Navigare in sicurezza sul web: le abitudini che fanno davvero la differenza

. — Raramente ci fermiamo a considerare quante informazioni passano, in quei momenti, tra dispositivo, app e rete. Ed è proprio qui che nasce un equivoco comune: pensare che basti un buon antivirus, o un solo programma "miracoloso", per essere al sicuro. In realtà la protezione online funziona a strati: dispositivi aggiornati, password solide, occhio ai messaggi sospetti, impostazioni corrette e un minimo di attenzione a come e dove finiscono i propri dati.

C'è un altro dettaglio che spesso si sottovaluta: gli attacchi più efficaci non sono quelli tecnicamente sofisticati. Nella maggior parte dei casi puntano semplicemente a convincere la persona a fare qualcosa — aprire un allegato, leggere un codice al telefono, digitare la password su un sito clone. Per questo una navigazione davvero sicura non è mai solo questione di strumenti: è anche questione di abitudini.

Tenere aggiornati sistema, browser e app

Il primo passo, quello più banale eppure il più trascurato, è mantenere tutto aggiornato: sistema operativo, browser, app e, se possibile, anche il router di casa. Gli aggiornamenti non servono solo ad aggiungere funzioni nuove — spesso chiudono falle che altrimenti permetterebbero a qualcuno di eseguire codice sul dispositivo, rubare dati o prendere il controllo di un'app.

Vale la pena attivare gli aggiornamenti automatici ovunque sia possibile. E se un software non riceve più supporto, meglio sostituirlo: eventuali nuovi bug non verranno mai corretti.

Anche il browser merita un occhio di riguardo. Funzioni come Safe Browsing segnalano pagine pericolose, estensioni sospette, tentativi di phishing o download dannosi. Non sono infallibili, certo, ma rappresentano un filtro in più prima che un contenuto ostile arrivi davvero sul dispositivo.

Password uniche, e possibilmente passkey e doppio fattore

Riutilizzare la stessa password su più siti resta una delle abitudini più rischiose che esistano. Basta che le credenziali di un solo servizio finiscano in un elenco rubato perché qualcuno le provi, in automatico, su email, social, cloud e chissà cos'altro. Una violazione isolata può diventare, in poche ore, un disastro molto più ampio.

Ogni account dovrebbe avere una password lunga e diversa dalle altre. Ricordarle tutte a memoria è impensabile, ecco perché conviene affidarsi a un password manager affidabile: genera combinazioni casuali e compila i campi solo sui domini corretti, evitando così anche certe truffe da sito clonato. Il National Cyber Security Centre britannico lo dice chiaramente: questi strumenti rendono molto più semplice avere password uniche per ogni servizio.

Dove disponibili, le passkey sono un passo ulteriore: sono legate al sito per cui vengono create e risultano piuttosto resistenti al phishing, proprio perché non si possono copiare e reincollare su una pagina falsa come si farebbe con una password.

E poi c'è l'autenticazione a più fattori, che resta fondamentale. Le opzioni migliori si basano su passkey, app di autenticazione o chiavi fisiche di sicurezza. I codici via SMS vanno comunque bene, meglio di niente, ma restano un po' più esposti a certe forme di intercettazione.

Riconoscere phishing, pagine false e richieste "urgenti"

Il phishing continua a essere uno dei metodi più usati per rubare credenziali o installare software dannoso. I messaggi fraudolenti imitano banche, aziende, corrieri, a volte persino colleghi, e quasi sempre puntano su un senso di urgenza, paura o curiosità per farci abbassare la guardia.

Prima di cliccare su un link conviene sempre controllare mittente e indirizzo di destinazione. Errori grammaticali e grafica scadente possono essere un segnale, certo, ma non basta guardare solo quello: i tentativi più curati sono scritti benissimo, senza il minimo errore.

Se un messaggio chiede di accedere subito a un account, la mossa più sicura è chiudere quel messaggio e raggiungere il servizio da soli, digitando l'indirizzo direttamente nel browser o aprendo l'app ufficiale. Nessuna azienda seria chiede, via email o chat, di comunicare password, codici temporanei o chiavi di recupero.

Il protocollo HTTPS indica che la connessione tra browser e sito è cifrata, ma non dice nulla sull'affidabilità del contenuto: anche un sito truffaldino può avere un certificato regolare. Meglio quindi leggere per intero il nome del dominio, con attenzione a lettere sostituite, sottodomini ingannevoli o indirizzi stranamente lunghi.

Estensioni, permessi e raccolta dati sotto controllo

Le estensioni del browser possono leggere e modificare le pagine che visitiamo, e in certi casi arrivano ad accedere a informazioni piuttosto sensibili. Meglio installarne solo quando servono davvero, scegliendo store ufficiali e sviluppatori riconoscibili, e controllare che i permessi richiesti abbiano senso rispetto a quello che l'estensione dovrebbe fare.

Ogni tanto vale la pena aprire la lista delle estensioni installate, eliminare quelle che non si usano più e verificare se qualcuna è stata disattivata dal browser per motivi di sicurezza. Anche un'estensione nata onesta può cambiare proprietario — e comportamento — col tempo.

Lo stesso discorso vale per i permessi concessi ai siti: posizione, webcam, microfono, notifiche, appunti. Meglio non concederli mai in automatico, ma solo quando servono davvero, e possibilmente solo per il tempo necessario.

Anche cookie e tracciamento meritano una revisione periodica. Bloccare i cookie di terze parti, cancellare i dati inutili ogni tanto e tenere separati profili personali e lavorativi aiuta a ridurre la mole di informazioni che finiscono per essere raccolte mentre navighiamo.

Wi-Fi pubblico: usarlo, ma con criterio

Grazie alla diffusione di HTTPS, oggi le reti Wi-Fi pubbliche sono decisamente meno pericolose di un tempo, perché gran parte del traffico tra dispositivo e sito viaggia cifrato. Lo conferma anche la Federal Trade Commission: collegarsi a una rete pubblica, oggi, è generalmente più sicuro rispetto a qualche anno fa.

Questo non vuol dire che ci si possa fidare di qualsiasi rete. Un punto di accesso può chiamarsi come l'hotel, l'aeroporto o il bar in cui ci troviamo, senza avere niente a che fare con quel posto. Vale sempre la pena chiedere al personale il nome esatto della rete prima di collegarsi.

Su una rete condivisa conviene disattivare la condivisione automatica dei file, evitare operazioni particolarmente delicate se non strettamente necessarie e tenere attivo il firewall. Quando è possibile, usare la connessione dati dello smartphone o un hotspot personale resta l'opzione più controllabile.

Anche la rete di casa va sistemata: cambiare la password amministrativa predefinita del router, tenere aggiornato il firmware e usare WPA3 (o WPA2, se WPA3 non è disponibile) per il Wi-Fi.

Cosa può fare davvero una VPN — e cosa no

Una VPN crea un collegamento cifrato tra il dispositivo e il server del fornitore. È utile soprattutto su reti che non controlliamo, perché nasconde il traffico a chi gestisce quella rete e nasconde anche l'indirizzo IP pubblico ai siti che visitiamo.

Scegliere il servizio giusto, però, richiede attenzione: il traffico che prima vedeva il provider Internet ora passa, almeno in parte, dal gestore della VPN. Conviene quindi valutare reputazione, trasparenza societaria, politica di conservazione dei dati, protocolli usati e chiarezza delle condizioni contrattuali. Per farsi un'idea diretta di caratteristiche, app disponibili e documentazione, si può visitare il sito ufficiale di ExpressVPN.

Detto questo, una VPN non è una bacchetta magica: non impedisce di digitare la password su un sito falso, non blocca da sola un allegato infetto e non rende sicuro un dispositivo pieno di falle non corrette. Va considerata uno strato in più, non un sostituto dell'autenticazione a più fattori o del controllo dei link sospetti.

DNS protetto e impostazioni giuste nel browser

Quando digitiamo un indirizzo, il dispositivo fa quasi sempre una richiesta DNS per trovare il server giusto. Il DNS over HTTPS cifra questa richiesta, riducendo la possibilità che qualcuno sulla rete locale veda quali domini stiamo consultando. Anche Mozilla lo indica come uno strumento utile per proteggere la riservatezza delle ricerche DNS.

Attivarlo, però, non rende anonima l'intera navigazione e non sostituisce una VPN. In più, su reti aziendali, scolastiche o familiari potrebbe entrare in conflitto con filtri e sistemi di sicurezza già presenti — meglio capire il contesto prima di cambiare le impostazioni predefinite.

Nel browser conviene lasciare attive le protezioni contro siti ingannevoli, download pericolosi e contenuti misti. La navigazione privata e la cancellazione della cronologia, invece, servono soprattutto a non lasciare tracce sul dispositivo: non impediscono al provider, al datore di lavoro, al gestore della rete o ai siti stessi di vedere il resto dell'attività online.

Backup e un piano per quando le cose vanno storte

Una strategia di sicurezza seria deve mettere in conto anche l'eventualità che qualcosa vada male. Foto, documenti e file importanti andrebbero copiati regolarmente su un supporto separato, o su un servizio cloud protetto da autenticazione a più fattori.

Il backup fa davvero la differenza contro ransomware, guasti hardware, furti o cancellazioni per sbaglio. Almeno una copia dovrebbe restare scollegata dal dispositivo principale, o comunque protetta in modo che un malware non possa toccarla.

Infine, conviene prepararsi con un piccolo piano d'emergenza: tenere al sicuro i codici di recupero degli account, sapere come bloccare una carta, conoscere la procedura per disconnettere le sessioni attive e avere a portata di mano i contatti ufficiali dei servizi più importanti. Dopo una violazione, agire in fretta è spesso ciò che fa davvero la differenza.

---

Se vuoi leggere le notizie principali della Toscana iscriviti alla Newsletter QUInews - ToscanaMedia. Arriva gratis tutti i giorni alle 20:00 direttamente nella tua casella di posta.
Basta cliccare QUI