Phishing Aziendale: Come Riconoscerlo nell'Era degli Attacchi AI
Lettura 8 min · AstraLoop Studio
Per anni la formazione anti-phishing è ruotata attorno a un elenco di segnali facili: errori di grammatica, loghi sgranati, indirizzi email improbabili, un italiano che sapeva di traduzione automatica. Bastava insegnare al personale a diffidare della mail scritta male e metà del problema era risolto.
Quel manuale oggi è carta straccia. Gli attacchi generati con l'intelligenza artificiale producono email in italiano perfetto, cucite sul destinatario, con il tono giusto e senza un refuso. Il Rapporto Clusit 2026 fotografa un'Italia che concentra circa il 10% degli incidenti mondiali, con un +23% di attacchi gravi nel primo trimestre e le PMI nel mirino nel 72% dei casi. Il phishing resta il grimaldello più usato per entrare, ed è diventato molto più difficile da riconoscere.
In questa guida vediamo come riconoscere il phishing aziendale ora che l'AI ha cancellato tutti i vecchi indizi, quali sono i nuovi segnali d'allarme (deepfake vocali e video inclusi) e perché l'unica difesa che regge davvero non è l'occhio umano, ma un'infrastruttura di autenticazione resistente al phishing. Se ti serve il quadro d'insieme, questo tema fa parte di un audit di sicurezza informatica completo per PMI.
Perché il vecchio metodo di riconoscimento non funziona più
Il phishing tradizionale si tradiva da solo. I criminali erano spesso stranieri, usavano traduttori grezzi, riciclavano template generici sparati a milioni di indirizzi. Il risultato era goffo, e la goffaggine era la tua difesa.
L'AI generativa ha ribaltato tre cose.
- La lingua è perfetta. Un modello linguistico scrive un italiano aziendale impeccabile, con il gergo del tuo settore. L'errore di grammatica come campanello d'allarme è morto e sepolto.
- Il messaggio è personalizzato. Incrociando LinkedIn, il sito aziendale e i data breach passati, l'attaccante costruisce email che citano il tuo nome, il tuo ruolo, un progetto reale, un fornitore che usi davvero. Si chiama spear phishing, e l'AI lo rende economico su scala industriale.
- Il volume è esploso. Quello che prima richiedeva un copywriter madrelingua ora lo sforna uno script in pochi secondi, in mille varianti diverse per aggirare i filtri.
Tradotto: non puoi più affidarti all'istinto del "questa mail sembra strana". Le mail ora sembrano perfettamente normali. Serve un metodo che non dipenda dall'estetica del messaggio.
I nuovi segnali d'allarme del phishing generato da AI
Se l'AI ha ripulito la forma, il contenuto e la logica dell'attacco restano identici. Ecco su cosa spostare l'attenzione.
1. La leva psicologica: urgenza, autorità, riservatezza
Ogni truffa di questo tipo punta a farti agire prima che tu pensi. I marcatori sono sempre gli stessi, per quanto sia ben scritto il messaggio:
- Urgenza artificiale ("entro le 17 o perdiamo il fornitore", "il conto verrà bloccato oggi").
- Autorità invocata (una richiesta che arriva "dal CEO", "dall'amministrazione", "dalla banca").
- Segretezza ("non parlarne con nessuno", "è una trattativa riservata").
- Deviazione dal processo normale (un bonifico chiesto via email invece che dal gestionale, un cambio IBAN comunicato all'ultimo).
Quando queste tre leve (urgenza, autorità e riservatezza) compaiono insieme, tratta il messaggio come sospetto a prescindere da quanto sia credibile. È la firma della truffa del falso CEO, il cosiddetto Business Email Compromise.
2. Il canale è cambiato senza motivo
Un fornitore con cui hai sempre scambiato PDF ti manda all'improvviso un link a un portale per "confermare i dati". Il tuo commercialista ti scrive da un dominio simile ma non identico. Un collega ti contatta su WhatsApp per una cosa che di solito passa per email. Il cambio di canale ingiustificato è uno dei segnali più affidabili rimasti.
3. Il mittente è quasi giusto
L'AI non falsifica il dominio, ma sfrutta la disattenzione. Domini lookalike come fornitore-spa.com al posto di fornitorespa.com, oppure .net invece di .it. Il display name dice "Mario Rossi - Amministrazione", ma l'indirizzo reale dietro è un account gmail anonimo. Passa sempre il mouse sull'indirizzo vero prima di rispondere.
4. Il link e l'allegato non corrispondono al testo
Il testo dice "accedi al portale della banca", il link punta altrove. L'allegato si chiama "fattura.pdf" ma è un file HTML o un archivio zip. Nessuna raffinatezza dell'AI cambia il fatto che il payload dannoso deve comunque arrivare da qualche parte.
La frontiera peggiore: deepfake vocali e video
Qui il salto è drammatico. Il phishing non arriva più solo per iscritto. In Italia i deepfake audio sono cresciuti di oltre il 300% rispetto al 2023, e il fenomeno ha già lasciato danni concreti.
Un caso ormai citato: una PMI lombarda ha trasferito 28.000 euro a un finto direttore finanziario, la cui voce era stata clonata dall'AI a partire da pochi secondi di audio pubblico. Il dipendente ha sentito una voce familiare, tono autorevole, richiesta urgente. Ha eseguito. Questo attacco si chiama vishing (voice phishing) e la variante deepfake lo rende quasi impossibile da smascherare "a orecchio".
I segnali su cui puntare quando ricevi una chiamata o un vocale sospetto:
- Richiesta di denaro, credenziali o deroghe alle procedure durante la telefonata stessa.
- Riluttanza a essere richiamati su un numero verificato ("no, restiamo su questa linea").
- Micro-anomalie audio: intonazione piatta, respiri assenti, latenza strana, frasi tagliate.
- Pressione a non coinvolgere altre persone.
Abbiamo dedicato un approfondimento a questo scenario nel pezzo su la truffa del CEO con deepfake e come difendersi. La regola operativa più efficace è banale e potentissima: verifica sempre su un secondo canale indipendente. Se ti chiamano per un bonifico urgente, riaggancia e richiama tu il numero che hai in rubrica. Nessuna urgenza reale sopravvive a una controverifica di trenta secondi.
Perché la formazione da sola non basta (e cosa la sostituisce)
La formazione conta, ma ha un limite strutturale: chiede a persone stanche, sotto pressione e distratte di individuare inganni progettati per essere indistinguibili. Prima o poi qualcuno sbaglia. La statistica è impietosa, basta un click su qualche migliaio di email.
La difesa che regge non punta a rendere l'utente infallibile, ma a rendere inutile il suo errore. Se anche un dipendente inserisce le credenziali su una pagina falsa, l'attaccante non deve poterle usare. Qui entra in gioco l'autenticazione a più fattori resistente al phishing.
MFA sì, ma non tutta l'MFA è uguale
Molte aziende si credono protette perché usano l'MFA via SMS o via codice OTP dell'app. Il problema è che questi metodi sono phishable: una pagina di login clonata cattura anche il codice a sei cifre, e gli attacchi in tempo reale (adversary-in-the-middle) lo inoltrano all'istante. L'MFA classica alza l'asticella, ma non ferma un attacco moderno ben congegnato.
| Metodo di autenticazione | Resistente al phishing? | Note |
|---|---|---|
| Solo password | No | Da abbandonare, punto. |
| OTP via SMS | No | Intercettabile, SIM swap, phishing in tempo reale. |
| Codice app (TOTP) | Debolmente | Meglio dell'SMS, ma il codice si può rubare su pagina falsa. |
| Notifica push con number matching | Parzialmente | Riduce l'MFA fatigue, non ferma l'AiTM. |
| Chiavi FIDO2 / Passkey | Sì | Legate al dominio reale: una pagina falsa non funziona. |
La differenza chiave delle passkey e delle chiavi hardware FIDO2 è che il fattore di autenticazione è vincolato crittograficamente al dominio legittimo. Se il dipendente finisce su una pagina clonata, la passkey semplicemente non si attiva, perché il dominio non corrisponde. L'errore umano viene neutralizzato dalla tecnologia. È questa la vera "MFA resistente al phishing" di cui parlano ACN e le linee guida internazionali.
Attivare le passkey su email, gestionale e accessi amministrativi è uno degli interventi a più alto ritorno che una PMI possa fare. Non elimina il phishing, ma rende molto più difficile trasformare un click in un danno economico.
Vuoi sapere quanto sei esposto agli attacchi AI e all'MFA phishabile? Richiedi un'analisi delle tue difese anti-phishing e ti diciamo dove intervenire per primo.
Un piano operativo in cinque mosse per la tua azienda
Riconoscere il phishing è il primo passo. Ridurne l'impatto richiede processo e tecnologia insieme. Ecco l'ordine di priorità che consigliamo a una PMI.
- Regola dei due canali sui pagamenti. Ogni bonifico sopra una soglia, ogni cambio IBAN, ogni deroga si conferma a voce su un numero verificato. Metti la regola nero su bianco.
- MFA resistente al phishing sugli account critici. Passkey o chiavi FIDO2 su posta, amministrazione, accessi da remoto e utenze admin. Prima queste, poi il resto.
- Protezione del dominio email. Configura correttamente SPF, DKIM e DMARC per rendere più difficile falsificare il tuo dominio e proteggere i tuoi clienti. Ne parliamo nel dettaglio in questa guida su SPF, DKIM e DMARC.
- Formazione basata su simulazioni, non su slide. Campagne di phishing simulato periodiche, tarate sui nuovi attacchi AI, valgono più di un corso annuale dimenticato in una settimana.
- Filtri email e verifica delle terze parti. Filtri anti-phishing evoluti e, sul fronte fornitori, attenzione al rischio supply chain: il 30% delle violazioni coinvolge terze parti, ed è un obbligo esplicito della direttiva NIS2 per le aziende coinvolte.
Phishing, GDPR e responsabilità: cosa rischi davvero
Un attacco di phishing andato a segno non è solo una questione di soldi persi. Se porta a un accesso ai dati personali di clienti o dipendenti, diventa un data breach ai sensi del GDPR, con obbligo di notifica al Garante Privacy entro 72 ore nei casi previsti. E con la NIS2 pienamente operativa nel 2026, la responsabilità della sicurezza non è più delegabile all'IT: ricade direttamente su CEO e organi di amministrazione.
Questo cambia il calcolo economico. Il costo di un incidente per una PMI oscilla di solito tra 35.000 e 250.000 euro, tra fermo operativo, ripristino e conseguenze legali. Investire in prevenzione, autenticazione forte e processo di verifica costa una frazione, e oggi è anche un requisito per l'assicurabilità cyber e per la conformità normativa.
Se vuoi capire dove sei vulnerabile prima che lo scopra un attaccante, un vulnerability assessment e una revisione delle tue difese anti-phishing sono il punto di partenza più concreto. La domanda giusta non è "se" riceverai un attacco ben fatto, ma "cosa succede quando qualcuno ci casca".
In sintesi
L'AI ha reso il phishing indistinguibile a colpo d'occhio: niente più errori, mail personalizzate, voci clonate. I nuovi segnali d'allarme sono comportamentali (urgenza più autorità più riservatezza, cambio di canale, deviazione dal processo), non estetici. E la difesa più solida non è l'occhio del dipendente, ma un'infrastruttura che neutralizza il suo errore: MFA resistente al phishing con passkey, regola dei due canali sui pagamenti, dominio email protetto e verifica delle terze parti. Meno paranoia, più processo.
Domande frequenti
Come si riconosce oggi un'email di phishing se non ha più errori di grammatica?
Sposta l'attenzione dalla forma al comportamento richiesto. I segnali affidabili sono l'urgenza artificiale, l'invocazione di autorità (il finto CEO o la banca), la richiesta di riservatezza e ogni deviazione dal processo normale, come un bonifico chiesto via email o un cambio IBAN dell'ultimo minuto. Verifica sempre il mittente reale e la destinazione dei link.
Cos'è il vishing e perché i deepfake vocali sono così pericolosi?
Il vishing è il phishing telefonico. Con l'AI la voce di un dirigente può essere clonata da pochi secondi di audio pubblico, rendendo la truffa credibile all'orecchio. In Italia i deepfake audio sono cresciuti oltre il 300% rispetto al 2023. La difesa è riagganciare e richiamare su un numero verificato in rubrica.
L'MFA via SMS protegge dal phishing?
Solo in parte. L'OTP via SMS o app può essere rubato su una pagina di login falsa o inoltrato in tempo reale da attacchi adversary-in-the-middle. È meglio della sola password, ma non è resistente al phishing. Per la protezione reale servono passkey o chiavi hardware FIDO2, legate crittograficamente al dominio legittimo.
Cosa significa MFA resistente al phishing?
È un'autenticazione in cui il fattore è vincolato al dominio reale del sito. Con passkey o chiavi FIDO2, se il dipendente finisce su una pagina clonata l'autenticazione non si attiva perché il dominio non corrisponde. In pratica l'errore umano viene neutralizzato dalla tecnologia.
Un attacco di phishing riuscito comporta obblighi legali?
Sì. Se compromette dati personali di clienti o dipendenti, diventa un data breach ai sensi del GDPR, con possibile obbligo di notifica al Garante Privacy entro 72 ore. Con la NIS2 operativa nel 2026, la responsabilità ricade direttamente su CEO e amministratori, non più solo sull'IT.
Quanto costa mediamente un incidente di phishing per una PMI?
In genere tra 35.000 e 250.000 euro, considerando fermo operativo, ripristino dei sistemi, eventuali somme trasferite e conseguenze legali. La prevenzione (MFA forte, regola dei due canali sui pagamenti, protezione del dominio email) costa una frazione di questa cifra.
Parlane con noi: valutiamo insieme dove la tua azienda è vulnerabile e come rendere inutile l'errore di un click, con passkey, processi di verifica e un audit su misura.