Il phishing è il vettore iniziale di compromissione più frequente nelle organizzazioni di qualsiasi dimensione. Secondo le principali analisi di incident response, oltre il 70% delle violazioni che coinvolgono credenziali compromesse origina da una campagna di phishing riuscita. Eppure, la definizione di attacco di phishing è copre tecniche molto diverse tra loro: dalla mail massiva inviata a milioni di destinatari fino all’operazione chirurgica costruita per settimane attorno a un singolo dirigente.
Capire come varia la superficie d’attacco e il profilo dell’attaccante tra aziende strutturate e PMI è il primo passo per calibrare la risposta in modo proporzionato ed efficace.
Che cos’è un attacco di phishing e come funziona
Un attacco di phishing è un’operazione di social engineering in cui l’attaccante si spaccia per un’entità attendibile, un istituto bancario, un fornitore, un collega o una piattaforma cloud, con l’obiettivo di sottrarre credenziali, indurre l’utente ad aprire un allegato malevolo o eseguire un’azione (es. un bonifico, una modifica di accesso).
Le fasi tipiche di un attacco sono quattro:
- Ricognizione: raccolta di informazioni sul bersaglio (LinkedIn, sito aziendale, leak di dati precedenti).
- Costruzione del pretesto: redazione del messaggio, clonazione di domini, creazione di pagine di phishing credibili.
- Consegna: via e-mail, SMS (smishing), chiamata vocale (vishing) o messaggistica aziendale.
- Sfruttamento: uso delle credenziali sottratte, esecuzione del payload, movimenti laterali nella rete.
La velocità con cui le credenziali compromesse vengono usate è aumentata drasticamente: in alcuni casi il gap tra click e primo accesso non autorizzato è inferiore a un’ora.
Grandi aziende e PMI: bersagli diversi, attacchi diversi
La distinzione più rilevante per chi deve difendersi non è la tipologia di phishing in senso astratto, ma il profilo dell’attaccante e il valore del bersaglio. Le grandi organizzazioni e le PMI attraggono campagne con logiche completamente diverse.
Il phishing sulle PMI: volume alto, personalizzazione bassa
Le piccole e medie imprese sono colpite prevalentemente da campagne opportunistiche ad alto volume: lo stesso messaggio viene inviato a decine di migliaia di destinatari, sfruttando loghi di corrieri, banche o Agenzia delle Entrate. L’obiettivo è raccogliere credenziali o distribuire malware su scala, contando sulla bassa maturità di difesa di una parte del campione.
I vettori più frequenti sulle PMI sono:
- Phishing massivo via e-mail con allegati Office o link a pagine di login fasulle.
- Smishing (SMS) che simula notifiche di spedizione o avvisi bancari.
- Quishing: QR code malevoli inviati via e-mail o posta fisica, difficili da filtrare con i tradizionali gateway.
In questi scenari, le difese fondamentali, come filtri antispam, autenticazione multifattore (MFA) di base e awareness elementare, sono già in grado di ridurre significativamente la superficie esposta. La sfida è principalmente organizzativa: molte PMI non hanno figure dedicate alla sicurezza e la consapevolezza degli utenti è disomogenea.
Il phishing sulle grandi aziende: mirato, persistente, costoso
Le organizzazioni con fatturati elevati, accesso a sistemi critici o a dati riservati attraggono attori diversi: gruppi APT (Advanced Persistent Threat), ransomware gang organizzate, team specializzati in frode finanziaria. Qui il volume non serve: serve la precisione.
Le tecniche predominanti sono:
- Spear phishing: il messaggio è costruito attorno all’identità del destinatario (nome, ruolo, progetto corrente, collega reale). L’attaccante studia il bersaglio per settimane prima di inviare un singolo e-mail.
- Whaling: variante dello spear phishing indirizzata a figure apicali (CEO, CFO, CIO). L’obiettivo è spesso autorizzare trasferimenti finanziari o fornire accesso a sistemi privilegiati.
- Business E-mail Compromise (attacco BEC): l’attaccante compromette o impersona un account e-mail legittimo (fornitore, dirigente) per manipolare processi interni: ordini, pagamenti, cambio IBAN.
- Vishing avanzato: chiamate a figure HR o IT impersonando dipendenti, fornitori o autorità di regolamentazione, spesso supportate da informazioni raccolte sui social.
Uno scenario tipico: un’e-mail apparentemente inviata dal CFO all’ufficio amministrativo, scritta in italiano corretto, che chiede di eseguire un pagamento urgente verso un nuovo IBAN. Il messaggio arriva fuori orario, sfruttando la pressione del momento. Senza processi di verifica out-of-band, l’errore è facile anche per utenti esperti.
Il danno medio di un’operazione BEC andata a buon fine è nell’ordine delle centinaia di migliaia di euro. A questo si aggiunge il rischio di data breach, con impatti normativi rilevanti in ottica NIS2 e GDPR.
Indizi di un attacco di phishing: cosa insegnare agli utenti
Anche negli attacchi più sofisticati, esistono segnali che un occhio allenato può rilevare. Il problema è che questi segnali vengono celati con tecniche sempre più precise, e che i bias cognitivi sfruttati dagli attaccanti, urgenza, autorità, paura, curiosità, riducono il tempo di analisi critica dell’utente.
I segnali più ricorrenti:
- Dominio mittente con variazioni impercettibili (es. @brand-group.com invece di @brandgroup.com).
- Senso di urgenza artificiale: “Entro le 17:00”, “azioni immediate richieste”.
- Richieste anomale rispetto alle procedure abituali (cambio IBAN, reset credenziali fuori processo).
- Link che al hover mostrano URL diverso dal testo visualizzato.
- Allegati Office con macro o PDF con link a siti esterni.
- Tono insolitamente formale o informale rispetto al mittente dichiarato.
La segnalazione rapida è spesso il fattore che distingue un incidente contenuto da una compromissione estesa. Le organizzazioni con canali di segnalazione chiari e cultura psicologicamente sicura, in cui nessuno viene colpevolizzato per aver cliccato, rispondono meglio.
Cosa fare in caso di attacco di phishing: risposta operativa
La finestra temporale tra click e compromissione si è ridotta. Un processo di risposta strutturato deve essere già definito prima che l’incidente accada. Le azioni immediate da eseguire appena si sospetta una compromissione:
- Isolare la sessione o il dispositivo coinvolto dalla rete.
- Revocare immediatamente le sessioni attive e forzare il reset delle credenziali.
- Notificare il team di sicurezza (SOC o IT security) con massima priorità.
- Raccogliere e preservare le evidenze: header e-mail, URL, screenshot, log di accesso.
- Verificare se le credenziali sono state usate per accedere ad altri sistemi (movimenti laterali).
- Valutare l’obbligo di notifica: in ambito NIS2, le violazioni significative devono essere notificate all’ACN entro 24 ore dalla rilevazione.
La differenza tra un’organizzazione che riesce a contenere un incidente in ore e una che lo scopre settimane dopo sta quasi sempre nella qualità del monitoraggio e nella chiarezza delle procedure.
Ridurre la superficie d’attacco: controlli tecnici e organizzativi
La prevenzione degli attacchi di phishing richiede livelli di difesa sovrapposti. Nessun singolo controllo è sufficiente, specialmente per le organizzazioni con superfici digitali complesse.
Controlli tecnici
- E-mail security avanzata: gateway con sandbox per analisi degli allegati, filtri DMARC/DKIM/SPF applicati in modalità strict, rilevamento di domain spoofing e lookalike domain.
- Autenticazione multifattore: MFA su tutti i sistemi esposti, con preferenza per metodi resistenti al phishing (passkey, token hardware FIDO2) rispetto agli OTP via SMS.
- Monitoraggio continuo: un SOC attivo h24 in grado di correlare segnali di anomalia, come login da IP insoliti, accessi fuori orario, escalation di privilegi, prima che la catena di attacco si completi.
- MDR/MXDR (Managed Detection & Response, Managed Extended Detection & Response): capacità di detection e risposta estesa che integra endpoint, rete, identità e cloud, con analisi comportamentale per identificare tecniche di post-exploitation.
- Privileged Access Management: riduzione del raggio d’azione in caso di compromissione di un account privilegiato.
Controlli organizzativi
- Campagne di simulazione phishing periodiche: test su misura per il profilo di rischio dell’organizzazione, con feedback immediato agli utenti che interagiscono con il messaggio simulato.
- Programmi di cybersecurity awareness strutturati: percorsi continuativi, non corsi singoli annuali, con misurazione del comportamento nel tempo.
- Procedure di verifica out-of-band: per operazioni sensibili (cambio IBAN, bonifici urgenti, accessi straordinari), verifica obbligatoria via canale alternativo.
- Incident response plan documentato: ruoli, escalation, contatti, procedure di notifica, esercitazioni periodiche.
Il ruolo di un competence center nella difesa anti-phishing
Per le organizzazioni che non dispongono di un team interno di sicurezza dedicato, o che vogliono integrarlo con capacità specialistiche, affidarsi a un centro di competenza con SOC proprietario attivo h24 cambia l’equazione del rischio.
Un SOC operativo in Italia, con analisti che conoscono il contesto normativo locale (NIS2, ACN, GDPR) e le dinamiche delle campagne di phishing mirate al mercato italiano, è in grado di:
- Rilevare in tempo reale tentativi di accesso anomali successivi a un click su un link di phishing.
- Correlare segnali distribuiti su endpoint, e-mail gateway e identity provider per ricostruire la catena di attacco.
- Supportare la risposta operativa e la gestione dell’incidente, inclusa la documentazione per la notifica alle autorità competenti.
Le campagne di phishing simulato, integrate in un programma strutturato di awareness, completano il quadro: non come esercizio periodico isolato, ma come strumento di misura e miglioramento continuo del comportamento degli utenti. La simulazione è lo strumento più efficace per trasformare la percezione del rischio da concetto astratto a esperienza concreta.
Phishing: un problema di processo, non solo di tecnologia
Un attacco di phishing non è mai un evento isolato: è l’innesco di una catena che può portare a ransomware, data breach o frode finanziaria. La differenza tra un incidente contenuto e uno che compromette l’operatività aziendale dipende dalla velocità di rilevamento, dalla qualità delle procedure di risposta e dalla preparazione degli utenti.
Per le organizzazioni strutturate, con accessi privilegiati e superfici digitali complesse, il livello di sofisticazione degli attacchi richiede un livello equivalente di difesa: monitoraggio continuo, detection comportamentale, gestione delle identità privilegiate e simulazioni realistiche. Per quelle con maturità di sicurezza in costruzione, il punto di partenza è consolidare i fondamentali: autenticazione robusta, e-mail security e consapevolezza degli utenti.
In entrambi i casi, la capacità di rispondere velocemente è più determinante della capacità di prevenire ogni singolo click.
FAQ – Domande frequenti su un attacco di phishing
Qual è la differenza tra phishing e spear phishing?
Il phishing massivo è una campagna indifferenziata inviata a migliaia di destinatari, costruita su pretesti generici (banche, corrieri, piattaforme cloud). Lo spear phishing è un’operazione mirata: il messaggio è costruito attorno all’identità specifica del destinatario, nome, ruolo, colleghi reali, progetti in corso, e richiede una fase preliminare di ricognizione. Il tasso di successo dello spear phishing è significativamente più alto, a fronte di un volume molto inferiore.
Cosa fare subito se un utente clicca su un link di phishing?
Le prime azioni sono: isolare il dispositivo dalla rete, revocare le sessioni attive e forzare il reset delle credenziali coinvolte, notificare immediatamente il team di sicurezza. Parallelamente, conservare le evidenze (header e-mail, URL, log di accesso) per l’analisi forense. Se la compromissione riguarda sistemi critici, valutare l’obbligo di notifica all’ACN entro 24 ore secondo quanto previsto dalla NIS2.
Le grandi aziende sono più a rischio phishing delle PMI?
Il rischio è diverso, non necessariamente maggiore. Le PMI subiscono un volume più alto di campagne opportunistiche, ma con tecniche meno sofisticate. Le grandi organizzazioni attraggono attacchi mirati, spear phishing, whaling, BEC, da parte di attori più capaci e motivati, con potenziali impatti economici e reputazionali molto più significativi. La maturità delle difese deve essere proporzionata al profilo di rischio, non alla dimensione aziendale in senso assoluto.
Il phishing è un reato in Italia?
Sì. Le condotte tipicamente associate al phishing ricadono sotto diverse fattispecie del Codice penale italiano: frode informatica (art. 640-ter c.p.), sostituzione di persona (art. 494 c.p.), accesso abusivo a sistema informatico (art. 615-ter c.p.). Le organizzazioni che subiscono un attacco possono, e in alcuni casi devono, presentare denuncia, oltre a gestire gli obblighi di notifica previsti da GDPR e NIS2.
Come si misura l’efficacia di un programma anti-phishing?
I parametri principali sono: tasso di click sulle simulazioni nel tempo (deve scendere), tasso di segnalazione (deve salire), tempo medio tra click e segnalazione, e percentuale di utenti che completano i moduli di awareness. Un programma efficace non si misura sul singolo test, ma sul trend comportamentale nel corso di almeno 6-12 mesi. Le simulazioni periodiche senza misurazione sistematica producono dati episodici, non miglioramento reale.
