Succede così: una persona apre il motore di ricerca, digita «simews ufficiale» e clicca sul primo risultato che sembra plausibile. La pagina si apre, il logo appare corretto, il modulo di accesso è esattamente dove ce lo si aspetta. L'utente inserisce nome e password. In quel momento, senza alcun segnale d'allarme, ha appena consegnato le proprie credenziali a un sito clone che con il portale reale non ha nulla a che vedere.L'errore: fidarsi del primo risultatoIl primo errore non è tecnico, è di metodo: si presume che il motore di ricerca faccia da garante. In realtà la posizione di una pagina nei risultati dipende da pubblicità, ottimizzazione e tempistiche, non dall'autenticità. I gestori dei siti clone lo sanno bene e investono proprio lì: annunci a pagamento, domini con nomi quasi identici, pagine indicizzate in fretta. Per l'utente la differenza si riduce a una lettera nell'indirizzo, spesso invisibile sullo schermo di uno smartphone.La distrazione fa il resto. La ricerca avviene spesso di fretta, dal telefono, magari in piedi o in coda: esattamente le condizioni in cui nessuno legge l'indirizzo con attenzione. Chi gestisce i siti falsi non deve convincere nessuno con argomenti sofisticati, deve solo intercettare quel momento di fretta.C'è anche un secondo errore, più silenzioso: salvare l'indirizzo sbagliato tra i preferiti. Dopo il primo accesso errato, il browser continua a proporre quella pagina, e l'utente torna sul clone per settimane convinto di essere nel posto giusto. Ogni accesso successivo è una nuova occasione per chi controlla il sito fasullo.Perché i siti clone sembrano veriChi costruisce una copia non deve inventare nulla: prende la grafica, i colori, i testi e persino le schermate di errore del sito originale. Copiare una pagina web è un'operazione che richiede strumenti comuni e poche ore di lavoro. Quello che non si può copiare è il dominio esatto, ed è lì che bisogna guardare.I trucchi più diffusi riguardano piccole variazioni: una lettera in più o in meno, un trattino, un'estensione diversa, oppure parole aggiunte come «login», «app» o «italia». Su uno schermo piccolo la barra degli indirizzi viene spesso troncata, quindi la parte finale dell'URL, quella che tradisce il clone, resta nascosta.Il punto è che molti utenti digitano simews aspettandosi che la risposta del motore coincida automaticamente con il sito autentico, mentre la verifica spetta a chi naviga.Cosa fare invece: controlli che richiedono un minutoLa prima verifica è l'indirizzo completo. Prima di inserire qualsiasi dato, conviene toccare la barra degli indirizzi e leggere l'URL per intero, carattere per carattere, confrontandolo con quello comunicato attraverso i canali ufficiali dell'operatore: l'applicazione, le e-mail ricevute in precedenza, i profili social verificati.La seconda verifica riguarda il certificato: il lucchetto accanto all'indirizzo non prova che il sito sia quello giusto, ma la sua assenza è un motivo sufficiente per chiudere la pagina. Toccando il lucchetto si può controllare a chi è stato rilasciato il certificato e verificare che il nome corrisponda.Terzo: diffidare delle scorciatoie. Un link ricevuto via SMS, in chat o in un commento sui social va trattato come sospetto per definizione, anche quando arriva da un contatto conosciuto, perché gli account compromessi vengono usati proprio per diffondere indirizzi falsi. Meglio raggiungere il sito partendo da zero, digitando l'indirizzo o usando l'app ufficiale scaricata dagli store autorizzati.Quarto: attivare l'autenticazione a due fattori dove disponibile. Anche nel caso peggiore, con la password finita nelle mani sbagliate, il secondo passaggio blocca l'accesso. Le istruzioni per attivarla si trovano normalmente nelle impostazioni del proprio account, e vale la pena controllare periodicamente che il numero di telefono e l'indirizzo e-mail associati siano ancora i propri.Quando il dubbio restaSe qualcosa non torna — una grafica leggermente diversa, una richiesta insolita di dati, un messaggio di errore mai visto — la mossa giusta è fermarsi. Non inserire la password «tanto per provare»: il primo tentativo è già sufficiente a chi gestisce il clone. Meglio chiudere, cambiare la password da un accesso verificato e segnalare la pagina sospetta al supporto ufficiale.Chi ha già inserito le credenziali su una pagina dubbia dovrebbe agire in ordine: cambiare subito la password sul sito autentico, modificare la stessa password ovunque sia stata riutilizzata, controllare i movimenti e le attività recenti dell'account e contattare l'assistenza descrivendo l'orario e il tipo di accesso.Nessuno di questi controlli richiede competenze tecniche: richiede solo di rallentare per sessanta secondi prima di digitare la password. È un piccolo prezzo rispetto al tempo che serve per recuperare un account compromesso.