Addio "truffa evidente", benvenuto "sembra legittimo": la crescita del phishing basato sull'IA

La maggior parte delle persone riconosce il phishing tradizionale, perché lo conosce da anni. Le caselle di posta e i telefoni personali sono pieni di falsi SMS di consegna, e-mail del tipo “il suo conto bancario è bloccato” e, come non citare la “richiesta urgente di un diplomatico” che chiede aiuto per trasferire una somma di denaro assurda fuori dal proprio paese. Questi tentativi di truffa così evidenti, e spesso persino ridicoli, non sono più scioccanti, sorprendenti o degni di nota. Sono diventati rumore di fondo.

Quello che è cambiato, tuttavia, è la velocità e la qualità dell’inganno. Il social engineering che una volta appariva approssimativo e facile da smascherare viene oggi prodotto in massa grazie all’IA generativa. Il risultato è una scrittura più curata, meno segnali di allarme evidenti e messaggi che suonano più simili a quelli di veri colleghi e fornitori. Il Digital Defense Report 2025 di Microsoft riporta che il phishing basato sull’IA può essere significativamente più efficace delle campagne tradizionali, e il Data Breach Investigations Report 2025 di Verizon segnala che il testo generato dall’IA nelle e-mail dannose è raddoppiato negli ultimi due anni.

Per i professionisti IT, questo cambiamento era previsto. Molti lo avevano anticipato, ne comprendono le dinamiche e sanno come proteggersi. Il problema più grande è che molti dipendenti e clienti non tecnici sono ancora ancorati a un modello mentale più vecchio del phishing: e-mail e SMS sospetti, facili da individuare. Le esche abilitate dall’IA di oggi non sempre appaiono dubbie e colpiscono sempre più spesso le aree in cui il danno è maggiore: i sistemi di identità aziendale, le comunicazioni interne e i flussi di lavoro finanziari.

Phishing basato sull’IA: perché ora è un problema aziendale importante, non solo personale

Il phishing tradizionale mirato agli account personali punta solitamente al furto di credenziali, alla frode con carte di pagamento o alla presa di controllo dell’account. Ora, il phishing basato sull’IA in ambito lavorativo aggiunge due fattori fondamentali:

• L’identità aziendale è una chiave universale. Una singola casella di posta compromessa o una sessione single sign-on possono portare a phishing interno, furto di dati, frodi ai danni dei fornitori e persistenza nell’ambiente. I dati sulla risposta agli incidenti di Microsoft hanno rilevato che il 28% delle violazioni è stato originato da phishing o social engineering. Ecco perché affermare che “è solo un clic” non è un’affermazione innocua. Spesso è il primo domino a cadere.
• I processi aziendali muovono denaro. Le modifiche alle fatture, i reindirizzamenti degli stipendi, le truffe con buoni regalo e l’onboarding dei fornitori sono progettati per essere rapidi, non per essere analizzati nel dettaglio. I dati dell’IC3 dell’FBI sottolineano la portata del fenomeno: nel 2024, l’IC3 ha ricevuto 21.442 segnalazioni di Business Email Compromise, con perdite rettificate superiori a 2,7 miliardi di dollari USA.

Esempi di phishing basato sull’IA

Ecco alcuni esempi che i professionisti IT possono condividere con colleghi e clienti non tecnici per aiutarli a capire come si presenta oggi il phishing basato sull’IA in ambito lavorativo. Non si tratta di un elenco esaustivo, ma evidenzia alcune delle trappole più comuni:

• La trappola dell’“urgenza del dirigente”: un messaggio che sembra provenire dal CEO chiede a qualcuno del team finanziario di effettuare un bonifico urgente prima di una riunione del consiglio (o prima di un altro evento di grande importanza). Spesso l’aggressore cerca rapidamente di spostare la conversazione su un numero personale, giustificando la richiesta con un “sono in viaggio”.
• L’esca del documento delle risorse umane: un messaggio afferma di riguardare il reclamo di un candidato, l’aggiornamento di una policy o documenti di licenziamento, e indirizza il destinatario verso una falsa pagina di accesso a Microsoft 365.
• Lo scambio della fattura del fornitore: un vero scambio di messaggi con un fornitore viene dirottato o falsificato in modo convincente, e l’aggressore inserisce dei “dati bancari aggiornati” (spesso con una motivazione plausibile per la modifica).
• Il pretesto del reset dell’MFA/helpdesk: un aggressore che si finge un dipendente dichiara di aver perso il telefono, chiede all’IT di reimpostare l’MFA e fa pressione per ottenere rapidamente un’eccezione, “per non bloccare il lavoro”.
• Il QR code “scansiona per visualizzare”: un’e-mail o un PDF include un QR code che dichiara che il destinatario deve scansionarlo per visualizzare un documento protetto, portando così al furto di credenziali o di token.
• Impersonificazione di domini su larga scala: domini molto simili a quelli originali vengono registrati rapidamente e utilizzati per impersonare marchi, fornitori e servizi interni in campagne su vasta scala.

Il messaggio chiave qui è che affermare “questo messaggio sembra evidentemente falso!” non è più una garanzia affidabile. Gli aggressori non hanno bisogno di una scrittura impeccabile o di una conoscenza approfondita dei flussi di lavoro delle proprie vittime. L’IA colma queste lacune.

In sostanza, il phishing basato sull’IA ha successo quando la velocità prevale sulla verifica. Le difese più efficaci combinano due elementi: abitudini semplici per gli utenti che interrompono l’impulso ad “agire subito”, e controlli organizzativi che limitano i danni in caso di errore. Iniziamo dal primo aspetto, poiché gli utenti sono sempre stati, sono e saranno l’anello più debole della catena della sicurezza IT.

Formare gli utenti: 4 controlli essenziali

Come accennato, il phishing basato sull’IA rende molto meno efficace la formazione incentrata sull’“individuare la truffa evidente”, perché molti messaggi dannosi oggi appaiono curati, plausibili e familiari. È invece pratico ed efficace formare gli utenti su una serie di controlli ripetibili che possono applicare in pochi secondi. Quattro in particolare sono essenziali: il controllo del processo, il controllo dell’identità, il controllo dei link e degli allegati, e il controllo delle informazioni e della verifica.

1. Controllo del processo

Prima di valutare da chi proviene un messaggio, gli utenti dovrebbero innanzitutto prestare attenzione a cosa il messaggio chiede loro di fare. Il phishing basato sull’IA spesso ha successo sfruttando i processi aziendali, non apparendo evidentemente sospetto. Il controllo del processo è un modo rapido per individuare richieste che non rientrano nei normali flussi di lavoro, specialmente quando il messaggio è urgente o tenta di eludere i controlli standard.

Gli utenti dovrebbero chiedersi: “questa richiesta corrisponde a un normale flusso di lavoro?” In particolare, dovrebbero prestare attenzione a:

• Urgenza abbinata a segretezza (“non lo dica a nessuno”, “mi serve prima della riunione”)
• Richieste inusuali di pagamento o di modifica dell’account (dati bancari, modifiche ai pagamenti dei fornitori, aggiornamenti degli stipendi)
• Richieste di reinserimento delle credenziali (pagine di accesso inaspettate, link con “sessione scaduta”, QR code per “documenti protetti”)
• Cambio di canale a metà del processo (dall’e-mail all’SMS, da Teams al WhatsApp personale, “usi questo nuovo numero”)
• Richieste di eludere le approvazioni (“solo questa volta”, “approverò più tardi”)

2. Controllo dell’identità

Prima di rispondere a un messaggio sospetto, gli utenti dovrebbero verificare il mittente tramite un canale noto e sicuro. Ciò può significare chiamare il mittente utilizzando un numero salvato in rubrica, inviare una nuova e-mail a un indirizzo affidabile (senza rispondere a quella originale!), oppure confermare di persona, quando ciò è pratico ed efficiente.

Questi controlli spostano il processo decisionale da “sembra falso?” a “ha senso?” e “sono sicuro dell’identità?”.

3. Controllo dei link e degli allegati

Anche quando un messaggio sembra legittimo, gli utenti dovrebbero considerare link, allegati e QR code come elementi ad alto rischio, in particolare quando sono inaspettati, urgenti o legati all’accesso. I consigli in questo ambito comprendono:

• Non utilizzare i link presenti nel messaggio per accedere. Aprire il servizio normalmente (tramite un segnalibro, digitando l’URL o utilizzando l’app ufficiale) e proseguire da lì.
• Prestare attenzione agli allegati “visualizza documento” e ai QR code, in particolare se generano una pagina di accesso inaspettata o una richiesta di credenziali.
• Se un link o un file genera pressione ad agire rapidamente, fermarsi ed eseguire prima il controllo del processo e il controllo dell’identità.

4. Controllo delle informazioni e della verifica

Il phishing basato sull’IA diventa più convincente quando gli aggressori dispongono di maggiore contesto. Gli utenti dovrebbero presumere che anche piccole condivisioni eccessive di informazioni possano essere utilizzate come arma. Le regole in questo ambito comprendono:

• Evitare di condividere dettagli operativi sensibili su canali ampi (come aggiornamenti bancari dei fornitori, processi di pagamento, nomi degli approvatori, screenshot interni, piani di viaggio, dettagli dei progetti).
• Non condividere mai codici temporanei, richieste MFA o dettagli di “verifica” con nessuno. Gli utenti devono sapere che l’IT non li richiederà mai.
• Verificare tramite un canale sicuro e noto se qualcuno richiede dettagli sensibili per “confermare l’identità” o “sbloccare un’attività urgente”.

Nel loro insieme, questi quattro controlli non richiedono che il personale non tecnico diventi esperto di sicurezza. Piuttosto, creano abitudini coerenti in grado di contrastare i tentativi di phishing basato sull’IA e prevenire furti di identità e violazioni.

Rafforzare le organizzazioni: 4 aree di controllo fondamentali

Sebbene le buone abitudini degli utenti siano essenziali in questa battaglia, non possono sostenere l’intero peso della responsabilità, specialmente quando l’IA rende il phishing più convincente e scalabile. Il livello successivo è quindi organizzativo: controlli che riducono la frequenza con cui gli attacchi hanno successo, limitano ciò che un aggressore può fare con credenziali o sessioni rubate, e integrano la verifica nei flussi di lavoro che controllano gli accessi e muovono il denaro. Ecco alcune raccomandazioni applicabili a tutte le organizzazioni, incluse le piccole e medie imprese con team IT e budget limitati:

1. Rendere l’autenticazione resistente al phishing la norma, non l’eccezione

Bisogna presumere che le password verranno rubate tramite phishing, riutilizzate o sottratte. La domanda chiave non è quindi “possiamo bloccare ogni tentativo di phishing?”, ma “cosa succede quando una password viene divulgata?” I controlli raccomandati comprendono:

• MFA resistente al phishing dove possibile (FIDO2/passkey/chiavi di sicurezza), e MFA robusta ovunque altro.
• Applicazione obbligatoria dell’MFA per i ruoli privilegiati e le azioni ad alto rischio (portali di amministrazione, modifiche ai pagamenti, creazione di regole per la posta, gestione dei fornitori).
• Protezione contro l’MFA fatigue (corrispondenza numerica, associazione ai dispositivi e controlli che riducono l’accettazione delle notifiche push ripetute).

Un’autenticazione robusta non elimina il social engineering, ma trasforma molti tentativi di furto di credenziali in vicoli ciechi.

2. Ridurre il vantaggio ottenibile da una sessione o un token rubati

Il phishing basato sull’IA colpisce sempre più spesso i token di sessione e i consensi OAuth, non solo le password. È opportuno privilegiare i controlli che limitano la persistenza e i movimenti laterali. Questo comprende:

• Accesso condizionato e politiche basate sul rischio per viaggi impossibili, dispositivi non familiari e accessi anomali.
• Controlli rigorosi sulla posta elettronica (inoltro automatico, regole sospette per la posta in arrivo, delegati creati di recente).
• Governance delle app OAuth e di terze parti (limitare il consenso degli utenti, richiedere l’approvazione dell’amministratore per gli ambiti a rischio, verificare le nuove autorizzazioni concesse alle app).
• Privilegio minimo come impostazione predefinita (diritti di amministrazione permanenti mantenuti rari, limitati nel tempo e verificabili).

Questi controlli determinano spesso se un incidente rimane contenuto oppure si trasforma in una piattaforma di phishing interno e in un evento di esfiltrazione dei dati.

3. Proteggere i flussi di lavoro più presi di mira dagli aggressori

Molti incidenti con perdite elevate si verificano perché un processo aziendale legittimo viene sfruttato. È opportuno rafforzare i flussi di lavoro ad alto rischio integrando la verifica attraverso quanto segue:

• Conferma fuori banda per le modifiche bancarie e degli stipendi, utilizzando dati di contatto affidabili già presenti in archivio.
• Approvazione a due persone per i pagamenti urgenti e la configurazione di nuovi fornitori.
• Comunicazione verificata con i fornitori (domini approvati, elenchi di contatti, controlli sulle modifiche ai pagamenti).
• Regole chiare del tipo “non fare mai questo” (non condividere mai i codici MFA, non approvare mai richieste MFA inaspettate, non installare mai strumenti di accesso remoto in risposta a richieste non sollecitate).

Quando è il processo stesso a richiedere la verifica, le organizzazioni non dipendono più dal giudizio individuale sotto pressione.

4. Rendere la segnalazione rapida, sicura e gratificante

Quanto più rapidamente viene segnalato un tentativo di phishing sospetto, tanto minore sarà il danno. A tal fine, le organizzazioni dovrebbero attivare:

• Segnalazione con un solo clic negli strumenti di posta elettronica e di collaborazione.
• Cicli di feedback rapidi (“era dannoso, ottimo lavoro” oppure “era sicuro, ed ecco perché”).
• Una cultura priva di giudizio che premia ogni segnalazione, anche i falsi positivi.

Approfondimento e consigli del nostro Chief Security Officer, Patrick Pilotte

Ciò che trovo particolarmente rilevante in questo articolo è il cambio di paradigma che propone: non dovremmo più basarci su “ciò che appare sospetto”, ma su “ciò che non segue un processo normale”.

L’unica precisazione che aggiungerei è che l’IA non ha creato il phishing sofisticato, lo ha reso accessibile su larga scala. Ciò che prima era riservato agli attacchi mirati (BEC, frode del CEO) può ora essere riprodotto massivamente con poco sforzo. A mio avviso, il problema reale non è quindi solo la qualità dei messaggi, ma la loro industrializzazione.

Aggiungerei inoltre che gli attacchi non si limitano più alle e-mail. Osserviamo sempre più scenari ibridi che combinano e-mail, piattaforme di messaggistica interna (Teams, Slack) e persino phishing vocale con clonazione della voce, che aumenta enormemente la credibilità.

Infine, piuttosto che considerare l’utente come l’anello più debole, è più corretto affermare che i nostri processi aziendali sono spesso ottimizzati per la velocità piuttosto che per la verifica, e proprio in questo scarto gli aggressori trovano la loro opportunità.

Conclusione

Il phishing basato sull’IA funziona quando le persone sono di fretta e i sistemi sono permissivi. La soluzione non consiste nell’aspettarsi una vigilanza perfetta da parte degli utenti. Consiste piuttosto nel costruire una solida rete di sicurezza fondata su abitudini di verifica facili da applicare sotto pressione, rafforzandole con controlli organizzativi robusti che limitino l’impatto degli errori.