Hai ricevuto una mail che dice di aver installato “Pegasus spyware” sui tuoi dispositivi e chiede criptovaluta entro 48 ore? È una truffa. Qui trovi come riconoscerla, verificare che l’account Microsoft non sia stato violato e mettere in sicurezza Outlook in modo definitivo.
Cos’è la falsa email “Pegasus spyware”
Da tempo circolano campagne di sextortion che sfruttano il nome “Pegasus” per spaventare gli utenti. Il messaggio sostiene di aver infettato il computer o lo smartphone con uno spyware avanzato, di aver registrato video compromettenti e minaccia di inviarli ai contatti se non si paga un riscatto in criptovaluta entro poche ore. Spesso l’email sembra provenire dal tuo stesso indirizzo, creando l’illusione che l’account Outlook o Microsoft sia stato violato.
Questa comunicazione è falsa. Non prova alcuna compromissione del tuo account o dei tuoi dispositivi. I criminali contano sulla paura e sull’urgenza per spingerti a pagare. In realtà stanno sfruttando tecniche comuni di spoofing del mittente e messaggi generici riciclati migliaia di volte.
Segnali che identificano la truffa
- Urgenza artificiale: timer da 24 o 48 ore e minaccia di “invio ai contatti”.
- Richiesta di criptovaluta: spesso Bitcoin; nessun canale di supporto o contestazione.
- Mittente falsificato: il campo “Da” mostra il tuo indirizzo o un dominio Microsoft, ma non è una prova di accesso.
- Dettagli vaghi: nessun riferimento preciso a data, ora, dispositivo, file o percorso di infezione.
- Errori linguistici o traduzioni automatiche; talvolta versioni molto simili in lingue diverse.
Cosa fare subito
- Non rispondere e non pagare. Qualsiasi contatto conferma che l’indirizzo è attivo e incoraggia nuovi tentativi.
- Non cliccare su link e non aprire allegati. Elimina l’email dopo averla segnalata come phishing/truffa.
- Controlla l’attività dell’account su Microsoft per confermare che non ci siano accessi non riconosciuti.
- Rafforza la sicurezza dell’account: alias principale nuovo, disattivazione dell’alias pubblico nelle preferenze di accesso, MFA.
- Verifica le regole di posta e l’eventuale inoltro automatico: sono tra le prime cose che un attaccante malintenzionato configurerebbe.
Perché quell’email sembra provenire da te
Il protocollo email (SMTP) consente tecnicamente di manipolare il campo “Da”. I sistemi moderni aggiungono controlli come SPF, DKIM e DMARC per ridurre lo spoofing, ma gli aggressori sfruttano server permissivi o domini compromessi per inviare messaggi con un mittente apparente qualsiasi, incluso il tuo.
Questa tecnica non richiede l’accesso alla tua casella. In altre parole: vedere il proprio indirizzo come mittente non dimostra alcuna intrusione.
Verifica affidabile dell’attività del tuo account Microsoft
Prima di tutto, verifica i log di accesso e le impostazioni sensibili. Segui una procedura lineare e documenta con screenshot, se possibile.
Controllo dell’attività di accesso
- Accedi al portale del tuo Account Microsoft e apri la sezione Sicurezza > Attività di accesso recente.
- Osserva data e ora, posizione approssimativa, indirizzo IP, dispositivo e esito (riuscito/negato) di ciascun evento.
- Se vedi accessi riusciti che non riconosci, procedi immediatamente a:
- Reimpostare la password con una passphrase lunga e unica.
- Disconnettere tutte le sessioni e revocare i dispositivi fidati.
- Attivare o rafforzare l’MFA.
- Se non vedi eventi sospetti, la casella non risulta violata. Prosegui comunque con i passaggi di rafforzamento, così blocchi futuri tentativi.
Controllo di regole e inoltri in Outlook sul Web
- Apri le Impostazioni di Outlook sul Web.
- Vai a Posta > Regole e rimuovi qualsiasi regola che inoltri, sposti o elimini automaticamente messaggi senza una chiara ragione.
- Vai a Posta > Inoltro e assicurati che non sia attivo l’inoltro verso indirizzi sconosciuti.
- Controlla anche Posta > Indirizzi di invio/Alias e verifica che non ci siano mittenti aggiunti non autorizzati.
Controllo autorizzazioni delle app
Dalla pagina dell’account, apri la sezione Privacy o Sicurezza relativa a App e servizi con accesso al tuo account. Rimuovi ciò che non riconosci. Nel contesto aziendale, segnala all’IT eventuali app OAuth sospette collegate a Microsoft 365.
Rafforzare l’account Microsoft in modo definitivo
Il modo più efficace per disinnescare futuri tentativi è rendere impossibile usare il tuo indirizzo pubblico per tentativi di accesso e affiancare una solida autenticazione a più fattori.
Creazione di un alias e impostazione come principale
- Aggiungi un nuovo alias al tuo account (ad esempio nome.cognome+sicurezza@…).
- Imposta il nuovo alias come alias principale per l’accesso.
- Non eliminare l’alias originale: mantiene la ricezione della posta, ma non sarà più usato come credenziale.
Regolazione delle preferenze di accesso
- Apri le Preferenze di accesso dell’Account Microsoft.
- Deseleziona l’alias originale tra quelli utilizzabili per l’accesso.
- Risultato pratico: chi tenterà di entrare con il tuo vecchio indirizzo vedrà un errore di “account inesistente”, senza neppure arrivare al controllo della password.
Attivazione dell’autenticazione a più fattori
- Attiva l’MFA tramite Microsoft Authenticator o altra 2FA compatibile.
- Imposta metodi di backup (codici monouso, secondo numero o chiave di sicurezza FIDO2) per non restare bloccato in caso di cambio telefono.
- Disabilita i metodi deboli ove possibile (ad esempio SMS, se non strettamente necessario) a favore di notifiche push o chiavi fisiche.
Altre buone pratiche che riducono il rischio
- Password uniche e robuste per ogni servizio. Preferisci un password manager.
- Aggiornamenti regolari di sistema operativo, browser, applicazioni e antivirus.
- Backup periodici dei dati importanti, scollegati e verificati.
- Formazione: riconosci pattern ricorrenti di phishing e sextortion; diffondi linee guida interne se lavori in azienda.
- Segnalazione: marca l’email come phishing e cancella; non proseguire alcuna conversazione.
Come leggere gli header per smascherare lo spoofing
Se vuoi un’ulteriore conferma tecnica, visualizza gli header completi del messaggio in Outlook/Outlook sul Web. Nel riquadro Authentication-Results osserva:
- SPF: se vedi spf=fail o softfail è probabile che il dominio del mittente apparente non abbia autorizzato quel server.
- DKIM: dkim=none o fail indica che la firma non è presente o non valida.
- DMARC: dmarc=fail rafforza l’ipotesi di spoofing.
Questi indicatori non sono una prova assoluta in ogni scenario, ma aiutano a capire che la mail non è partita dal tuo account.
Esempio di email truffa e analisi riga per riga
Oggetto: Hai 48 ore, abbiamo catturato il tuo video
Da: tu@esempio.com
Abbiamo installato Pegasus sul tuo dispositivo quando hai visitato un sito. Abbiamo attivato la tua webcam e registrato tutto. Se non paghi 1200$ in Bitcoin all’indirizzo [omesso] entro 48 ore, invieremo il video a tutti i tuoi contatti. Non provare a cambiare password, controlleremo ogni tuo passo.
- Oggetto allarmistico e scadenza breve: creano panico.
- Mittente identico al destinatario: è spoofing, non accesso.
- Dettagli tecnici generici su infezione e registrazione: mai una prova verificabile.
- Richiesta di Bitcoin senza canali legali: tipico delle estorsioni.
Quando preoccuparsi davvero
Ci sono segnali obiettivi che indicano una possibile compromissione. Se li vedi, agisci con priorità.
| Segnale concreto | Azione consigliata |
|---|---|
| Accessi riusciti da posizioni o IP anomali | Cambia subito password, esci da tutte le sessioni, abilita MFA; se aziendale, avvisa l’IT. |
| Modifiche non autorizzate a alias, preferenze di accesso o metodi MFA | Ripristina i metodi, rivedi alias, attiva notifica su modifiche di sicurezza. |
| Regole di inoltro o filtri sconosciuti | Elimina le regole, verifica cartelle e invio, cambia password. |
| Invii non riconosciuti partiti dal tuo account | Avvisa i contatti, ripulisci regole, forza disconnessione globale, verifica client collegati. |
| Nuovi dispositivi fidati o app con accesso che non riconosci | Rimuovi dispositivi e app sospette, reimposta password e MFA. |
Cosa fare se hai già pagato
- Raccogli prove: screenshot dell’email, degli header e delle transazioni.
- Presenta denuncia alla Polizia Postale o autorità competenti, fornendo ogni dettaglio utile.
- Contatta l’assistenza del wallet o dell’exchange usato per il pagamento: talvolta possono contrassegnare l’indirizzo come fraudolento o congelare fondi se non ancora finalizzati.
- Non inviare altri pagamenti: gli estorsori spesso chiedono nuove somme.
- Rafforza l’account come descritto sopra e controlla attentamente regole, inoltri e accessi.
Strategia consigliata per utenti privati
- Segnala e cancella il messaggio dalla posta in arrivo e dal cestino.
- Controlla l’attività di accesso sul tuo account Microsoft.
- Imposta alias principale nuovo e disattiva il vecchio alias nelle preferenze di accesso.
- Abilita MFA con metodo robusto e codici di recupero.
- Rivedi regole e inoltri in Outlook sul Web.
- Aggiorna sistema e antivirus, esegui una scansione antimalware come misura prudenziale.
Strategia consigliata in ambito aziendale
- Informare il team IT e il responsabile sicurezza: condividere header e testo del messaggio.
- Controlli centralizzati: audit dei log di accesso, verifica conditional access, segnalazione agli strumenti di protezione di Microsoft 365.
- Comunicazione interna: inviare un avviso ai colleghi con esempi di truffa e istruzioni di segnalazione.
- Formazione continua: breve modulo e-mail security e simulazioni periodiche anti-phishing.
Miti e realtà sullo spyware Pegasus
| Mito | Realtà |
|---|---|
| Se l’email dice “Pegasus”, allora sei spiato | Il nome è usato per fare leva sulla notorietà. Le email di sextortion sono generiche e non provano infezioni. |
| Il fatto che l’email appaia inviata da me significa che hanno la mia password | Lo spoofing del mittente è comune e non implica accesso alla casella. |
| Pagare risolve tutto | Pagare alimenta il crimine e non offre garanzie. Si rischia di essere presi di mira di nuovo. |
| Cambiare password è sufficiente | È fondamentale, ma devi anche verificare regole, inoltri, app autorizzate e abilitare l’MFA. |
Checklist rapida da stampare
- [ ] Ho segnalato l’email come phishing e l’ho eliminata.
- [ ] Ho verificato l’attività di accesso recente nell’Account Microsoft.
- [ ] Ho creato un nuovo alias e l’ho impostato come principale.
- [ ] Ho disattivato il vecchio alias nelle preferenze di accesso.
- [ ] Ho attivato MFA con metodo forte e codici di backup.
- [ ] Ho controllato e pulito regole e inoltri in Outlook sul Web.
- [ ] Ho aggiornato sistema, browser e antivirus ed eseguito una scansione.
- [ ] Ho rimosso eventuali app con accesso non riconosciute.
Domande frequenti
È possibile che il mio dispositivo sia davvero infetto?
La stragrande maggioranza di questi messaggi è bluff. Per prudenza, esegui una scansione con l’antivirus già installato e verifica aggiornamenti di sistema. Se non compaiono alert e i log dell’account sono puliti, puoi stare sereno.
Perché i criminali chiedono criptovaluta?
Perché è più difficile da tracciare rispetto ai bonifici tradizionali. L’assenza di tutele facilita la fuga con il denaro.
Devo avvisare i miei contatti?
Solo se dalla tua posta risultano messaggi in uscita non inviati da te. In quel caso informa i contatti che si trattava di un abuso e consiglia di ignorare eventuali link.
Come posso ridurre la visibilità pubblica del mio indirizzo?
Usa alias dedicati per registrazioni a servizi non critici, filtra newsletter e mantieni l’alias principale meno esposto. L’operazione di disattivare l’alias pubblico dalle preferenze di accesso è particolarmente efficace contro tentativi di forza bruta mirati al tuo indirizzo noto.
Che differenza c’è tra un account personale Microsoft e uno aziendale
In un contesto aziendale l’amministratore può applicare criteri di accesso condizionale, bloccare inoltri esterni, imporre MFA e monitorare app OAuth. In ogni caso, i segnali e le contromisure descritte in questa guida restano validi per entrambi.
Riepilogo operativo
La minaccia “Pegasus spyware” via email è una truffa di sextortion. Non dimostra alcuna intrusione. La verifica dei log dell’account, un alias principale nuovo con disattivazione dell’alias esposto e la MFA mettono in sicurezza Outlook e l’Account Microsoft. Completa con il controllo di regole e inoltri, l’aggiornamento dei dispositivi e la rimozione di app sospette. Segnala e cancella il messaggio senza pagare.
Nota legale: questo articolo ha finalità informative e non costituisce consulenza legale o forense. In caso di perdite economiche o prove concrete di compromissione, rivolgiti alle autorità competenti e, se in ambito aziendale, al reparto IT/Security.
Se questa guida ti è stata utile, valuta di condividerla con colleghi e familiari: prevenire è la difesa più efficace contro truffe come la finta email “Pegasus spyware”.