Phishing: significato e cosa comporta per un'azienda

Phishing significa inviare comunicazioni fraudolente che sembrano arrivare da un mittente legittimo, per indurre chi le riceve a consegnare credenziali, dati o denaro. Il glossario del rapporto annuale IC3 dell'FBI lo definisce come l'uso di e-mail, messaggi di testo e telefonate non richieste, apparentemente di un'azienda legittima, che chiedono dati personali, finanziari o credenziali di accesso.

Per una persona il phishing è un messaggio da cancellare. Per un'azienda è la porta d'ingresso più usata dagli attaccanti, quindi un problema di controlli e di processo, non di ingenuità del singolo. Qui lo guardiamo dal lato dell'organizzazione: come funziona un attacco, quali forme contano, cosa succede dopo il click, cosa chiede la normativa e cosa fare nelle prime ore.

Phishing: significato e definizione

Il phishing è una tecnica di ingegneria sociale. L'attaccante non forza una serratura tecnica: costruisce un contesto credibile (un fornitore, una banca, il servizio IT interno, il capo che scrive di corsa) e chiede un'azione apparentemente normale, come inserire le credenziali su una pagina o approvare un pagamento.

Cambia il canale (e-mail, SMS, telefono, codici QR, chat di lavoro), non l'obiettivo: credenziali valide, esecuzione di codice, movimento di denaro.

Perché per un'azienda il phishing è il primo punto di ingresso

Il riferimento europeo è l'ENISA Threat Landscape 2025, costruito su 4.875 incidenti raccolti tra il 1 luglio 2024 e il 30 giugno 2025: le tattiche di ingegneria sociale restano il principale punto di ingresso, con il phishing (incluse le varianti vocali, il malspam e il malvertising) che vale circa il 60% dei casi osservati. Lo sfruttamento di vulnerabilità, secondo vettore, si ferma al 21,3%.

Sull'Italia parla la Relazione annuale ACN 2025: nella distribuzione dei principali vettori di attacco rilevati dal CSIRT Italia, l'e-mail pesa il 40%, gli account validi il 24%, lo sfruttamento di vulnerabilità l'11%. Il quadro completo, settore per settore, sta negli attacchi cyber in Italia.

Il Rapporto Clusit 2026 aggiunge la tendenza: in Italia nel 2025 la categoria Phishing / Social Engineering ha guadagnato la quarta posizione tra le tecniche di attacco con il 12,4%, in crescita rispetto al 10,6% del 2024, passando in valore assoluto da 38 a 63 incidenti noti. Clusit attribuisce la ripresa agli strumenti di intelligenza artificiale, che rendono semplice produrre e-mail e messaggi, anche vocali, molto più verosimili. ENISA converge: all'inizio del 2025 le campagne di phishing supportate da AI rappresentavano oltre l'80% dell'attività di ingegneria sociale osservata su scala mondiale. Il punto pratico: gli errori di lingua e la grafica approssimativa non sono più un criterio affidabile per riconoscere un messaggio malevolo.

Come funziona un attacco di phishing, passo per passo

Nei casi aziendali la sequenza è ricorrente:

1. Ricognizione. Nomi, ruoli, fornitori e riferimenti pubblici, per rendere il pretesto plausibile.
2. Consegna. Il messaggio arriva sul canale meno presidiato: e-mail aziendale, SMS, chiamata al centralino, QR in allegato.
3. Raccolta. Il link porta a una pagina che replica un portale reale. ENISA descrive l'industrializzazione di questa fase con le piattaforme di phishing-as-a-service: Darcula è stata osservata mentre impersonava più di 200 organizzazioni, con vittime in oltre cento Paesi.
4. Uso delle credenziali. L'accesso avviene con un'identità legittima, difficile da distinguere dal traffico normale.
5. Persistenza. Regole di inoltro, deleghe sulla casella, applicazioni autorizzate via OAuth, dispositivi registrati: strumenti nativi del cloud, nessun malware richiesto.
6. Monetizzazione. Esfiltrazione di dati, dirottamento di un pagamento oppure preparazione di un ransomware.

Non serve sempre un allegato: nelle truffe in stile ClickFix documentate da ENISA è l'utente stesso a eseguire il comando, ingannato da un finto CAPTCHA.

Le forme che contano in un contesto aziendale

Spear phishing

Il messaggio è costruito su una persona precisa e su un contesto vero. Nel 2025 il CSIRT Italia ha classificato 194 eventi come spearphishing, di cui 36 diventati incidenti con impatto confermato (Relazione annuale ACN 2025): una conversione in incidente più alta di quella del phishing generico, che conta 363 eventi e 82 incidenti.

BEC, la frode sul pagamento

Il Business Email Compromise non punta a installare nulla: punta a farsi autorizzare un bonifico o a far cambiare un IBAN, spesso inserendosi in una conversazione reale con un fornitore. L'IC3 2025 Annual Report dell'FBI riporta per il 2025 24.768 segnalazioni di BEC e perdite dichiarate per oltre 3 miliardi di dollari (3.046.598.558), contro 21.442 segnalazioni e 2,77 miliardi nel 2024. Sempre nel 2025, le imprese hanno dichiarato oltre 30 milioni di dollari di perdite in truffe BEC con componente di intelligenza artificiale, tipicamente testi generati o voci clonate.

Smishing e vishing

Smishing è il phishing via SMS o messaggistica, vishing quello via telefono. ENISA li conta dentro il 60% del vettore phishing e documenta piattaforme di phishing-as-a-service dedicate al mobile: Lucid ha esteso le campagne a iMessage e RCS, raggiungendo oltre 169 obiettivi in 88 Paesi. Il problema aziendale è che questi canali stanno fuori dai filtri della posta e fuori dai log.

Quishing, il codice QR

Il codice QR sposta il clic su un dispositivo che l'azienda spesso non controlla. ENISA riporta la campagna Scanception, con QR malevoli in allegati PDF che portavano a pagine di raccolta credenziali ospitate su cloud attendibili, eludendo filtri della posta e controlli sull'endpoint.

Quando il secondo fattore non basta

L'autenticazione a più fattori alza l'asticella, non chiude la partita. Tra gli sviluppi del phishing-as-a-service ENISA cita FlowerStorm, un kit adversary-in-the-middle che imita i portali Microsoft 365 e aggira l'MFA intercettando la sessione. Il fact sheet CISA Implementing Phishing-Resistant MFA (ottobre 2022) elenca gli altri modi in cui il secondo fattore viene superato: il push bombing, cioè il bombardamento di notifiche di approvazione fino a quando l'utente accetta, lo sfruttamento del protocollo SS7 per intercettare i codici via SMS e il SIM swap. Come resistenti al phishing lo stesso documento indica due famiglie: FIDO/WebAuthn e autenticazione basata su infrastruttura a chiave pubblica.

Cosa succede dopo il click

Il phishing riuscito produce raramente un danno visibile. Produce un accesso. ACN lo scrive in modo esplicito: il phishing si è confermato una minaccia che abilita in modo trasversale altre modalità di attacco, perché è frequentemente orientato all'acquisizione non autorizzata di credenziali, comprese quelle dei servizi cloud.

La casella compromessa diventa una base: nel 2025 la compromissione di caselle di posta vale 304 eventi e 101 incidenti nella classificazione ACN, una delle voci che più spesso si traduce in impatto reale. Le credenziali valide diventano il mezzo per muoversi: ENISA osserva che gli operatori ransomware si appoggiano all'abuso di credenziali durante la diffusione laterale, e ACN registra che in Italia gli attacchi ransomware sono risultati spesso abilitati da credenziali valide già compromesse, da vulnerabilità non sanate e da accessi remoti esposti.

Il tempo che passa tra l'accesso e la scoperta è la variabile che decide la gravità: lo abbiamo trattato con i numeri per scenario in quanto tempo serve per accorgersi di un attacco.

Le tre leve per ridurre il rischio

1. Piano tecnico

• Autenticazione a più fattori su tutti gli accessi esposti, nelle forme resistenti al phishing per gli account amministrativi e i ruoli con potere di spesa.
• Autenticazione del dominio di posta con SPF, DKIM e DMARC: non ferma il phishing in ingresso, ma rende più difficile l'abuso del tuo dominio verso clienti e fornitori. Lo stato dei record si vede con il verificatore SPF, DKIM e DMARC.
• Visibilità su identità e endpoint, perché il segnale utile arriva dopo il click: accessi anomali, nuove regole di inoltro, token rilasciati. Quale strumento fa cosa è in EDR, XDR e MDR a confronto.

2. Piano processo

• Verifica fuori canale per ogni variazione di IBAN o pagamento fuori standard: una telefonata a un numero già in anagrafica, non a quello indicato nella mail. È il controllo che neutralizza la maggior parte dei tentativi di BEC.
• Un percorso di segnalazione a un clic, con una regola chiara: chi segnala non viene rimproverato. Dieci falsi positivi costano meno di una segnalazione mancata.
• Una procedura di risposta scritta prima del bisogno, con nomi e turni: chi rileva e chi risponde fuori orario è la scelta che sta dietro a cosa fa un SOC.

3. Piano persone

La formazione serve, con due avvertenze. L'obiettivo non è far riconoscere il messaggio sospetto, competenza che l'AI generativa ha reso poco affidabile, ma far arrivare la segnalazione in fretta. E le simulazioni valgono come misura del tempo di segnalazione, non come classifica di chi ha sbagliato.

Cosa chiede la normativa

La parola phishing non compare nel testo, ma gli obblighi la coprono. Il D.Lgs. 138/2024, che recepisce la direttiva NIS2, include tra le misure minime dell'articolo 24, comma 2, le pratiche di igiene di base e di formazione in materia di sicurezza informatica (lettera g) e l'uso dell'autenticazione a più fattori o continua (lettera l), oltre alla gestione degli incidenti (lettera b).

L'articolo 23 sposta la responsabilità in alto: gli organi di amministrazione e direttivi dei soggetti essenziali e importanti sono tenuti a seguire una formazione in materia di sicurezza informatica e a promuovere per i propri dipendenti un'offerta periodica di formazione coerente con quella, e sono responsabili delle violazioni previste dal decreto. Se l'incidente diventa significativo scattano le finestre di notifica al CSIRT Italia dell'articolo 25, a partire dalle 24 ore della pre-notifica, dettagliate nella scheda sulla notifica degli incidenti NIS2. Per capire se il perimetro ti riguarda, si parte dalla guida completa alla NIS2.

Le prime ore dopo un caso sospetto

Se un utente ha inserito le credenziali su una pagina sospetta, l'ordine delle mosse conta:

1. Chiudi la sessione, non solo la password. Reimposta le credenziali e revoca token e sessioni attive: il solo cambio password lascia vivo l'accesso già ottenuto.
2. Controlla la casella. Regole di inoltro recenti, deleghe, cartelle nuove: la traccia tipica della persistenza su posta.
3. Guarda le autorizzazioni. Applicazioni OAuth concesse, dispositivi registrati, metodi MFA aggiunti dopo il fatto.
4. Blocca il denaro in transito. Se il pretesto era un pagamento, avvisa amministrazione e banca prima di ogni analisi: la finestra di recupero di un bonifico si misura in ore.
5. Cerca gli altri destinatari. Una campagna colpisce più caselle: serve sapere chi ha ricevuto e chi ha cliccato, non solo chi ha segnalato.
6. Conserva le evidenze e valuta la significatività. Messaggio originale con header, log di accesso, indicatori. Nel perimetro NIS2 i termini decorrono da quando vieni a conoscenza dell'incidente.

In sintesi

Phishing significa farsi consegnare credenziali, dati o denaro con un messaggio che sembra legittimo. Per l'azienda è il primo vettore di intrusione (circa il 60% dei casi ENISA, il 40% dei vettori ACN in Italia) e la sua efficacia cresce perché un messaggio credibile costa poco. Le contromisure che spostano l'esito sono tre insieme: autenticazione difficile da intercettare, verifica fuori canale sui pagamenti, tempo di segnalazione misurato in minuti.

Se vuoi capire come se la caverebbe la tua azienda con una campagna mirata, dal primo clic alla notifica, parliamone: partiamo da quello che hai già in casa.