Il phishing aziendale è oggi la minaccia numero uno per le PMI. Sai già cos’è, lo sai riconoscere e probabilmente lo riconoscono anche i tuoi colleghi più attenti.
Il problema è che su 1.000 dipendenti presi di mira da una campagna di phishing, in media 34 cliccano sul link malevolo, secondo il Proofpoint State of the Phish 2024. Uno su trenta. In un’azienda da 30 persone, statisticamente bastano tre dipendenti vulnerabili per mettere a rischio l’intera rete. E grazie all’intelligenza artificiale generativa, le email di phishing sono diventate indistinguibili da quelle legittime: niente più errori grammaticali, mittenti plausibili, riferimenti personalizzati raccolti dai social network.
Nel 2026, prevenire il phishing non significa più insegnare alle persone a riconoscere “la mail sgrammaticata”. Significa costruire un sistema di difesa che funziona anche quando qualcuno, inevitabilmente, ci casca.
I numeri sul phishing aziendale che ogni IT Manager dovrebbe conoscere
Il phishing è la porta d’ingresso per oltre il 70% delle violazioni aziendali, con una crescita del 27% nel 2025 rispetto all’anno precedente, secondo il Rapporto Clusit 2025. Non è una minaccia residuale, è il vettore principale attraverso cui partono ransomware, furti di credenziali e attacchi BEC (Business Email Compromise).
Il dato più inquietante riguarda l’intelligenza artificiale: nel 2025, il 67,4% degli attacchi di phishing ha utilizzato qualche forma di AI generativa. Le email prodotte dall’AI hanno un tasso di clic fino al 60% superiore rispetto al phishing tradizionale, perché sono scritte bene, sono coerenti con il contesto aziendale e spesso includono riferimenti personalizzati impossibili da ignorare.
C’è poi il fenomeno del quishing, cioè il phishing tramite QR code: aumentato del 400% tra il 2023 e il 2025, colpisce soprattutto i settori energia, sanità e manifatturiero. Un QR code in un documento apparentemente legittimo porta a una pagina clone. Lo schermo del telefono non mostra l’URL completo. Il dipendente inserisce le credenziali e non si accorge di nulla.
Come funziona un attacco di phishing moderno
Capire il meccanismo aiuta a costruire difese più efficaci. Un attacco di phishing moderno segue tipicamente queste fasi.
Ricognizione. Prima di inviare qualsiasi mail, l’attaccante raccoglie informazioni: il nome del CEO, i fornitori abituali dell’azienda, i nomi dei dipendenti su LinkedIn, i progetti in corso citati sui social. Oggi l’AI automatizza questa fase in pochi minuti.
Costruzione del pretesto. L’email viene costruita intorno a un pretesto credibile: una fattura di un fornitore che conosci, un avviso di sicurezza del tuo servizio cloud, un messaggio urgente dal CEO che chiede di effettuare un bonifico prima della chiusura dei conti. La credibilità è altissima perché i dettagli sono reali.
Delivery e urgenza. L’email arriva con un senso di urgenza artificiale: “Il tuo account sarà bloccato entro 24 ore”, “Conferma entro oggi per evitare sanzioni”, “Trovi in allegato la fattura scaduta”. L’urgenza bypassa il pensiero critico.
Raccolta delle credenziali. Il link porta a una pagina clone del servizio reale. L’utente inserisce username e password senza notare che il dominio è leggermente diverso dall’originale. Le credenziali sono già nelle mani dell’attaccante.
La checklist tecnica per il team IT
Dal punto di vista tecnico, ci sono configurazioni e strumenti che riducono significativamente la superficie di attacco. Ecco i passaggi prioritari.
Implementa SPF, DKIM e DMARC. Questi tre protocolli di autenticazione email sono fondamentali per ridurre lo spoofing del dominio aziendale, cioè l’invio di email che sembrano provenire da voi ma non lo sono. SPF specifica quali server sono autorizzati a inviare email per il vostro dominio. DKIM aggiunge una firma crittografica alle email. DMARC definisce cosa fare con le email che non superano i controlli. Se non li hai ancora configurati tutti e tre, è la prima priorità.
Attiva il filtro email avanzato. I filtri tradizionali basati su liste di spam non bastano più contro attacchi personalizzati. Soluzioni come Microsoft Defender for Office 365 o strumenti equivalenti analizzano i pattern comportamentali delle email, non solo il contenuto testuale.
Rendi obbligatoria l’autenticazione a due fattori (MFA). È la misura singola con il rapporto costo-beneficio più alto. Anche se le credenziali vengono rubate tramite phishing, senza il secondo fattore l’attaccante non può accedere. Priorità assoluta per email aziendale, VPN, servizi cloud e sistemi gestionali.
Attenzione agli attacchi AiTM. Gli attacchi adversary-in-the-middle (AiTM) sono progettati specificamente per aggirare l’MFA: un proxy malevolo si interpone tra l’utente e il servizio reale, rubando il token di sessione dopo l’autenticazione. La difesa più efficace è adottare passkey FIDO2 o chiavi hardware (YubiKey), che legano l’autenticazione al dominio reale e non possono essere intercettate.
Configura il DNS filtering. Un filtro DNS blocca l’accesso a domini malevoli conosciuti prima ancora che la pagina phishing si carichi. Soluzioni come Cisco Umbrella o Cloudflare Gateway sono accessibili anche per PMI e riducono drasticamente il rischio di atterrare su pagine clone.
La parte umana: simulazioni e formazione continua
La tecnologia aiuta, ma non elimina il rischio. Il 58% dei dipendenti non sa riconoscere un’email di phishing, e con l’avvento del phishing AI questa percentuale è destinata a crescere, non a diminuire.
La risposta non è un corso annuale di quattro ore. È un programma di simulazione e formazione continua, con sessioni brevi e frequenti.
Come funziona in pratica: periodicamente si invia ai dipendenti una email di phishing simulata, costruita con le stesse tecniche dei veri attaccanti. Chi clicca riceve immediatamente un feedback formativo: non una punizione, ma una spiegazione di cosa avrebbe dovuto notare e perché. Chi non clicca riceve un rinforzo positivo.
Le simulazioni più efficaci usano pretesti reali: finte comunicazioni del software gestionale, finte notifiche di aggiornamento delle policy aziendali, finti messaggi dal reparto HR. Più il pretesto è vicino alla realtà quotidiana, più la simulazione è efficace.
Sessioni trimestrali di 15-20 minuti con esempi aggiornati di attacchi realmente circolati in Italia hanno dimostrato di ridurre significativamente il tasso di clic nelle simulazioni successive. Non serve molto tempo, serve la giusta frequenza.
Cosa fare quando qualcuno ci casca
Nessuna difesa è infallibile. Il piano di risposta agli incidenti deve prevedere esplicitamente questo scenario.
Quando un dipendente realizza di aver cliccato su qualcosa di sospetto, le prime azioni sono tempo-critiche. Deve poter segnalare l’incidente immediatamente, senza timore di conseguenze. Il team IT deve cambiare subito le credenziali compromesse, revocare le sessioni attive e verificare se c’è stato accesso non autorizzato ai sistemi.
Il tempo medio di rilevamento di una compromissione da phishing è di 207 giorni, secondo l’IBM Cost of a Data Breach 2024. Questo dato mostra quanto sia raro che gli incidenti vengano scoperti subito. Un dipendente che segnala immediatamente riduce questo tempo a ore, non mesi, e la differenza in termini di danno è enorme.
Costruisci un canale di segnalazione semplice: un indirizzo email dedicato, un pulsante nel client email, un numero interno. Più è facile segnalare, prima arrivi a sapere cosa sta succedendo.
Un approccio a livelli: tecnologia, processi e persone
La difesa efficace contro il phishing non si costruisce su un singolo strumento, ma su tre livelli che si rinforzano a vicenda.
Il livello tecnologico (filtri email, MFA, DNS filtering, monitoraggio) riduce la probabilità che un attacco arrivi a destinazione e limita i danni se ci arriva.
Il livello dei processi (procedure di segnalazione, piani di risposta, gestione delle credenziali, offboarding degli utenti) garantisce che quando qualcosa va storto ci sia una risposta organizzata invece del caos.
Il livello umano (simulazioni, formazione continua, cultura della segnalazione) trasforma i dipendenti da anello debole a prima linea di difesa attiva.
Nessuno dei tre livelli funziona da solo. La tecnologia più avanzata è inutile se i processi non esistono. I processi migliori non bastano se le persone non sono formate. E la formazione perde efficacia se non è supportata da strumenti tecnici adeguati.
Hai già una strategia anti-phishing strutturata o stai ancora gestendo tutto manualmente?
Prenota una call gratuita di 30 minuti con il nostro team. Valutiamo insieme il livello di esposizione attuale della tua azienda e ti diciamo, senza impegno, quali sono i passi più urgenti da fare.