E' facilissimo creare un e-mail o una pagina Web che contiene un link ingannevole, che sembra rimandare a un sito regolare ma invece vi porta da tutt'altra parte, ossia a un sito visivamente identico a quello autentico ma in realtà gestito da truffatori. Questo sistema viene usato per commettere frodi, per esempio rubando password o codici di carta di credito, o per infettarvi, inducendovi con l'inganno a visitare un sito ostile.

Una delle più diffuse tecniche per creare link ingannevoli è spiegata presso
www.attivissimo.net/security/fakesites/fakesites.htm. Guardate questo link:www.microsoft.com&item=q209354@3522684105. Ci credereste che non porta al sito Microsoft, ma al sito di Playboy?

Un'altra tecnica ancora più insidiosa, specifica per Internet Explorer nelle versioni non aggiornate, è presentata presso www.attivissimo.net/security/bc/test10.htm.

La truffa più frequente funziona in questo modo: ricevete un e-mail, di solito in formato HTML, che sembra provenire dal servizio clienti di qualche banca, provider o società di commercio elettronico (Paypal.com, per esempio), che vi avvisa di un "controllo a campione" o di un "problema di verifica dei dati" e vi chiede di visitare il suo sito usando il link cortesemente fornito nell'e-mail.

Il link è visivamente a posto (inizia con il nome del sito legittimo), ma è in realtà truccato, grazie all'uso dell'HTML o delle tecniche citate sopra, in modo da mascherare il fatto che cliccandovi sopra non si va al sito dell'azienda autentica, ma a un sito falso che usa la medesima grafica e vi chiede di immettere i vostri dati, password compresa. Se siete effettivamente utenti di quel servizio e date i vostri codici di accesso al sito-truffa, lascio a voi immaginare le ovvie e spiacevoli conseguenze del caso.

Purtroppo il problema si pone, sia pure in misura minore, anche con l'e-mail in formato "testo semplice" (ossia non in formato HTML). Se però sapete distinguere la posta HTML dalla posta di testo semplice e siete sicuri che il messaggio che propone il link è in formato "testo semplice", potete fidarvi dei link che non contengono caratteri "strani" (chioccioline e simboli di percentuale, tipici sintomi di un link fraudolento).

Se non sapete distinguere la posta HTML dalla posta in "testo semplice", non dovete mai fidarvi dei link contenuti all'interno dei messaggi: dovete invece adoperare un browser sicuro per andare direttamente al sito citato digitando da capo il testo del link oppure usando il "copia e incolla" sul testo del link. In questo modo si evitano eventuali link mascherati con l'HTML, il browser sicuro elimina il rischio residuo dei link truccati con altre tecniche, e si è sicuri di visitare davvero il sito autentico. Se il sito citato nel link è uno di quelli che visitate spesso, memorizzatelo nei Preferiti e usate la versione memorizzata invece di quella fornita nel link.

Visto che me l'avete chiesto in tanti, ebbene sì, questa regola vale anche per la mia newsletter, che contiene spesso dei link. Dato che sappiamo che è facilissimo falsificare il mittente di un messaggio, chi vi garantisce che la newsletter che avete ricevuto è davvero opera mia? Cliccate sui suoi link soltanto se siete capaci di verificare che il messaggio è in formato "testo semplice" (la mia newsletter lo è) e se usate un browser sicuro (uno di quelli consigliati dal Dodecalogo)