Quando si parla di attacchi informatici, molti immaginano un hacker che forza firewall con righe di codice verde su schermo nero. La realtà è molto più banale: nella maggior parte dei casi tutto comincia con un’email. Una fattura da pagare, un pacco in giacenza, una password in scadenza, un messaggio “urgente” del titolare.
È il phishing, ed è ancora il modo più efficace per entrare in un’azienda. Non perché le persone siano sprovvedute, ma perché i messaggi sono fatti apposta per sembrare normali.
Perché funziona così bene
Il phishing non attacca i computer: attacca le abitudini. Sfrutta la fretta, l’autorità, la paura di sbagliare, la routine. Chi riceve ogni giorno cinquanta email di fornitori non può analizzarle tutte con sospetto, e chi attacca lo sa.
Le varianti più pericolose per le aziende sono due:
- Il furto di credenziali: una pagina identica a quella di accesso alla posta o al cloud aziendale. Chi inserisce la password la consegna direttamente all’attaccante.
- La frode del bonifico (spesso chiamata BEC o “truffa del CEO”): un messaggio che sembra arrivare dal titolare o da un fornitore abituale e chiede di pagare su un nuovo IBAN. Nessun virus, solo un bonifico fatto alla persona sbagliata.
Con l’AI è diventato più difficile riconoscerlo
Fino a qualche anno fa molte email di phishing si tradivano da sole: italiano zoppicante, formattazione strana, toni improbabili. Oggi gli strumenti di intelligenza artificiale permettono a chiunque di scrivere messaggi corretti, personalizzati e credibili, in qualsiasi lingua. In alcuni casi si arriva a imitare la voce di una persona al telefono.
Il vecchio consiglio “guarda se ci sono errori di grammatica” non basta più. Bisogna guardare altro.
I segnali da insegnare a tutti
- Urgenza e pressione: “entro oggi”, “altrimenti l’account verrà bloccato”, “non dirlo a nessuno”. La fretta è lo strumento principale di chi attacca.
- Richieste insolite: cambio di IBAN, pagamenti fuori procedura, invio di dati o documenti che normalmente non si chiedono via email.
- Mittente da controllare: il nome visualizzato può essere quello giusto, l’indirizzo vero no. Basta un dominio con una lettera diversa.
- Link e allegati: passare il mouse sul link prima di cliccare, diffidare di file compressi o documenti che chiedono di “abilitare il contenuto”.
- Pagine di accesso: se un’email ti porta a una pagina di login, chiudila e accedi digitando tu l’indirizzo.
Le regole che proteggono anche quando qualcuno sbaglia
La formazione è fondamentale, ma nessuno è infallibile. Per questo servono anche regole e strumenti che limitino i danni:
- Autenticazione a più fattori su posta, cloud e gestionali: anche se la password viene rubata, da sola non basta.
- Verifica fuori canale per i pagamenti: ogni cambio di IBAN si conferma con una telefonata a un numero già noto, mai a quello indicato nell’email.
- Un modo semplice per segnalare: un indirizzo o una persona di riferimento a cui girare i messaggi sospetti, senza paura di sembrare paranoici.
- Nessuna colpa per chi segnala un errore: chi ha cliccato su un link sbagliato deve poterlo dire subito. Ogni minuto conta, e il silenzio per vergogna è il miglior alleato degli attaccanti.
Formazione sì, ma pratica
I corsi teorici di due ore dimenticati dopo una settimana servono a poco. Funzionano molto meglio incontri brevi, ripetuti nel tempo, con esempi reali di email arrivate in azienda, e simulazioni controllate che permettano alle persone di riconoscere i segnali sul campo.
Si possono spendere molti soldi in tecnologia di sicurezza, ma se una persona consegna la password a una pagina falsa, quella tecnologia viene aggirata. Investire sulle persone è, ancora oggi, il modo più economico per alzare davvero il livello di sicurezza di un’azienda.
Vuoi organizzare una formazione pratica sul phishing per il tuo team? Scrivimi.
