Falso supporto Microsoft: come si riconosce la telefonata e come la ferma un’azienda

La truffa del falso supporto Microsoft è una telefonata non richiesta: un sedicente tecnico annuncia un problema grave sul computer e chiede di installare un programma di assistenza remota. Da quel momento chi chiama vede lo schermo e comanda il computer come se fosse seduto alla scrivania. La difesa più efficace è una regola scritta: nessun tecnico interviene su un computer aziendale se l’assistenza non l’ha chiesta l’azienda, attraverso un canale noto. Microsoft stessa dichiara di non telefonare senza essere stata contattata per offrire supporto tecnico.

Come si svolge la telefonata?

Uno scenario tipico, in un ufficio amministrativo, alle nove del mattino. Il numero sul display sembra di una grande città, la voce è cortese e l’italiano è corretto.

— Buongiorno, sono del supporto tecnico Microsoft. Dal vostro computer arrivano segnalazioni di attività anomale: se non interveniamo subito, entro un’ora i dati potrebbero andare persi. C’è qualcuno davanti al computer in questo momento?

— Sì, sono io. Che cosa devo fare?

— Niente di complicato. Apra il browser, scriva l’indirizzo che le detto e scarichi il programma che mi permette di vedere il suo schermo. Poi mi legga il codice che compare, così verifichiamo insieme.

In tre battute ci sono tutti gli ingredienti della truffa:

• un nome che ispira fiducia: Microsoft, il fornitore della connessione, la banca, la società che gestisce il gestionale;
• un’urgenza: dati che stanno per sparire, un blocco imminente, un virus «in corso»;
• un’azione da compiere subito: scaricare un programma di assistenza remota (AnyDesk, TeamViewer, UltraViewer e simili) e leggere al telefono il codice di collegamento.

Il programma, di per sé, non è un virus: è lo stesso che usano molti tecnici veri, ed è proprio per questo che l’antivirus di solito non lo blocca. Nel 2023 l’agenzia statunitense per la cybersicurezza (CISA) ha descritto campagne in cui falsi messaggi dell’help desk portavano a scaricare versioni «portatili» di questi strumenti: si avviano senza installazione e aggirano i controlli sul software ammesso.

Che cosa succede dopo il collegamento?

Una volta collegato, il falso tecnico lavora con i permessi della persona che ha davanti. Può aprire documenti e cartelle condivise, leggere la posta, recuperare le password salvate nel browser, installare un secondo programma per rientrare più tardi. Una variante frequente è il finto rimborso: il tecnico chiede di accedere all’home banking «per restituire il costo dell’intervento» e, mentre lo schermo è oscurato, prepara un bonifico.

In azienda il danno non si ferma a quel computer. Da lì si raggiungono il gestionale, le cartelle di rete, i servizi in cloud aperti nel browser. Se la stessa password è usata su più servizi, l’accesso si allarga: è il meccanismo descritto nell’articolo sulle password riciclate.

Perché in azienda la truffa funziona ancora?

Funziona perché sfrutta qualità, non difetti: la disponibilità di chi vuole risolvere un problema e il rispetto per chi sembra competente. Al telefono, poi, è difficile prendersi il tempo di pensare. E in molte organizzazioni il quadro dell’assistenza è confuso: un fornitore per la rete, uno per il gestionale, uno per i computer, a volte un tecnico di fiducia. Se nessuno sa con certezza chi può intervenire e come, una chiamata ben recitata passa.

Esiste anche la versione rovesciata, più insidiosa per le aziende strutturate: il truffatore chiama l’help desk interno fingendosi un dipendente e chiede di reimpostare la password o di spostare il doppio fattore su un nuovo telefono. La CISA e l’FBI la descrivono tra le tecniche del gruppo noto come Scattered Spider, insieme alle telefonate in cui gli attaccanti si presentano come personale IT.

Come si riconosce una telefonata falsa?

I segnali sono quasi sempre gli stessi:

• la chiamata arriva senza che nessuno abbia segnalato un problema;
• il tono è allarmato e c’è fretta: «non riattacchi», «tra un’ora sarà tardi»;
• viene chiesto di installare un programma, leggere un codice, disattivare l’antivirus o accedere alla banca;
• chi chiama evita di farsi richiamare su un numero noto;
• il numero sul display sembra affidabile, ma il numero visualizzato si può falsificare e non prova nulla.

Basta uno di questi segnali per interrompere la conversazione. Riagganciare non è scortesia: è la procedura.

Quali regole fermano la truffa in azienda?

Le regole che funzionano sono poche, scritte e conosciute da tutti, non solo dall’IT.

1. L’assistenza la chiede chi ne ha bisogno. Nessun fornitore interviene su un computer senza una richiesta aperta dall’azienda, con un riferimento che il dipendente può controllare.
2. Un solo strumento di assistenza remota approvato. L’IT ne sceglie uno, lo gestisce in modo centralizzato e blocca gli altri, comprese le versioni portatili. È una delle contromisure indicate dalla CISA: un elenco dei programmi ammessi e il controllo di quelli che si avviano.
3. Richiamata su un numero noto. Chi riceve una chiamata «dall’assistenza» riaggancia e richiama il numero interno o quello scritto nel contratto con il fornitore.
4. Nessun codice dettato al telefono. Codici di collegamento, codici ricevuti via SMS, notifiche di accesso da approvare: non si leggono e non si confermano per conto di chi chiama.
5. Identità verificata all’help desk. Per reimpostare password e doppio fattore serve una procedura con richiamata o conferma del responsabile, anche quando la richiesta sembra arrivare da un dirigente.
6. Utenti senza privilegi di amministratore. Un programma scaricato per errore può fare molto meno danno.
7. Un canale semplice per il dubbio. Un numero o una casella da usare subito, senza timore di disturbare: una segnalazione inutile costa pochi minuti, un silenzio può costare settimane.

Le regole vanno poi allenate. Le simulazioni di telefonate e messaggi, fatte con l’autorizzazione della direzione e senza intento punitivo, mostrano dove le procedure reggono e dove no. Lo stesso vale per le truffe che puntano sull’affetto invece che sulla paura, raccontate nell’articolo sul phishing affettivo.

Che cosa fare nei primi minuti se il programma è già stato installato?

Se il collegamento è avvenuto, contano l’ordine e la calma:

1. Staccare il computer dalla rete, cavo e Wi-Fi, senza cancellare nulla. Spegnerlo solo se non si riesce a isolarlo: la memoria conserva tracce utili a chi dovrà analizzarlo.
2. Avvisare subito l’IT o il referente della sicurezza, annotando ora della chiamata, numero, cosa è stato chiesto e cosa è stato fatto.
3. Cambiare le password da un altro dispositivo, a partire da quelle salvate nel browser e da quelle della posta, e chiudere le sessioni aperte.
4. Chiamare la banca se c’è stato un accesso all’home banking o un pagamento, per bloccare o contestare le operazioni.
5. Non reinstallare e non «ripulire» da soli. Prima bisogna capire che cosa è stato copiato e se il falso tecnico ha lasciato altri accessi.
6. Valutare gli obblighi. Se sono coinvolti dati personali, il titolare decide con il DPO sulla notifica all’autorità di controllo, che il GDPR fissa entro 72 ore, ove possibile. La denuncia alla Polizia Postale è sempre consigliata.

La guida di Microsoft sulle truffe del supporto tecnico indica passi simili per il singolo utente: disinstallare i programmi fatti installare, eseguire un’analisi completa, cambiare le password, applicare gli aggiornamenti e contestare gli addebiti. In azienda si aggiunge il controllo di tutto ciò che quel computer poteva raggiungere.

In sintesi

• Il falso supporto tecnico chiama senza essere stato cercato, crea urgenza e chiede di installare un programma di assistenza remota.
• Il programma è spesso legittimo: per questo non basta l’antivirus, servono regole su chi può usarlo.
• In azienda l’assistenza la chiede chi ne ha bisogno, con un solo strumento approvato e richiamate su numeri noti.
• Codici e notifiche non si dettano e non si approvano mai per conto di chi telefona.
• Esiste anche la variante rovesciata: il finto dipendente che chiama l’help desk per cambiare password o doppio fattore.
• Se il collegamento è avvenuto: isolare il computer, avvisare l’IT, cambiare le password da un altro dispositivo, avvisare la banca, non ripulire da soli.

Domande frequenti

Microsoft può telefonare a un’azienda per un problema di sicurezza?

Secondo la guida ufficiale, Microsoft non effettua telefonate non richieste per offrire supporto tecnico né per chiedere informazioni personali o finanziarie. Se non avete aperto voi una richiesta, la chiamata va interrotta; nel dubbio si richiama il numero del vostro fornitore IT o quello indicato nel contratto.

AnyDesk e TeamViewer sono programmi pericolosi?

No, sono strumenti legittimi usati da molti tecnici. Il rischio nasce quando chiunque può installarli su richiesta di chiunque. Per questo conviene scegliere un solo strumento approvato, gestito dall’IT, e bloccare gli altri.

Se il truffatore è rimasto collegato pochi minuti, il rischio è basso?

Non necessariamente: in pochi minuti si possono copiare le password salvate, installare un secondo programma di accesso o creare un’attività che si riattiva più tardi. Il computer va isolato e controllato prima di tornare in uso.

Bisogna presentare una denuncia?

È consigliabile: in Italia la Polizia Postale riceve segnalazioni e denunce anche attraverso il suo sito. Se ci sono stati pagamenti va avvisata subito la banca; se sono coinvolti dati personali, il titolare valuta con il DPO la notifica all’autorità di controllo. Per le imprese sammarinesi il quadro è diverso e va valutato caso per caso.

La formazione del personale basta?

Aiuta molto, ma funziona meglio insieme alle regole tecniche. Con un solo strumento di assistenza ammesso e utenti senza privilegi di amministratore, anche l’errore di una persona produce danni più contenuti.

Le telefonate dei falsi tecnici si fermano con poche regole scritte, strumenti di assistenza approvati e persone allenate a riconoscerle. La divisione Cybersecurity di Strategic aiuta a scrivere queste regole, prepara formazione e simulazioni per personale e vertici e affianca l’azienda nelle prime ore, quando un collegamento sospetto è già avvenuto.

Fonti

• Microsoft, Protezione dai tentativi di phishing da parte del supporto tecnico
• CISA, NSA e MS-ISAC, Protecting Against Malicious Use of Remote Monitoring and Management Software (AA23-025A), gennaio 2023
• FBI e CISA, Scattered Spider (AA23-320A), novembre 2023, aggiornato a luglio 2025
• Regolamento (UE) 2016/679 (GDPR), articolo 33, EUR-Lex
• Polizia Postale e delle Comunicazioni, commissariato di PS online