Tipi di phishing: smishing, vishing, spear phishing e altri

I tipi di phishing si distinguono in due modi: per canale e per bersaglio. Per canale ci sono il phishing via e-mail e via PEC, lo smishing (SMS), il vishing (telefono), il quishing (codice QR) e i messaggi su social e chat. Per bersaglio si va dal phishing di massa allo spear phishing, al whaling verso i vertici, fino alla frode sul pagamento (BEC e truffa del CEO). Cambia il mezzo, non l'obiettivo: credenziali, un pagamento o un comando eseguito.

Qui trovi le varianti con esempi, le differenze che contano e i controlli per ogni canale. Per la definizione di base e per cosa fare nelle prime ore dopo un clic, il punto di partenza è phishing: cosa significa per un'azienda.

Perché conviene distinguere i tipi di phishing

Perché ogni canale passa da controlli diversi, e quello meno presidiato è quello che l'attaccante sceglie. L'ENISA Threat Landscape 2025 conta il phishing, comprese le varianti vocali, il malspam e il malvertising, come primo punto di ingresso, con circa il 60% dei casi osservati.

In Italia la Relazione annuale al Parlamento 2025 dell'ACN segnala «il numero sempre maggiore di campagne di phishing e spearphishing rilevate, la cui diffusione e qualità risultano amplificate dall’impiego di strumenti basati sull’intelligenza artificiale». Il Report CERT-AGID 2025 dà la ripartizione per canale delle 3.620 campagne malevole censite nell'anno: posta elettronica ordinaria 91,7%, SMS 5,2%, PEC 2,8%. Gli altri canali pesano meno in volume, ma arrivano dove i filtri della posta non guardano.

I tipi di phishing per canale

Phishing via e-mail

La forma classica: un messaggio che imita un mittente noto e porta a una pagina che raccoglie credenziali o dati di pagamento, oppure a un allegato. Nel complesso, nel 2025 il CERT-AGID ha contato 1.922 campagne di phishing sulle 3.620 censite (le altre erano di malware). Tra phishing e smishing sono stati sfruttati 153 brand, con l'obiettivo principale di rubare credenziali bancarie e accessi alla webmail e, nelle campagne a tema PagoPA, i dati delle carte.

Esempio: un falso sollecito PagoPA per una multa non pagata. È la novità italiana del 2025, con 328 campagne censite dal CERT-AGID, che rimandano a pagine contraffatte per raccogliere dati personali e carta. In azienda lo stesso schema si presenta come una notifica del portale di posta o di condivisione documenti.

Phishing via PEC

È la variante più italiana, perché sfrutta la fiducia che si dà alla Posta Elettronica Certificata. Il CERT-AGID registra un aumento di circa l'80% delle campagne veicolate via PEC rispetto al 2024, per 103 eventi: 77 campagne di phishing, per lo più finalizzate a rubare credenziali bancarie, e 26 di distribuzione di malware. Il punto delicato è che vengono usate soprattutto caselle legittime compromesse: il mittente è vero, quindi il controllo sull'indirizzo non basta.

Smishing (phishing via SMS)

Lo smishing è il phishing che arriva per SMS o messaggistica. Secondo il CERT-AGID nel 2025 è calato di circa il 23% in volume, ma è cambiato lo scopo: la quota di smishing orientato a distribuire malware passa da circa il 28% al 45% del totale. Le campagne contro dispositivi Android sono cresciute di circa il 55%, spesso innescate proprio da un SMS che invita a installare un falso aggiornamento dell'app bancaria tramite un file APK.

Esempio: un messaggio del corriere con un link per riprogrammare la consegna, ricevuto sul telefono aziendale o su quello personale usato per lavoro. Qui il filtro della posta non esiste.

Vishing (phishing via telefono)

ENISA definisce il vishing come un attacco di phishing condotto tramite chiamate vocali per indurre la vittima a rivelare informazioni sensibili. MITRE ATT&CK lo cataloga come Spearphishing Voice (T1566.004) e descrive due schemi ricorrenti: la telefonata che guida la vittima a installare uno strumento di accesso remoto, e il vishing combinato con le richieste di autenticazione a più fattori, per farsi dettare un codice o approvare una notifica.

Esiste anche la forma inversa, il cosiddetto callback phishing: un messaggio che chiede di chiamare un numero, dove un falso operatore guida la vittima verso un sito malevolo o l'installazione di uno strumento remoto. MITRE lo descrive dentro la tecnica Phishing (T1566). ENISA segnala l'uso dell'AI nel vishing, con il ricorso ai deepfake. La Polizia Postale, nel Report annuale 2025, collega il furto di codici «one-time», token virtuali e password dispositive a «mail, chiamate vocali, messaggi e sms che sembrano provenire da banche o altri enti apparentemente legittimati a richiedere informazioni sensibili».

Esempio: il finto help desk IT che chiama un dipendente per un problema all'account e gli chiede di accettare la notifica MFA che sta per arrivare.

Quishing (phishing con codice QR)

Per ENISA il quishing è il phishing basato su codici QR che indirizzano a siti o contenuti malevoli. Il QR sposta il clic dal PC, dove ci sono i controlli, al telefono, dove spesso non ci sono. ENISA cita la campagna Scanception, con codici QR inseriti in allegati PDF che portavano a pagine di raccolta credenziali ospitate su piattaforme cloud attendibili.

Phishing su social, chat e webmail personale

MITRE lo chiama Spearphishing via Service (T1566.003): il contatto avviene su social network o webmail personale, fuori dai controlli della posta aziendale. L'esempio di MITRE è il finto selezionatore che propone un lavoro e poi invia il file sul canale personale, aperto dal computer di lavoro.

I tipi di phishing per bersaglio

Phishing di massa e spear phishing

La differenza è nella mira. MITRE distingue il phishing non mirato, come le campagne di spam di massa, dallo spearphishing, in cui l'attaccante punta una persona, un'azienda o un settore specifici. Lo spear phishing usa nomi, ruoli, fornitori e progetti veri, per questo è più difficile da riconoscere.

Nei numeri ACN del 2025 il CSIRT Italia ha classificato 363 eventi di phishing (82 diventati incidenti) e 194 eventi di spearphishing (36 incidenti).

Whaling

Il whaling è lo spear phishing rivolto ai vertici: amministratore delegato, CFO, membri del consiglio. Punta a credenziali con privilegi alti o a un'autorizzazione di spesa, con temi da direzione come un'operazione riservata o una causa legale. È il rovescio della truffa del CEO: lì il dirigente viene impersonato, qui viene preso di mira.

BEC e truffa del CEO

Il Business Email Compromise non cerca di installare nulla: cerca un bonifico. La Polizia Postale descrive il CEO fraud come la tecnica in cui soggetti malintenzionati «si presentano come dirigenti o amministratori dell’azienda, inducendo personale interno ad autorizzare pagamenti urgenti o a fornire dati riservati». Una variante frequente è il thread hijacking, che MITRE descrive come l'inserimento della vittima in una conversazione e-mail già esistente con file o link malevoli. Varianti, numeri e procedure sono in truffa del CEO e BEC.

Le varianti tecniche da conoscere

• Pharming. Nella definizione NIST (SP 800-63-4) l'utente viene reindirizzato su un sito fraudolento corrompendo un servizio di infrastruttura, come il DNS, o il suo dispositivo. Non serve un messaggio: l'utente digita l'indirizzo giusto e arriva sulla pagina sbagliata.
• ClickFix. Una pagina, spesso con un finto CAPTCHA, chiede all'utente di eseguire a mano un comando sul proprio sistema. Il CERT-AGID ha segnalato la prima campagna in Italia nel gennaio 2025 e ne ha censite circa 70 nell'anno.
• Phishing che aggira l'MFA. I kit adversary-in-the-middle si mettono tra l'utente e il portale vero e rubano la sessione già autenticata. ENISA cita FlowerStorm, che imita i portali Microsoft 365.

Phishing, smishing e vishing: le differenze

Lo scopo è lo stesso, cambia il canale e quindi il controllo che salta:

• Phishing arriva per e-mail: è il canale più filtrato, ma anche quello con il volume più alto.
• Smishing arriva per SMS o chat: niente filtro della posta, link accorciati, spesso un telefono che l'azienda non gestisce.
• Vishing arriva per telefono: niente link da analizzare, solo una voce che crea urgenza e chiede un'azione, oggi anche con voci ricreate dall'AI.

Nei casi reali i canali si combinano. La Polizia Postale indica le campagne di phishing, «anche nelle varianti dei cc.dd. “vishing” e “smishing”», come la modalità principale delle truffe che ha accertato: messaggi e chiamate che sembrano arrivare da ministeri, enti pubblici o banche, rivolti a «persone fisiche, PMI e grandi società».

Come riconoscere i tipi di phishing

Il criterio degli errori di ortografia non regge più. Il CERT-AGID scrive che l'AI permette di generare messaggi di phishing e smishing linguisticamente corretti e adattati al pubblico, riducendo l'efficacia delle euristiche basate sugli errori formali. Restano affidabili i segnali di comportamento, comuni a tutti i canali:

• Urgenza e riservatezza insieme: un pagamento da chiudere oggi, una sanzione in scadenza, un account bloccato.
• Richiesta di un codice o di un'approvazione: nessun servizio legittimo chiede di dettare un OTP o di accettare una notifica MFA che non hai avviato tu.
• Cambio di canale: dalla mail al telefono, dalla chat aziendale a WhatsApp, dal PC al QR da inquadrare.
• Installazione richiesta: un'app da aggiornare fuori dallo store, uno strumento di assistenza remota, un comando da incollare.

Cosa serve in azienda, canale per canale

• E-mail e PEC. Filtri e autenticazione del dominio con SPF, DKIM e DMARC, che rendono più difficile l'abuso del tuo nome verso clienti e fornitori. Lo spiega cos'è il DMARC. Sulla PEC, dato che arriva anche da caselle vere compromesse, conta la verifica del contenuto più del mittente.
• SMS e telefono. Una regola scritta: nessun codice, nessuna approvazione MFA, nessuna installazione su richiesta di chi chiama. L'help desk interno si identifica con un canale noto, non con il numero che compare sul display.
• Autenticazione. MFA resistente al phishing (FIDO/WebAuthn) almeno per amministratori e ruoli con potere di spesa, perché codici SMS e notifiche push sono proprio ciò che il vishing cerca di ottenere.
• Pagamenti. Verifica fuori canale su ogni variazione di IBAN, valida anche per le richieste che arrivano dai vertici.
• Persone. Simulazioni su più canali, non solo e-mail, misurate sul tempo di segnalazione: come si costruisce un percorso è in social engineering e formazione.
• Rilevazione. Il segnale utile arriva spesso dopo il clic: un accesso da un luogo insolito, una regola di inoltro nuova, un dispositivo MFA aggiunto. Serve qualcuno che lo guardi, anche fuori orario.

In sintesi

I tipi di phishing si leggono su due assi. Per canale: e-mail, PEC, smishing, vishing, quishing, social e chat. Per bersaglio: phishing di massa, spear phishing, whaling, BEC e truffa del CEO. L'e-mail resta il canale con più volume (91,7% delle campagne censite dal CERT-AGID nel 2025), ma PEC compromesse, SMS con malware e telefonate che chiedono codici MFA sono le varianti che passano dove i filtri non arrivano. Si riducono con controlli per canale, MFA resistente al phishing, verifica fuori canale sui pagamenti e una rilevazione che non si ferma al primo filtro.

Se vuoi capire quali di questi canali sono scoperti nella tua azienda e chi vedrebbe l'accesso dopo il clic, partiamo dal servizio di cybersecurity gestita di AmagisTech.