Phishing

Cos'è

Il phishing è una tecnica di ingegneria sociale in cui un attaccante si finge un mittente fidato — una banca, un fornitore, un collega, un servizio noto come Microsoft 365 o PostePay — per convincere la vittima a cliccare un link malevolo, scaricare un allegato infetto, o inserire credenziali su un sito clonato pixel per pixel dall'originale. Le varianti più mirate si chiamano spear phishing (contro una persona specifica, costruito su dettagli reali raccolti da LinkedIn o dal sito aziendale) e whaling (contro dirigenti o figure con potere di firma, spesso a tema bonifico urgente o fattura scaduta). Esistono anche varianti fuori dall'email: smishing via SMS e vishing via telefono, sempre più frequenti perché aggirano i filtri pensati solo per la posta elettronica. Il tratto comune a tutte è la pressione a decidere in fretta, prima che la vittima abbia il tempo di verificare.

Perché conta

Nella maggior parte degli incidenti gravi che ho visto gestire da vicino, il punto di ingresso iniziale è stato un'email di phishing riuscita, non una vulnerabilità software sofisticata: è quasi sempre più facile convincere una persona a cliccare che bucare un firewall aggiornato. È anche il motivo per cui la formazione del personale — non solo il filtro antispam — è una delle misure ACN più citate nei percorsi di adeguamento NIS2: la tecnologia filtra la maggior parte dei tentativi automatizzati, ma quello che passa lo ferma solo una persona che riconosce i segnali e si fa la domanda giusta prima di cliccare. Le campagne di phishing simulato interne, fatte bene, non servono a "prendere in castagna" i dipendenti, ma a misurare nel tempo se la formazione sta funzionando davvero, con un tasso di click che scende trimestre dopo trimestre.

Cosa faccio quando arriva una segnalazione

Quando un dipendente segnala un'email sospetta — e va reso facile farlo, con un pulsante "segnala phishing" nel client di posta, non una procedura complicata — il primo passo è isolare il messaggio senza aprirlo su altre macchine e verificare se è arrivato anche ad altri indirizzi aziendali: un attacco mirato spesso colpisce più persone nella stessa ora. Se qualcuno ha già cliccato, la priorità è il reset immediato delle credenziali coinvolte e un controllo sui log di accesso per movimenti anomali, prima ancora di capire come è entrata l'email. Per aggiornare periodicamente cosa insegnare al personale, seguo le indicazioni raccolte da CISA su come riconoscere e segnalare il phishing, utili anche solo come base per i materiali di formazione interna.

// Nota pratica

I segnali più affidabili restano: mittente che non corrisponde esattamente al dominio atteso, urgenza artificiale ('agisci entro 24 ore'), richiesta di credenziali o pagamenti fuori dal normale processo aziendale. In caso di dubbio, verifica sempre su un canale diverso da quello su cui hai ricevuto il messaggio.