Che cosa significa phishing?

Il phishing e una tecnica di ingegneria sociale usata dai criminali per indurre utenti e organizzazioni a cedere credenziali, denaro o dati sensibili. Questo articolo spiega che cosa significa phishing, come funziona, quali forme assume oggi e come difendersi in modo pratico. Troverai esempi, indicatori concreti e riferimenti ad autorita come ENISA e FBI IC3, oltre a dati statistici aggiornati e raccomandazioni operative.

Definizione e portata del fenomeno

Che cosa significa phishing in termini semplici? Si tratta di messaggi ingannevoli, spesso via email o SMS, che imitano enti affidabili per spingerti a cliccare link, scaricare allegati o condividere informazioni riservate. L’obiettivo puo essere l’accesso all’home banking, all’account di lavoro, ai wallet di criptovalute o a dashboard amministrative. La portata e vasta: i criminali sfruttano automatizzazione e piattaforme di invio per colpire a basso costo, aumentando le probabilita che anche una piccola percentuale di vittime generi guadagni elevati.

I numeri rendono l’idea. Secondo l’Internet Crime Complaint Center (FBI IC3), nel 2023 sono state ricevute 880.418 denunce di crimini informatici con perdite superiori a 12,5 miliardi di dollari; il phishing resta tra le categorie piu segnalate. ENISA, l’Agenzia dell’Unione Europea per la Cybersecurity, continua a classificare il phishing come uno dei principali vettori iniziali di compromissione nelle sue analisi del panorama delle minacce 2023-2024. Anche l’Anti-Phishing Working Group (APWG) documenta da anni volumi sostenuti di campagne su scala globale. Nel 2026 gli avvisi emessi dai CERT nazionali, inclusi i bollettini di CERT-AgID in Italia, confermano che le campagne restano frequenti e sofisticate, con ondate che seguono eventi stagionali, fiscali e commerciali.

Tipologie di phishing moderne

Il phishing non e piu solo l’email generica e sgrammaticata. Oggi esistono varianti mirate e multicanale che sfruttano contesti lavorativi e personali. Lo spear phishing colpisce figure specifiche con riferimenti credibili, mentre il Business Email Compromise (BEC) mira a indurre pagamenti fraudolenti o cambi IBAN tramite messaggi che sembrano provenire dal CEO o da fornitori reali. Sul canale mobile, lo smishing (SMS) e il vishing (chiamate vocali) usano urgenza e automazioni IVR per estrarre OTP o convincere a installare app malevole. Crescono poi i QRishing, che usano codici QR per celare URL pericolosi, e i messaggi in chat su piattaforme di collaborazione. Comprendere le differenze aiuta a calibrare controlli, formazione e policy di risposta.

Punti chiave sulle varianti piu comuni

Email phishing: messaggi di massa con link a pagine di login false o allegati malevoli.
Spear phishing: targeting di persone o reparti con dettagli credibili, spesso raccolti da social o siti aziendali.
BEC (Business Email Compromise): frodi su pagamenti e fornitori, con istruzioni urgenti di modifica IBAN o bonifici.
Smishing e vishing: SMS e telefonate che richiedono conferme di sicurezza o codici OTP, spesso impersonando banche.
QRishing e chat-app phishing: QR code o messaggi su app aziendali che portano a pagine di raccolta credenziali.
OAuth e SSO consent phishing: pagine che chiedono di autorizzare applicazioni terze a leggere email o file.

Le leve psicologiche degli attaccanti

Il successo del phishing dipende dalla psicologia. Gli aggressori costruiscono messaggi che sfruttano bias cognitivi e dinamiche organizzative. La scarsita e l’urgenza spingono ad agire senza riflettere; l’autorita conferisce credibilita se il mittente finge di essere il capo o un ente regolatore; la reciprocita e l’abitudine invitano a compiere azioni “routine” come approvare una fattura. L’effetto curiosita porta a cliccare su aggiornamenti di spedizione o notifiche di consegna. Molti messaggi sono perfettamente localizzati, con linguaggio e loghi coerenti, e imitano processi HR, finanza o IT interni. Per questo le sole soluzioni tecniche non bastano: servono procedure che rallentino intenzionalmente le decisioni rischiose e diano alternative sicure, come canali di verifica fuori banda.

Le principali tecniche di persuasione

Urgenza artificiale: scadenze, blocchi conto, minacce di sospensione del servizio.
Autorita e fiducia: impersonificazione di dirigenti, banche, corrieri o fornitori noti.
Ricompensa e curiosita: rimborsi fiscali, premi, tracking pacchi o documenti “riservati”.
Conformita sociale: “tutti stanno aggiornando la password oggi, fallo anche tu”.
Routine aziendale: richieste di approvazione fatture o cambi IBAN in linea con processi reali.
Pressione temporale: finestre di 15 minuti per inserire OTP o convalidare accessi.

Indicatori pratici per riconoscerlo

Riconoscere un tentativo di phishing richiede attenzione ad alcuni segnali ricorrenti. L’indirizzo del mittente puo avere domini simili ma non identici (typosquatting), oppure usare servizi di posta gratuiti. I link possono essere mascherati: passare il mouse rivela URL lunghi, con reindirizzamenti o domini insoliti. Gli allegati inattesi, specie file compressi o macro-enabled, meritano diffidenza. Errori di formattazione o richieste fuori procedura sono altri campanelli d’allarme. A livello tecnico, i messaggi autentici dovrebbero essere firmati e allineati tramite SPF, DKIM e DMARC: se il dominio non passa i controlli, cresce il sospetto. Infine, ogni richiesta di codici OTP, chiavi di ripristino o approvazioni di accesso fuori dall’app ufficiale e un forte segnale di truffa.

Segnali da verificare prima di cliccare

Dominio del mittente: differenze minime (ad es. cambio di lettere, domini .com vs .co).
URL reali dei link: controllare l’anteprima e cercare HTTPS, sottodomini strani o reindirizzamenti.
Allegati non attesi: file .zip, .exe, .js o documenti che chiedono di “abilitare contenuto”.
Controlli SPF/DKIM/DMARC: email legittime in genere superano questi test di autenticazione.
Tono e procedura: richieste urgenti fuori policy, soprattutto su pagamenti o accessi.
Richieste di OTP o chiavi di recupero: banche e provider affidabili non le chiedono via email o SMS.

Impatto economico e rischi normativi

Gli effetti economici del phishing sono significativi. Il rapporto FBI IC3 2023 indica perdite riportate per oltre 12,5 miliardi di dollari, con il BEC tra le voci piu costose. Una singola email ben congegnata puo generare bonifici fraudolenti a sei o sette cifre, o aprire la strada a furti di dati e interruzioni operative. Il Verizon Data Breach Investigations Report ha piu volte rilevato che la componente umana gioca un ruolo principale nelle violazioni: nel 2023 il 74% degli incidenti significativi ha coinvolto l’elemento umano, e il phishing e tra i vettori piu ricorrenti. Al danno diretto si sommano costi di risposta, consulenze legali, notifica agli interessati e contenziosi.

Esistono anche rischi regolamentari. In Europa, il GDPR prevede sanzioni fino a 20 milioni di euro o al 4% del fatturato mondiale annuo per violazioni gravi dei dati personali. Il quadro NIS2, in fase di recepimento negli Stati Membri, rafforza obblighi di gestione del rischio e notifica degli incidenti per operatori essenziali e importanti. In Italia, linee guida e avvisi della Polizia Postale e di CERT-AgID indirizzano buone pratiche e canali di segnalazione. Le imprese devono quindi trattare il phishing non come un rischio residuale, ma come una minaccia strategica che impatta compliance, reputazione e continuita operativa.

Difese tecniche e buone pratiche

Una strategia efficace combina controlli tecnici a piu livelli con processi chiari. L’autenticazione a piu fattori resistente al phishing (ad esempio passkey o token FIDO2) riduce drasticamente i rischi rispetto a OTP via SMS. A livello di posta, l’allineamento SPF, DKIM e DMARC con policy restrittive (p=reject) limita l’abuso del dominio. I Secure Email Gateway con filtri su URL e allegati, piu analisi sandbox, fermano molte campagne. Endpoint con protezione anti-exploit, EDR e blocco macro, insieme a DNS filtering e isolamento del browser per link sconosciuti, aggiungono resilienza. Anche il principio del privilegio minimo e la segmentazione della rete riducono l’impatto in caso di compromissione di un account.

Controlli prioritari da implementare

MFA resistente al phishing: passkey e FIDO2 al posto di OTP via SMS o app non vincolate al dominio.
DMARC con p=reject e allineamento DKIM/SPF: riduce lo spoofing del dominio aziendale.
Secure Email Gateway e sandbox: analisi di allegati e URL con detonazione in ambienti isolati.
EDR su endpoint e macro disabilitate: blocco esecuzioni sospette e prevenzione esfiltrazioni.
DNS filtering e isolamento del browser: limitazione della navigazione verso domini a rischio.
Privilegio minimo e revoca token: ridurre l’impatto se un account viene compromesso.

Formazione continua e cultura aziendale

La tecnologia da sola non basta. La riduzione piu consistente del rischio si ottiene con programmi di formazione ricorrenti, contestualizzati sui processi reali dell’organizzazione. Simulazioni periodiche di phishing aiutano a misurare tassi di clic e di segnalazione, individuando reparti da rinforzare. Campagne brevi e frequenti funzionano meglio di corsi una tantum. Metriche chiare (click rate, report rate, tempo medio di rilevazione, tempo di revoca accessi) consentono di dimostrare miglioramenti nel tempo e di calibrare i contenuti. Coinvolgere il top management e fondamentale: se i dirigenti rispettano le stesse procedure di verifica, tutta l’azienda si adegua. La comunicazione deve rendere facili le azioni sicure, ad esempio con un pulsante “Segnala phishing” nel client di posta e un canale di verifica fuori banda per pagamenti e cambi IBAN. ENISA raccomanda approcci “security by design” e “security by awareness” integrati nelle pratiche operative, non relegati alla sola IT.

Casi d’uso tipici e contromisure operative

Nella pratica, molte truffe riescono perche imitano processi quotidiani. Il reparto acquisti riceve una richiesta credibile di aggiornare i dati bancari di un fornitore noto: senza un secondo canale di verifica, il bonifico parte. L’HR riceve CV con macro nascoste; senza sandbox, l’allegato supera i controlli. Un amministratore cloud riceve un invito a “ri-autorizzare” un’app con permessi OAuth; con un clic concede accesso a email e file. Prevedere questi scenari e costruire playbook specifici riduce gli errori: checklist operative per cambi IBAN, obbligo di firma digitale o PEC per richieste sensibili, regole di conditional access che bloccano autorizzazioni di terze parti ad alto rischio, e logging dettagliato per audit. Anche la gestione delle crisi deve essere provata: runbook, ruoli, canali alternativi di comunicazione e template di notifica esterna accelerano la risposta e limitano i danni, rispettando obblighi di notifica regolatoria ove applicabile.

Cosa fare subito dopo un attacco o un sospetto

Se sospetti di aver cliccato un link o fornito credenziali, agisci rapidamente. Disconnetti il dispositivo da reti sensibili e cambia le password partendo dagli account email e finanziari, attivando MFA robusta. Se hai inserito OTP o autorizzato app sconosciute, revoca i token nelle impostazioni di sicurezza dell’account e forza il logout di tutte le sessioni. Avvisa immediatamente l’IT o il SOC per isolare il dispositivo e avviare l’analisi, e informa i referenti finanziari per bloccare o richiamare eventuali bonifici. Conserva i messaggi sospetti per analisi forense. In Italia, segnala l’accaduto alla Polizia Postale e valuta la notifica a CERT-AgID in caso di campagne diffuse; su scala internazionale, l’FBI IC3 raccoglie denunce utili alle indagini. Le banche offrono canali di emergenza per bloccare carte e conti compromessi: farlo entro poche ore aumenta le probabilita di limitare le perdite.

Per prevenire recidive, esegui un controllo completo: verifica regole di inoltro email, app collegate via OAuth, chiavi di accesso, dispositivi attendibili e numeri di telefono per il recupero. Aggiorna i filtri del Secure Email Gateway con gli indicatori di compromissione raccolti e valuta di rafforzare DMARC se non e gia attivo con p=reject. Programma un debrief interno per affinare i playbook, aggiornare l’elenco dei fornitori critici e introdurre verifiche fuori banda obbligatorie per operazioni sensibili. Documentare tempi e azioni facilita eventuali adempimenti regolatori e migliora la resilienza dell’organizzazione contro i prossimi tentativi.