Un sito di phishing può aprirsi anche quando usi Chrome in modalità Incognito. La navigazione privata non basta a rendere sicura la pagina raggiunta attraverso un link: in questa modalità il browser può affidarsi alla sola lista dei siti pericolosi conservata sul dispositivo. Il problema è il tempo che passa tra la comparsa di una pagina truffa e l'aggiornamento di quella lista.
Chrome sta testando la verifica in tempo reale di Safe Browsing anche in Incognito. La funzione è però ancora in sviluppo e resta disattivata di default. Google non ha indicato una data di arrivo: non va quindi considerata una protezione già disponibile per tutti quando si apre una finestra privata.
Hai ricevuto un link e vuoi aprirlo in Incognito?
Se hai ricevuto un link tramite un messaggio, un'email o un SMS, aprirlo in Incognito non permette di stabilire se la destinazione sia affidabile. La modalità privata riguarda la conservazione della cronologia, ma non costituisce una garanzia contro il phishing. Il fatto che una pagina venga aperta in quella finestra non cambia, da solo, la valutazione da fare sul sito.
La distinzione è importante proprio nel momento in cui scegli come aprire il collegamento. Incognito evita di conservare la cronologia, ma non rende anonima la navigazione. Non bisogna quindi attribuire alla finestra privata una protezione generale che non offre, né pensare che il suo utilizzo renda innocua una destinazione pericolosa.
Per il link che hai davanti, il punto non è dunque soltanto quale finestra usare. Conta anche il modo in cui Chrome verifica la destinazione. Google, nella propria documentazione, segnala differenze tra i controlli di Safe Browsing nella navigazione normale e quelli in Incognito. Queste differenze impediscono di considerare automaticamente equivalenti le verifiche nelle due modalità.
Dove può portare il link e quali dati chiede la pagina?
Il rischio descritto riguarda l'apertura di un sito di phishing che la lista locale non riconosce ancora come pericoloso. In Incognito, Chrome può ripiegare proprio su questa lista conservata sul dispositivo. Se il sito non viene riconosciuto attraverso quel controllo, la scelta della navigazione privata non offre una ragione per considerarlo sicuro.
I tempi spiegano il limite: i siti pericolosi spesso restano attivi meno di 10 minuti, mentre la lista locale si aggiorna ogni 30-60 minuti. Una pagina truffa può quindi avere una durata più breve dell'intervallo tra gli aggiornamenti. Il controllo basato sulla lista locale può arrivare troppo tardi per riconoscere una destinazione attiva soltanto per poco tempo.
Questo problema non identifica una particolare richiesta di dati. La differenza tra verifica locale e verifica in tempo reale non dice quali informazioni chieda una singola pagina, né permette di attribuirle uno specifico modulo da compilare. Per chi ha aperto il collegamento, la conclusione utile è più circoscritta: Incognito non certifica l'affidabilità del sito e non rende attendibili le eventuali richieste visualizzate.
Anche l'assenza di un avviso va letta alla luce di questo limite. Se la lista può aggiornarsi più lentamente della durata dei siti pericolosi, non vedere una segnalazione non equivale a ottenere una conferma di sicurezza. È questa distanza tra i tempi delle pagine truffa e quelli degli aggiornamenti a rendere rilevante la verifica in tempo reale.
Come distingui un canale ufficiale da una pagina aperta in privato?
La modalità con cui apri un sito non dimostra che quel sito sia un canale ufficiale. Una finestra Incognito indica una modalità di navigazione, non l'identità o l'affidabilità della destinazione. Non puoi quindi usare la presenza della finestra privata come elemento per riconoscere un sito autentico o per fidarti delle richieste che compaiono al suo interno.
Occorre distinguere anche il ruolo di Safe Browsing. Le verifiche sui siti pericolosi e il riconoscimento di un canale ufficiale non sono la stessa cosa: il limite della lista locale mostra perché una pagina possa non essere segnalata tempestivamente. Da questa mancata segnalazione non deriva una conferma che il collegamento ricevuto conduca al canale che cercavi.
Allo stesso modo, la sperimentazione di Google non deve diventare una rassicurazione anticipata. La verifica in tempo reale nella navigazione privata è ancora in sviluppo, disattivata di default e senza una data di arrivo indicata. Sapere che Chrome la sta testando non permette di presumere che sia già attiva nella finestra utilizzata per aprire il link.
Cosa fare se il messaggio è già arrivato?
Se il collegamento è già arrivato, non considerarlo sicuro soltanto perché puoi aprirlo in Incognito. Se lo hai già aperto, evita di interpretare l'apertura della pagina come una verifica superata: il browser può essersi affidato a una lista locale il cui aggiornamento non è abbastanza rapido per riconoscere un sito di breve durata.
Non ignorare gli avvisi del browser sui siti pericolosi. La finestra privata non è un motivo per ridimensionarli. Se Chrome mostra una segnalazione, l'uso di Incognito non la rende meno rilevante e non fornisce una ragione per considerare affidabile la destinazione indicata nel messaggio.
Infine, non fare affidamento sulla funzione sperimentale per valutare il collegamento già ricevuto. Finché la verifica in tempo reale per la navigazione privata resta in sviluppo e disattivata di default, non puoi presumere che stia controllando quella pagina. Un eventuale avviso va rispettato; la sua assenza, considerati i tempi della lista locale, non basta a certificare il sito.
