Il messaggio sembra arrivare dalla banca. Dice che un pagamento è stato bloccato e che bisogna confermare l’identità entro dieci minuti. Il logo è corretto, il tono è educato e il collegamento assomiglia a quello vero. È proprio questo il momento in cui non serve essere più veloci: serve uscire dalla scena preparata da chi scrive. Phishing significa fingere l’identità di un soggetto affidabile per ottenere password, codici, denaro o l’apertura di un file. Le versioni moderne possono essere grammaticalmente perfette e personalizzate; cercare soltanto errori di italiano non basta più. FBI, FTC e centri nazionali di sicurezza ripetono la stessa regola: non aprire collegamenti o allegati inattesi e verificare il mittente attraverso un canale indipendente. ChatGPT può diventare un secondo paio di occhi, non il pulsante che decide se fidarsi. Può scomporre il testo, mettere in evidenza l’urgenza artificiale, riconoscere richieste insolite e suggerire quali prove cercare. Non può sapere da una frase se il server della banca abbia davvero generato l’avviso, né deve visitare per voi un indirizzo sospetto.
Perché è importante
- Un assistente può rendere visibili pressione, richieste anomale e contraddizioni che l’urgenza del messaggio spinge a ignorare.
- Non bisogna caricare password, codici, documenti, dati bancari o collegamenti attivi: il testo va prima anonimizzato.
- L’AI non certifica l’autenticità. La decisione finale nasce dal contatto con l’ente o la persona attraverso un canale ufficiale indipendente.
Il primo strumento non è l’AI: è una pausa di trenta secondi
Per questa guida servono cinque minuti, il testo del messaggio e un accesso a ChatGPT. Non fate screenshot se mostrano nome, numero di conto, indirizzo, codice cliente, QR code o notifiche private. Copiate il testo in una nota e sostituite ogni dato con etichette come [NOME], [BANCA] e [IMPORTO]. Trasformate `https://` in `hxxps://` e aggiungete spazi intorno ai punti, così l’indirizzo non resta cliccabile. Non incollate mai password, PIN, codici di autenticazione, chiavi di recupero o documenti.
Il prompt pronto da copiare
Prima di inviare, rileggi il testo anonimizzato e chiediti se un estraneo potrebbe identificare te, un cliente o un familiare. Se la risposta è sì, rimuovi ancora. Per una conversazione occasionale puoi usare Chat temporanea: OpenAI indica che non appare nella cronologia, non crea memorie, non viene usata per migliorare i modelli e può essere conservata fino a trenta giorni per ragioni di sicurezza. È una precauzione utile, non un permesso a condividere segreti. In un ambiente aziendale segui le regole dell’organizzazione e, se il messaggio contiene dati di lavoro, usa soltanto strumenti approvati.
La prima risposta dovrebbe mostrare il meccanismo del messaggio. Se l’assistente scrive soltanto “sembra una truffa”, continua con: “Per ogni segnale, cita la frase che lo sostiene e indica un’ipotesi innocua alternativa”. Questo riduce il rischio che il modello trasformi una sensazione in certezza. Poi chiedi: “Quale fatto esterno distinguerebbe le due ipotesi senza interagire con il mittente?”. Il risultato utile non è un voto colorato; è una verifica che puoi eseguire in sicurezza.
Cosa puoi farci concretamente
- Non rispondere, non aprire allegati e non toccare collegamenti presenti nel messaggio.
- Copia soltanto il testo, sostituisci i dati personali e rendi gli indirizzi web non cliccabili prima di usare il prompt.
- Verifica la richiesta entrando nell’app ufficiale o chiamando un numero già noto, mai quello fornito nello stesso messaggio.
Quello che conta adesso
Se il messaggio riguarda la banca, chiudi la conversazione e apri l’app già installata o digita manualmente l’indirizzo conosciuto. Se parla di un pacco, entra nell’ordine originale del negozio; non copiare il codice di tracciamento in un sito proposto dall’SMS. Se sembra scritto da un familiare o da un collega, chiama il numero salvato in rubrica o usa una domanda concordata. Nelle truffe con video e voci deepfake abbiamo visto perché volto e voce non bastano: la procedura indipendente vale più dell’impressione. Un errore comune è chiedere all’AI di visitare il collegamento per vedere se è sicuro. Non fatelo. Un sito può cambiare contenuto, registrare accessi, avviare download o mostrare una pagina diversa secondo il dispositivo. Un altro errore consiste nel mandare lo screenshot completo: oltre ai dati visibili, può contenere notifiche, fotografie e informazioni di contesto. Il terzo errore è fidarsi del mittente mostrato. Numeri e nomi possono essere falsificati o inseriti in una conversazione esistente dopo la compromissione di un account.
Se hai già cliccato ma non hai inserito nulla, chiudi la pagina, aggiorna il dispositivo e controlla download e app installate. Se hai comunicato una password, cambiala partendo dal sito ufficiale e da un dispositivo affidabile; se la riutilizzavi altrove, cambia anche gli altri account. Se hai fornito un codice a due fattori o dati bancari, contatta immediatamente il servizio o la banca dai recapiti ufficiali. Conserva una copia del messaggio per la segnalazione, senza continuare a conversare con il mittente. La nostra guida su come verificare una fotografia sospetta applica la stessa idea: ricostruire origine e contesto, non affidarsi a un unico indizio. ChatGPT può rallentare l’impulso e trasformare un testo minaccioso in domande controllabili. Il suo limite coincide con il suo valore: vede ciò che gli fornisci, non ciò che è successo davvero nei sistemi dell’ente. Se il verdetto è “non verificabile”, non è un fallimento. È il punto esatto in cui smetti di indovinare e passi al canale ufficiale.
Fonti
Documenti, comunicati e pubblicazioni consultati per ricostruire dati e contesto.
