L'email è ancora uno dei vettori principali
Nonostante decenni di awareness e filtri sempre più sofisticati, il phishing resta uno dei principali vettori di accesso iniziale, presente in circa il 15% delle violazioni analizzate dal Verizon DBIR 2025, dietro l'uso di credenziali rubate (22%) e lo sfruttamento di vulnerabilità (20%). La ragione è semplice: è l'attacco con il miglior rapporto costo/efficacia. Un'email costa frazioni di centesimo; basta che un dipendente su cento clicchi.
L'evoluzione del phishing nel 2026
Il phishing del 2026 non è quello di 5 anni fa. L'AI generativa ha eliminato gli errori grammaticali e le formattazioni sospette. Ecco le tecniche attuali:
- AI-generated spear phishing: email personalizzate usando dati LinkedIn, sito aziendale e social media. Indistinguibili da email legittime.
- Vishing con deepfake: chiamate telefoniche con voci clonate del CEO. Casi documentati in Italia nel 2025 con perdite fino a 150.000€.
- Quishing: QR code malevoli in email, poster, biglietti da visita. Bypassano i filtri email tradizionali.
- Thread hijacking: l'attaccante compromette una casella e risponde a conversazioni reali, inserendo link malevoli in contesti credibili.
- MFA fatigue: bombardamento di richieste MFA fino a che la vittima approva per stanchezza.
Anatomia di un attacco reale
Caso reale italiano, Q4 2025: un'azienda manifatturiera veneta con 60 dipendenti. L'attaccante:
- Identifica il CFO su LinkedIn e raccoglie informazioni sul fornitore principale
- Crea un dominio simile al fornitore (una "l" sostituita con "1")
- Invia un'email con fattura "aggiornata" e nuove coordinate bancarie
- Il CFO verifica: l'email sembra provenire dal contatto noto
- Bonifico da 38.000€ su conto estone. Fondi irrecuperabili in 4 ore.
Difese tecniche che funzionano
- SPF + DKIM + DMARC: configurazione DNS che impedisce lo spoofing del vostro dominio. Gratuita da implementare, ma arrivare alla policy "reject" senza rompere il flusso di posta richiede settimane di monitoraggio dei report aggregati. Anche tra le grandi aziende italiane l'adozione resta parziale: nel 2024 solo il 38% delle società del FTSE MIB 40 era in reject, a fronte del 78% con un record DMARC pubblicato (Proofpoint).
- Email security gateway: sandboxing degli allegati, analisi URL in tempo reale, protezione da impersonation
- Banner di avviso: "Questa email proviene dall'esterno" su tutte le mail non interne
- MFA resistente al phishing: chiavi FIDO2 o passkey invece di SMS/TOTP
Difese umane: la simulazione che funziona
Uno studio randomizzato su oltre 19.500 dipendenti (IEEE S&P 2025) non ha rilevato alcuna correlazione significativa tra la formazione annuale obbligatoria e il tasso di click, e ha misurato una riduzione di appena 2 punti percentuali per il micro-training erogato subito dopo il click. I vendor di simulazione pubblicano benchmark con cali molto più ampi su 12 mesi, ma si basano su popolazioni di clienti auto-selezionate, non su gruppi di controllo randomizzati. Piattaforme come Specter permettono di gestire campagne di simulazione realistiche e contestuali. Il programma efficace:
- Simulazione mensile con template realistici e contestuali
- Feedback immediato a chi clicca (micro-training di 3 minuti)
- Metriche di miglioramento condivise con il management
- Reward per chi segnala (non punizione per chi clicca)
Il phishing si combatte con una combinazione di tecnologia e cultura. Nessuna delle due da sola è sufficiente. Integrare threat intelligence nei filtri email consente di bloccare le campagne già note prima che raggiungano le caselle dei dipendenti.