo fare qualcosa?

Sì, almeno avvisare e controllare. Alcuni programmi dannosi non si vedono. Scollega il dispositivo, avvisa il referente, cambia la password se l'hai inserita e controlla gli accessi recenti all'account.

Posso spegnere il computer subito?

Scollegarlo dalla rete è la prima cosa. Spegnerlo è una scelta che dipende dal caso: chiedi al referente informatico. L'importante è non formattarlo né reinstallare nulla prima di aver capito cosa è successo.

Devo per forza denunciare alla Polizia Postale?

Se hai subito un danno, per esempio una truffa con perdita di denaro o un furto di identità, conviene denunciare. In altri casi puoi inviare una segnalazione online. Se hai dubbi, il portale permette di chiedere informazioni.

La notifica al Garante tocca a me?

No, spetta al titolare del trattamento, cioè chi decide come si usano i dati dell'ente. Il tuo compito è avvisarlo subito, perché i termini partono da quando lui ne viene a conoscenza.

Posso pagare il riscatto se non ho il backup?

È sconsigliato. Non c'è garanzia di riavere i file e si finanziano altri attacchi. Prima di decidere fai valutare il caso a un tecnico e valuta la denuncia.

Come faccio a sapere se mi hanno rubato i dati?

Non sempre si può sapere subito. Controlla gli accessi recenti agli account, gli avvisi della banca e le regole di inoltro della posta. In caso di dubbio chiedi aiuto a un tecnico.

Glossario della lezione

Le parole che incontri in questa lezione, spiegate in una riga.

Per approfondire

Le fonti usate per costruire questa dispensa: se un dato ti interessa, vai alla fonte e verificalo.

Commissariato di Polizia di Stato online (Polizia Postale e delle Comunicazioni), commissariatodips.it

segnalazione online, denuncia per reati telematici, informazioni; consultato a ottobre 2026

Garante per la protezione dei dati personali, pagina sulle violazioni di dati personali (data breach)

termine di 72 ore, procedura telematica, registro interno; consultato a ottobre 2026

Regolamento (UE) 2016/679 (GDPR), articoli 33 e 34

notifica all'autorità di controllo e comunicazione agli interessati

1. Il percorso in breve

Sei arrivato fino in fondo. Rimettiamo in fila quello che hai imparato.

Il percorso

Mappa del corso in tre aree: capire i rischi, costruire le difese, reagire

Dalle minacce alle difese, fino alla risposta agli incidenti.

Il filo è uno solo: le minacce (lezioni da 1 a 4) sfruttano quasi sempre una distrazione, le difese (da 5 a 8) servono a ridurre il danno quando la distrazione c'è stata, e l'ultima lezione ti dice che cosa fare quando le difese non bastano.

Diagramma

Il percorso del corso

Il percorso fatto: dalle minacce alle difese, fino alla reazione

2. Le conclusioni

Se dovessi ricordare solo quattro cose, sarebbero queste.

1. L'errore umano è il rischio principale, quindi la formazione è la difesa migliore (lezione 1). Non serve essere tecnici, serve fermarsi un momento.
2. Fermati e controlla (lezioni 3 e 4). Mittente, fretta, link e allegato: quattro domande bastano a fermare la maggior parte delle truffe.
3. Le difese si sommano (lezioni 5, 6 e 7). Password lunghe e verifica in due passaggi, aggiornamenti, malware).">antivirus, firewall e altri controlli, basata su Microsoft Defender.">Sicurezza di Windows, backup con la regola 3-2-1: nessuna è perfetta, insieme funzionano.
4. I dati sono delle persone (lezioni 8 e 9). Trattali con cura e, se qualcosa va storto, avvisa subito: il tempo conta.

Quattro idee

Quattro card: impara, fermati e controlla, somma le difese, avvisa presto per i dati di persone

Formazione, attenzione, difese complementari e cura delle persone.

Abitudine

Ciclo quotidiano di quattro gesti, fermati, controlla, proteggi, avvisa, con Gianluca che saluta

Fermati, verifica, proteggi i dati e avvisa presto.

3. Gli errori più comuni da evitare

Sono quelli che ricorrono più spesso nelle domande delle lezioni.

Cinque errori

Cinque errori da evitare: cliccare di fretta, riutilizzare password, una sola copia, pagare il riscatto, improvvisare da soli

Riconosci gli errori che possono indebolire le altre difese.

4. E adesso?

Un corso serve se cambia quello che fai domani. Ecco un piano semplice.

Diagramma

Prima settimana, primo mese, ogni mese

Il piano d'azione

4.1 La prima settimana

• attiva la password, per entrare in un servizio.">verifica in due passaggi sulla posta e sul cloud;
• cambia le password più importanti con frasi lunghe e diverse;
• controlla che malware).">antivirus, firewall e altri controlli, basata su Microsoft Defender.">Sicurezza di Windows e gli aggiornamenti automatici siano attivi;
• prendi l'abitudine di premere Windows più L quando ti alzi.

4.2 Il primo mese

• organizza il backup con la regola 3-2-1 e prova a ripristinare un file;
• rivedi chi può vedere quali dati nel tuo lavoro;
• scrivi su un foglio i quattro passi da seguire se succede un incidente e a chi telefonare;
• racconta ai colleghi una cosa che hai imparato.

Il piano

Due colonne con caselle da spuntare: le azioni di questa settimana e quelle di questo mese

Questa settimana proteggi gli accessi e aggiorna; questo mese prova backup e piano.

4.3 Come continuare a imparare

Le minacce cambiano, i principi no. Rileggi di tanto in tanto le dispense, guarda i siti ufficiali del Garante per la protezione dei dati personali" data-def="L'autorità italiana indipendente che controlla il rispetto della privacy.">Garante per la protezione dei dati personali (www.gpdp.it) e della Polizia Postale e delle Comunicazioni (www.commissariatodips.it), e scrivi a info@gianlu.it se hai dubbi o vuoi un corso su un tema che manca.

Autovalutazione

Una lista di controllo per vedere dove sei. Rispondi sì o no.

1. Ho attivato la verifica in due passaggi sulla posta?
2. Ho una password diversa e lunga per i servizi importanti?
3. Gli aggiornamenti di Windows sono automatici e Sicurezza di Windows mostra le spunte verdi?
4. Ho almeno tre copie dei miei dati, su due supporti, una fuori sede?
5. Ho provato a ripristinare un file dal backup?
6. So che cosa fare e chi avvisare se succede un incidente?

Le domande che arrivano in aula

Da dove comincio se ho poco tempo?

Dalla verifica in due passaggi sulla posta e da una password lunga per il servizio più importante: sono le due mosse che danno più protezione con meno fatica.

Basta aver seguito il corso per essere al sicuro?

No: la sicurezza totale non esiste. Il corso riduce molto il rischio e ti prepara a reagire bene quando succede qualcosa.

Quanto spesso devo ripassare?

Una rilettura delle dispense ogni tanto, e un controllo del backup e degli aggiornamenti ogni mese.

Posso consigliare il corso ai colleghi?

Certo: le dispense sono pensate anche per questo. Una squadra che segue le stesse regole è molto più difficile da ingannare.

Glossario della lezione

Le parole che incontri in questa lezione, spiegate in una riga.

Per approfondire

Le fonti usate per costruire questa dispensa: se un dato ti interessa, vai alla fonte e verificalo.

Garante per la protezione dei dati personali

www.gpdp.it

Polizia Postale e delle Comunicazioni

www.commissariatodips.it

Sicurezza di Windows

guida integrata nell'app (Start, Sicurezza di Windows)