Un messaggio può chiedere di aprire un allegato, inserire credenziali o modificare un pagamento con apparente urgenza. Il nome visualizzato del mittente e un testo convincente non bastano a dimostrare l’autenticità della richiesta. La verifica va organizzata prima che serva.
La guida NIST sul phishing richiama l’attenzione ai messaggi che sollecitano azioni su dati, account o denaro. Per l’impresa, propongo di definire quali richieste richiedano una conferma attraverso un contatto già conosciuto, distinto da quello fornito nel messaggio sospetto.
Un esempio ipotetico è la comunicazione di nuove coordinate di un fornitore. Prima di agire, la persona incaricata può utilizzare il percorso di verifica stabilito dall’organizzazione. La procedura deve essere praticabile anche quando chi segue abitualmente la relazione è assente.
È utile rendere semplice la segnalazione di dubbi, senza aspettare la certezza di un attacco. Chi riceve una richiesta sospetta dovrebbe sapere a chi rivolgersi e quali informazioni conservare. La formazione può utilizzare esempi controllati e aggiornati. Il risultato desiderato è una pausa di verifica proporzionata alle conseguenze dell’azione, capace di ridurre la pressione dell’urgenza e di coinvolgere le persone competenti prima della decisione.