Controlla se puoi cliccare in sicurezza

Per capire se un sito web è sicuro, inizia analizzando l’URL con uno strumento di scansione come Avast Link Checker. Controlla sempre manualmente la barra degli indirizzi per verificare la crittografia HTTPS ed esamina con attenzione il dominio per riconoscere il "typosquatting" (come goog1e.com invece di google.com).

I siti legittimi dovrebbero includere informazioni di contatto chiare e un’informativa sulla privacy, mentre i segnali di allarme comprendono timer a conto alla rovescia aggressivi, grammatica scadente o prezzi "troppo belli per essere veri". In caso di dubbio, una rapida ricerca del nome del sito insieme alla parola "truffa" o "phishing" sulle piattaforme di recensioni di terze parti di solito chiarisce la situazione. Avast One può anche aiutarti a rimanere al sicuro online.

Cerca i segnali d’allarme dell’ingegneria sociale, come link non funzionanti, loghi a bassa risoluzione ed errori ortografici o grammaticali grossolani, comuni nelle operazioni di truffa gestite dall’estero. La presenza di HTTPS indica una connessione sicura. Tuttavia la crittografia protegge il percorso dei dati, ma non dice nulla sulle intenzioni del proprietario del sito.

Fai particolare attenzione alle tattiche di ingegneria sociale, come i timer a conto alla rovescia che creano un’impressione di urgenza, o i pop-up intrusivi che richiedono dati sensibili come le credenziali bancarie per un "premio a tempo limitato". Puoi anche utilizzare uno strumento di rilevamento delle truffe per controllare un sito web.

Inizia utilizzando uno strumento dedicato per la verifica della sicurezza dei link (come Google Transparency Report o Avast Link Checker) per scansionare l’URL alla ricerca di malware nascosto o phishing prima ancora di cliccare. Una volta sul sito, controlla la barra degli indirizzi del browser. Assicurati che la connessione sia protetta con HTTPS (cerca l’icona del lucchetto) e clicca sul lucchetto per visualizzare il certificato SSL. Se il certificato è intestato a un’azienda completamente diversa o è scaduto, abbandona immediatamente il sito.

Verifica quindi la "trasparenza del sito" cercando un indirizzo fisico dell’ufficio e un numero di telefono reale: i truffatori raramente lasciano tracce verificabili. Se ti trovi negli Stati Uniti o in Canada, verifica la reputazione del sito su piattaforme indipendenti come Trustpilot o Better Business Bureau. Presta molta attenzione ai prezzi "troppo belli per essere veri", ai pop-up "urgenti" sospetti e alle pubblicità dannose che ti spingono a condividere dati sensibili.

Infine, tieni d’occhio il typosquatting, ovvero piccoli errori ortografici nell’URL poco evidenti come amozon.com invece di amazon.com: un classico segno distintivo di un sito clonato progettato per rubare le tue credenziali.

Per verificare se un sito web è stato segnalato per frode, puoi utilizzare una combinazione di scanner tecnici e piattaforme di recensioni gestite dalla community. Inizia incollando l’URL in uno strumento di controllo dei link di un’azienda affidabile come Avast. Questi strumenti aggregano i report provenienti da decine di motori di sicurezza per identificare avvisi attivi di phishing, malware o siti ingannevoli.

Per le segnalazioni di "truffe" e frodi a danno dei consumatori, cerca il dominio su Trustpilot o su Better Business Bureau (negli Stati Uniti e in Canada) per verificare se altri utenti hanno segnalato l’azienda per mancata consegna o furto di identità.

Inoltre, controlla il database Whois per verificare se il sito è stato creato molto di recente (una caratteristica comune dei domini fraudolenti) oppure utilizza la lista di avvisi della FCA (nel Regno Unito) o della FTC (negli Stati Uniti) per verificare se il sito è stato ufficialmente inserito nella lista nera dalle autorità di regolamentazione finanziaria. Se ti imbatti in un sito dannoso, puoi bloccarlo su Chrome.

Gli strumenti gratuiti di verifica della sicurezza dei siti web di aziende come Avast e Norton sono affidabili e sicuri. Sono semplici e veloci da usare. Copia e incolla l’URL in uno strumento gratuito di controllo dei link per verificare se è segnalato nei database delle minacce. Puoi anche consultare Google Safe Browsing e segnalare i siti sospetti alle autorità.

Quando si fanno acquisti online, la carta di credito resta l'opzione più sicura grazie a un solido quadro normativo che generalmente consente di contestare addebiti o "errori di fatturazione". Le carte di debito, al contrario, prelevano i fondi direttamente dal conto corrente. Pur offrendo alcune protezioni, il processo di recupero può essere più lento e il contante effettivo risulta mancante dal conto durante le indagini della banca."

Inoltre, utilizza portafogli digitali (Apple Pay, Google Pay, PayPal) e carte virtuali. Questi servizi inviano al commerciante un codice crittografato monouso anziché l’effettivo numero a 16 cifre della carta. Questo garantisce che, se anche il sito web subisse in seguito una violazione dei dati, gli hacker otterrebbero solo un token inutile e scaduto, non i tuoi dati finanziari permanenti. Questi passaggi sono ottimi per mitigare l’impatto delle violazioni di dati dei commercianti. Infine, fai attenzione allo smishing, che si basa sull’inganno per indurti a eludere queste protezioni e a fornire direttamente i tuoi dati.

Posizionare il cursore del mouse sopra un link è uno dei metodi più efficaci e semplici per smascherare un tentativo di phishing prima ancora che abbia inizio. Se posizioni il cursore su un pulsante o su una parola con collegamento ipertestuale senza cliccare, nell’angolo in basso a sinistra della finestra del browser vedrai l’URL di destinazione effettivo. Se il pop-up mostra una stringa di caratteri casuali o un dominio che riporta in modo leggermente errato il nome del marchio (come micros0ft.com invece di microsoft.com), è pressoché certo: il sito utilizza la tecnica di spoofing del dominio per rubare le credenziali degli utenti.

Gli URL abbreviati possono rappresentare un particolare rischio, perché nascondono intenzionalmente la destinazione finale e rendono così impossibile "leggere" il link, anche posizionandoci sopra il cursore del mouse. Per questi o per qualsiasi altro link che potrebbe insospettirti, utilizza un servizio per espandere gli URL o uno strumento di controllo della sicurezza dei link come Avast o il Rapporto sulla trasparenza di Google. Questi strumenti agiscono come uno "scudo digitale", visitando il sito per tuo conto, alla ricerca di malware, script di phishing e reindirizzamenti ingannevoli prima che il tuo browser sia esposto alla minaccia. Potresti trovare utile questa risorsa aggiuntiva se desideri sapere anche come individuare le app contraffatte.

No, HTTPS (Hypertext Transfer Protocol Secure) non garantisce che un sito web sia affidabile o legittimo; garantisce solo che il "canale" tra il browser e il server sia crittografato. Sebbene ciò impedisca a terzi di "intercettare" i tuoi dati, non dice nulla sulle intenzioni delle persone che si trovano dall’altra parte.

La maggior parte dei siti di phishing e di truffa moderni utilizza ormai il protocollo HTTPS e visualizza l’icona del lucchetto per creare un falso senso di sicurezza. Un sito può essere perfettamente crittografato e allo stesso tempo essere una copia fraudolenta progettata per rubare i dati della tua carta di credito. Per verificare davvero un sito, devi andare oltre il lucchetto e controllare la presenza di URL con "typosquatting" (come g00gle.com), informazioni di contatto verificate e una reputazione del dominio consolidata nel tempo. Hai comunque bisogno di uno strumento antivirus affidabile come Avast One.

Gli avvisi del browser del tipo "sito non sicuro" sono un campanello d’allarme che ti avverte quando un sito web è segnalato per comportamento pericoloso o vulnerabilità tecniche. Il più grave è l’avviso "schermo rosso" (con etichetta "Sito ingannevole in vista" o "Sito pericoloso"), che viene attivato da servizi come Google Safe Browsing o Microsoft SmartScreen. Questo significa che il sito è stato attivamente identificato come ospitante malware, script di phishing progettati per rubare password o trappole di ingegneria sociale. Questi avvisi sono diventati via via più sofisticati, segnalando spesso pagine di phishing create con "intelligenza artificiale" o estensioni del browser dannose che tentano di dirottare la sessione.

Se visualizzi un avviso "Non sicuro" o un messaggio del tipo "La tua connessione non è privata", significa che il sito sta utilizzando un protocollo HTTP obsoleto anziché HTTPS crittografato, oppure che il suo certificato di sicurezza è scaduto o non valido. Browser come Chrome e Safari sono passati a uno standard "HTTPS-First", in cui anche i semplici siti HTTP pubblici attivano un avviso che può essere ignorato. Sebbene ciò non significhi necessariamente che il sito sia "pericoloso," implica che qualsiasi dato inserito, come un nome utente o un numero di carta di credito, possa essere facilmente intercettato dagli hacker presenti sulla stessa rete.

Se hai inserito informazioni su un sito fraudolento, interrompi la connessione tra l’aggressore e i tuoi account. Cambia immediatamente la password sul sito web ufficiale e, se la riutilizzi altrove, soprattutto per la posta elettronica o i servizi bancari, aggiorna anche quegli account. Attiva immediatamente l’autenticazione a due fattori (2FA).

Se hai condiviso dati finanziari come il numero di carta di credito o il codice CVV, utilizza l’app della banca per bloccare la carta e contatta il reparto antifrode della tua banca per segnalare la violazione e richiedere una nuova carta.

Se hai condiviso dati altamente sensibili, come il codice fiscale o l’indirizzo di casa, blocca il tuo credito presso le principali agenzie di credito per impedire ai truffatori di aprire nuovi conti a tuo nome. Inoltre, esegui una scansione completa del malware sul tuo dispositivo utilizzando uno strumento antivirus gratuito affidabile per assicurarti che nessun keylogger o script di tracciamento sia stato installato silenziosamente mentre visitavi il sito.

Infine, tieni d’occhio la casella di posta e gli estratti conto nelle prossime settimane, poiché le tue informazioni potrebbero essere vendute ad altri truffatori, con conseguente aumento dei tentativi di phishing mirati.

Adotta un approccio a “fiducia zero” per i link. Posiziona sempre il mouse sugli URL per visualizzarne la destinazione reale e utilizza uno strumento di controllo dei link in ambiente sandbox per scansionare gli indirizzi sospetti prima di cliccare. Puoi anche proteggerti con uno strumento di rimozione dei virus come Avast One.

Quando configuri l'accesso a un sito, valuta di implementare un sistema di autenticazione a più fattori (MFA) resistente al phishing, come chiavi hardware FIDO2 o chiavi di accesso biometriche (FaceID/TouchID). A differenza dei tradizionali codici SMS, che possono essere intercettati o falsificati, queste credenziali fisiche e biometriche si autenticano solo con il dominio autentico e registrato.