Tra tutte le minacce informatiche, il phishing continua a essere quella con il più alto tasso di successo, proprio perché non sfrutta una falla tecnica ma una debolezza umana: la fiducia. In Italia, come nel resto del mondo, le email fraudolente che imitano banche, corrieri, enti pubblici o fornitori di servizi digitali rappresentano il principale vettore d’ingresso per attacchi ben più gravi, dal furto di credenziali fino alla distribuzione di ransomware.
Negli ultimi anni le tecniche di phishing si sono affinate notevolmente. Non si tratta più solo di email scritte male, con errori grammaticali evidenti e loghi sgranati: i criminali informatici, anche grazie all’uso di strumenti di intelligenza artificiale generativa, riescono a produrre comunicazioni quasi indistinguibili da quelle originali, in un italiano corretto e con un livello di personalizzazione crescente. Questo fenomeno, noto come spear phishing quando mirato a specifici individui, è particolarmente insidioso nel contesto aziendale, dove un’email che sembra provenire dal proprio amministratore delegato può indurre un dipendente a effettuare un bonifico fraudolento o a condividere credenziali riservate.
Il canale email resta il più utilizzato, ma non è più l’unico. Il phishing si è esteso agli SMS, il cosiddetto smishing, e alle chiamate telefoniche, il vishing, spesso combinate tra loro in campagne multicanale che aumentano la credibilità del messaggio. Un esempio tipico è la falsa comunicazione di un pacco bloccato in dogana, seguita da un link che porta a un sito clone del corriere, progettato per sottrarre dati della carta di credito.
Le aziende italiane, in particolare quelle di dimensioni minori, faticano spesso a difendersi efficacemente da questo tipo di attacchi, non tanto per mancanza di strumenti tecnici quanto per una carenza strutturale nella formazione del personale. I filtri antispam e le soluzioni di sicurezza della posta elettronica riducono il volume di messaggi malevoli che arrivano in casella, ma nessuna tecnologia può eliminare completamente il rischio se i dipendenti non sono in grado di riconoscere i segnali di allarme: un mittente sospetto, un senso di urgenza artificiale, richieste insolite di dati sensibili o di pagamenti.
Per questo motivo, le campagne di simulazione di phishing, in cui vengono inviate email fittizie ai dipendenti per testarne la reattività, sono diventate uno strumento diffuso nelle aziende più strutturate. Non si tratta di un esercizio punitivo, ma formativo: chi clicca su un link sospetto viene indirizzato a un modulo di sensibilizzazione, mentre i dati aggregati permettono all’azienda di individuare le aree più vulnerabili e calibrare la formazione di conseguenza.
Sul piano individuale, alcune buone pratiche restano valide indipendentemente dalla sofisticazione degli attacchi: verificare sempre l’indirizzo email del mittente, non cliccare su link ricevuti in modo inatteso ma digitare manualmente l’indirizzo del sito ufficiale, attivare l’autenticazione a più fattori su tutti gli account principali e, in caso di dubbio, contattare direttamente l’ente o l’azienda tramite i canali ufficiali prima di fornire qualsiasi informazione.
