2/9/2025
Phishing aziendale: l’inganni che funzionano ancora (troppo) bene
Ogni giorno, molti dipendenti cadono in trappole di phishing camuffate da email affidabili: un solo clic può compromettere l’intera azienda. Il phishing resta una minaccia attuale e in continua evoluzione.
Nel 2024, il numero di clic su link di phishing è cresciuto vertiginosamente, nonostante anni di formazione, avvisi e software di protezione. È evidente: i cybercriminali sanno come sfruttare le debolezze umane molto meglio di quanto le aziende sappiano prevenirle.
In questo articolo esploriamo perché il phishing continua a funzionare così bene, quali sono le tecniche più usate e — soprattutto — come difendersi davvero. Perché il vero punto debole, alla fine, non è la tecnologia. Siamo noi.
Cos'è il phishing (e perché è ancora così efficace)
Il phishing è un tipo di attacco informatico che sfrutta la finta legittimità di un messaggio per ingannare l’utente e indurlo a cliccare su link fraudolenti, scaricare file pericolosi o fornire dati sensibili. Anche se se ne parla da anni, resta una delle minacce più insidiose e redditizie per i criminali.
Ma perché funziona ancora così bene?
Il punto debole è la mente umana
La risposta è semplice (e un po’ inquietante): la nostra mente è programmata per risparmiare energie. Quando siamo stanchi, di fretta o ci fidiamo di chi ci scrive, tendiamo ad abbassare la guardia.
Questi sono i principali fattori che ci fregano:
- Bias cognitivi: come il bias di conferma (“se sembra vero, probabilmente lo è”) o il principio di autorità (un’email firmata “ufficio IT” viene percepita come affidabile).
- Sovraccarico decisionale: troppe decisioni in poco tempo ci rendono più vulnerabili.
- Routine aziendale: se ogni giorno riceviamo decine di email simili, una in più non ci insospettisce.
Le tecniche più usate oggi
I criminali stanno aggiornando le loro strategie. Non servono più email ultra sofisticate: spesso puntano su attacchi massivi, ma ben camuffati. Ecco le più diffuse:
Link finti nei risultati Google
Con la tecnica del SEO poisoning, i truffatori creano pagine fasulle che imitano siti famosi (es. Microsoft, Dropbox, INPS) e riescono a farle comparire nei primi risultati di ricerca. La vittima ci arriva direttamente da Google, convinta di essere sul sito ufficiale.
Email da brand conosciuti
Gli attacchi si mascherano da comunicazioni ufficiali provenienti da:
- Cloud provider (Microsoft, Google, Dropbox)
- Banche e assicurazioni
- Social network
- Corrieri e telecomunicazioni
Più il brand è familiare, più il clic è probabile.
I numeri parlano chiaro
Secondo i dati del 2024, in media 8 dipendenti su 1.000 cliccano su un link di phishing ogni mese. E nelle grandi organizzazioni questo significa decine o centinaia di possibili falle nella sicurezza.
Il phishing rappresenta:
- 27% degli attacchi legati a servizi cloud
- 17% a banche
- 13% a operatori telefonici
- 11% a social media
Insomma, è un attacco semplice, economico e purtroppo ancora estremamente efficace.
Come difendersi davvero: 3 strategie concrete
1. Formazione continua e realistica
La classica “lezione una volta all’anno” non basta. Serve una formazione costante, affiancata da simulazioni regolari di phishing. Queste aiutano i dipendenti a riconoscere segnali d’allarme reali, anche in contesti di stress o fretta.
2. Tecnologie aggiornate
- Autenticazione a più fattori (MFA) ovunque possibile
- Filtri avanzati per email e domini sospetti
- Monitoraggio attivo delle minacce online
- Penetration test basati su ingegneria sociale
3. Cultura della sicurezza diffusa
La sicurezza informatica non è solo responsabilità del reparto IT. Tutti devono essere coinvolti: dai vertici aziendali fino agli impiegati. Servono:
- Canali chiari e sicuri per segnalare email sospette
- KPI legati anche alla sicurezza digitale
- Iniziative interne per mantenere alta l’attenzione
Il phishing non è un attacco tecnologico: è un attacco alla fiducia. Colpisce dove siamo più vulnerabili — nella fretta, nell’abitudine, nella distrazione — e sfrutta la nostra stessa razionalità contro di noi.
Difendersi richiede un cambio di approccio: non solo strumenti, ma consapevolezza. Con una cultura aziendale attenta, formazione mirata e tecnologie adeguate, possiamo davvero ridurre questo rischio e costruire una sicurezza che parte dalle persone.
___
