Gli attacchi di phishing basati sull’IA stanno cambiando una delle regole più vecchie della consapevolezza in fatto di sicurezza: la grammatica scorretta non è più un campanello d’allarme affidabile.
Per anni, ai dipendenti è stato insegnato a individuare formulazioni goffe, formattazioni insolite, errori di ortografia e saluti generici. Questi indizi sono ancora importanti, ma non bastano a rilevare gli attacchi di phishing basati sull’IA.
L’IA generativa può aiutare i criminali informatici a redigere messaggi personalizzati in pochi secondi. Può imitare il tono di un’azienda, riassumere informazioni pubbliche su un dipendente, trasformare un breve prompt in una convincente richiesta di fattura o localizzare una truffa per farla sembrare naturale in qualsiasi lingua di destinazione.
Tuttavia, non si tratta di una minaccia del tutto nuova. Ha portato il phishing a un livello superiore con testi scritti meglio, preparazioni più rapide e furti d’identità più convincenti. L’obiettivo del phishing rimane sempre quello di spingere qualcuno a fare clic, condividere credenziali, approvare un pagamento, aprire un file o spostare una conversazione su un canale controllato dall’autore dell’attacco. L’IA rende semplicemente questa manipolazione più convincente e più facile da scalare.
All’interno delle aziende, i team devono acquisire nuove abitudini. Spiegheremo a cosa prestare attenzione e come sviluppare migliori protezioni contro il phishing e le violazioni di dati all’interno della rete aziendale.
In cosa si differenziano gli attacchi di phishing basati sull’IA?
Le email di phishing generate dall’IA sembrano comunicazioni di lavoro autentiche
Nuove forme di ingegneria sociale tramite IA
Perché le PMI sono sempre più esposte
Come adattare la formazione sul phishing agli attacchi abilitati dall’IA
Cosa devono fare diversamente le aziende
Come Proton Pass for Business aiuta a ridurre i rischi legati alle credenziali
In cosa si differenziano gli attacchi di phishing basati sull’IA?
Prima dell’IA generativa, il phishing richiedeva uno sforzo manuale maggiore. Gli autori degli attacchi dovevano cercare informazioni sul bersaglio, scrivere testi credibili, adattare il tono e talvolta tradurre i messaggi per mercati diversi. L’IA generativa abbassa notevolmente queste barriere all’ingresso.
Il rapporto del National Cyber Security Centre del Regno Unito sull’impatto dell’IA sulle minacce informatiche(nuova finestra) da oggi al 2027 rileva che l’IA renderà quasi certamente alcune parti delle intrusioni informatiche più efficaci ed efficienti, aumentando la frequenza e l’intensità delle minacce informatiche. Sottolinea inoltre che i soggetti delle minacce stanno già utilizzando l’IA per migliorare le tattiche esistenti, compresa l’ingegneria sociale.
Gli aggressori possono ora produrre messaggi di attacco di phishing che sembrano più naturali e più specifici. Un’email truffaldina può fare riferimento a un fornitore reale, a un recente post su LinkedIn, a una qualifica lavorativa, a un evento regionale o al nome di un progetto interno. Anche quando l’autore dell’attacco dispone di informazioni limitate, l’IA può colmare le lacune con un linguaggio plausibile.
I segnali di avviso di un attacco di phishing rimangono gli stessi. Link sospetti, richieste urgenti, allegati imprevisti e domini del mittente insoliti contano ancora. Ma il contenuto da solo non è più sufficiente a smascherare l’attacco.
| Attacchi di phishing tradizionali | Attacchi di phishing basati sull’IA |
| Spesso presentano refusi, grammatica goffa o formule di saluto generiche | Possono utilizzare una scrittura curata e naturale con il giusto tono |
| Solitamente si basano su messaggi ampi e generici | Possono includere dettagli personali, contesto aziendale o riferimenti ai fornitori |
| Si presentano principalmente come email sospette | Possono combinare email, clonazione vocale, fatture false e video deepfake |
Le email di phishing generate dall’IA sembrano comunicazioni di lavoro autentiche
Gli attacchi di phishing sono sempre variati da rozzi a altamente sofisticati, ma l’IA generativa riduce le competenze e il tempo necessari per produrre messaggi fluidi, ben strutturati e scritti con un linguaggio professionale.
La guida al phishing(nuova finestra) dell’NCSC osserva che le campagne di phishing possono tentare di rubare informazioni sensibili come le password o indurre le persone a trasferire denaro. Spiega inoltre che le campagne più mirate utilizzano informazioni sui dipendenti o sull’azienda per rendere i messaggi più realistici. L’IA rende tutto ciò più facile da realizzare su larga scala.
La difesa contro i moderni attacchi di phishing richiede controlli a più livelli anziché un unico filtro: autenticazione a più fattori (MFA) per rendere le credenziali rubate una minaccia minore, processi di comunicazione verificati per le richieste critiche e formazione dei dipendenti per riconoscere l’ingegneria sociale prima che le credenziali vengano cedute.
Una gestione delle credenziali sicura è anche un aspetto chiave delle tue difese. Un gestore di password aziendale come Proton Pass for Business semplifica la generazione di una password complessa e univoca per ogni account. È inoltre possibile monitorare l’esposizione all’interno della rete aziendale, in modo che anche se un membro del team viene ingannato da un singolo messaggio, le sue credenziali non possano sbloccare più di un account.
Per i dipendenti, la consapevolezza del phishing deve evolversi per rilevare queste nuove minacce basate sull’IA. È necessario porsi tre domande:
- Questa email sembra falsa?
- Questa richiesta ha senso?
- L’ho verificata o posso verificarla tramite un canale attendibile?
Andare oltre l’ortografia e la formattazione dell’email e considerare il contesto più ampio in cui è stata inviata può fare una grande differenza. Un’email curata può comunque essere un tentativo di phishing se richiede credenziali, modifica i dettagli di pagamento, crea un’urgenza insolita o spinge qualcuno al di fuori della procedura normale.
Nuove forme di ingegneria sociale tramite IA
Il phishing basato sull’IA non si limita alle email. Gli aggressori possono ora usare l’IA per combinare testo, voce, immagini e video in un’unica narrazione convincente.
Spear phishing generato dall’IA
Lo spear phishing funziona perché il messaggio è mirato alla persona che lo riceve. L’IA rende la personalizzazione ancora più semplice: l’autore dell’attacco non deve più dedicare così tanto tempo a scrivere da zero o ad adattare il tono a ciascun bersaglio. Può utilizzare informazioni pubbliche, dati trapelati o una casella di posta in arrivo compromessa per creare un messaggio che sembra legittimo.
Potrebbe trattarsi dell’aggiornamento di un contratto che arriva al momento giusto, del file di un candidato inviato alle risorse umane, della richiesta di un fornitore con un linguaggio familiare o di un’istruzione di pagamento che rispecchia i ritmi del normale lavoro amministrativo. Il pericolo non è la perfezione, ma la verosimiglianza. Un messaggio di spear phishing deve solo sembrare abbastanza rilevante da spingere qualcuno ad aprire il file, approvare la richiesta o inserire le proprie credenziali prima di fermarsi a verificare.
Clonazione della voce e vishing
Il vishing, o phishing vocale, sta diventando sempre più convincente man mano che l’audio generato dall’IA migliora. Nel 2025 l’Internet Crime Complaint Center dell’FBI ha avvertito(nuova finestra) riguardo ad attori malintenzionati che utilizzano messaggi di testo e messaggi vocali generati dall’IA per impersonare alti funzionari statunitensi. L’avviso spiega che il vishing può incorporare voci generate dall’IA e raccomanda di verificare l’identità di chi chiama attraverso dettagli di contatto identificati in modo indipendente.
Il Data Breach Observatory 2026 di Proton evidenzia anche l’aumento delle campagne di vishing, compresi attacchi coordinati che hanno causato violazioni su larga scala ed esposto decine di milioni di record. Lo stesso rapporto ha rilevato che le password erano presenti nel 47% degli incidenti monitorati, a dimostrazione del motivo per cui l’ingegneria sociale e la protezione delle credenziali sono strettamente collegate.
Phishing deepfake nelle videochiamate
Il phishing tramite deepfake può avvenire anche via video. Nel 2024, un dipendente del settore finanziario a Hong Kong è stato secondo quanto riferito indotto a trasferire circa 25 milioni di dollari(nuova finestra) dopo che dei truffatori hanno utilizzato video deepfake per impersonare colleghi di livello dirigenziale durante una riunione video.
Vedere un volto familiare durante una chiamata non è più sufficiente per approvare una richiesta delicata. Pagamenti cospicui, la condivisione di credenziali, modifiche all’accesso e richieste insolite necessitano comunque di un passaggio di verifica separato tramite un canale attendibile.
Fatture false generate dall’IA
Le frodi relative alle fatture sono molto più facili con l’IA. Una fattura falsa può utilizzare un linguaggio curato, condizioni di pagamento realistiche, il nome di un fornitore noto e una spiegazione plausibile per la modifica delle coordinate bancarie. Se l’aggressore ha accesso a una casella di posta in arrivo violata o a informazioni trapelate sui fornitori, la richiesta può sembrare ancora più credibile.
Una fattura ben formulata non dovrebbe bastare per trasferire denaro. Se i dettagli bancari sono stati modificati, la tempistica sembra insolita o il messaggio richiede di ignorare il normale flusso di approvazione, la richiesta deve essere verificata tramite un canale attendibile prima che qualcuno effettui il pagamento.
Perché le PMI sono sempre più esposte
L’IA ha cambiato l’economia del phishing abbassando i costi del targeting. In passato, gli attacchi altamente personalizzati avevano maggiori probabilità di concentrarsi sulle grandi aziende perché richiedevano più tempo di preparazione. L’IA rende più facile creare messaggi mirati per le aziende più piccole. Gli aggressori possono generare più varianti, testare più angolazioni e adattare rapidamente i messaggi senza impiegare la stessa quantità di tempo o fatica.
Le aziende più piccole sono allettanti perché denaro, accessi e potere decisionale sono spesso concentrati nelle mani di poche persone. Una sola persona può approvare fatture, gestire i rapporti con i fornitori e avere accesso a molteplici strumenti aziendali. Quando i processi sono informali, una singola richiesta convincente generata dall’IA può raggiungere i flussi di pagamento, gli account condivisi, i dati dei clienti o i sistemi di amministrazione prima che qualcuno abbia la possibilità di metterla in dubbio.
Il rischio è evidente anche nei dati sulle violazioni. Il medesimo report dell’Osservatorio sulle violazioni dei dati di Proton ha rilevato che le PMI hanno rappresentato il 63% delle violazioni tracciate da gennaio 2025 e sono state colpite in modo sproporzionato da incidenti critici riguardanti dati sensibili come informazioni di autenticazione, identificativi personali o dettagli finanziari.
L’IA aiuta i malintenzionati a sfruttare le debolezze già presenti nelle piccole imprese: password riutilizzate, condivisione informale delle credenziali, processi di approvazione deboli e una formazione che presume ancora che le truffe siano evidenti.
Come adattare la formazione sul phishing agli attacchi basati sull’IA
Per combattere efficacemente gli attacchi di phishing basati sull’IA, la tua consapevolezza in materia di sicurezza richiede più attenzione del semplice controllo dei refusi. I dipendenti devono imparare a verificare la richiesta, non solo a giudicare il messaggio.
Il principio fondamentale su cui basare la formazione è semplice: se una richiesta è insolita, sensibile o urgente, verificala prima di agire:
- Fermati prima di rispondere, non rispondere nello stesso thread email.
- Ignora i dettagli di contatto presenti nel messaggio, non utilizzare mai il numero di telefono, il link o l’indirizzo di risposta fornito.
- Non considerare una chiamata vocale o una videochiamata come una prova, perché sia una voce familiare al telefono che un volto noto sullo schermo possono essere generati artificialmente.
- Contatta la persona attraverso un canale di cui ti fidi già: una rubrica interna, una scheda fornitore salvata o un metodo di contatto verificato in precedenza.
- Conferma la richiesta stessa, non solo il mittente: chiedi se il pagamento, la modifica degli accessi o la richiesta di file siano reali.
La formazione dovrebbe anche concentrarsi sull’aiutare i membri del team a individuare i momenti in cui il phishing basato sull’IA ha maggiori probabilità di riuscita:
- Modifiche ai dettagli di pagamento
- Richieste di password, codici di recupero o approvazioni MFA
- Richieste urgenti di condivisione di file
- Richieste di login insolite
- Modifiche ai portali dei fornitori
- Richieste da parte della dirigenza che aggirano le normali procedure
- Inviti a spostare una conversazione su un’app di messaggistica personale
La guida di Proton su come costruire una cultura della sicurezza informatica nelle piccole imprese sul posto di lavoro è una risorsa utile e tempestiva per integrare i comportamenti orientati alla sicurezza nel lavoro quotidiano.
Cosa devono fare diversamente le aziende
Il phishing basato sull’IA cambia gli standard di verifica. Se il messaggio sembra autentico, le procedure devono individuare ciò che non è più immediatamente evidente.
Utilizza la verifica out-of-band
Quando una richiesta riguarda denaro, credenziali, file sensibili o accessi privilegiati, la risposta non deve rimanere all’interno dello stesso thread che ha creato il rischio. Il team ha bisogno di un secondo canale per confermare se la richiesta sia reale.
Ciò potrebbe significare chiamare un fornitore utilizzando un numero già salvato nella scheda fornitore, verificare una richiesta della dirigenza tramite un canale interno o confermare le modifiche agli accessi con il responsabile del progetto. La chiave è utilizzare dettagli di contatto che l’azienda ritiene già attendibili, non il numero di telefono, il link o il percorso di risposta fornito nel messaggio sospetto.
Richiedi l’approvazione di più persone
Le azioni ad alto rischio non dovrebbero dipendere dalla valutazione di una sola persona. Modifiche ai pagamenti, trasferimenti ingenti, nuove coordinate bancarie dei fornitori, concessioni di accessi privilegiati ed esportazioni massive di dati dovrebbero richiedere una seconda approvazione per ridurre le vulnerabilità.
Un messaggio dall’aspetto urgente non deve per forza stravolgere il normale lavoro. Una seconda approvazione offre al team un momento di pausa prima che il denaro venga trasferito, l’accesso venga concesso o i dati sensibili lascino l’azienda.
Proteggi le credenziali prima che finiscano nel mirino
Il phishing tramite IA spesso mira allo stesso obiettivo del phishing tradizionale: le credenziali. L’aggressore desidera una password, un token di sessione, un’approvazione MFA o l’accesso a un account che apra le porte ad altri sistemi.
Il Cost of a Data Breach Report 2025(nuova finestra) di IBM raccomanda di rafforzare la sicurezza delle identità e di adottare metodi di autenticazione resistenti al phishing per ridurre il rischio di abuso delle credenziali. Segnala inoltre un costo medio globale delle violazioni pari a 4,4 milioni di dollari, a dimostrazione del perché i controlli su identità e accessi abbiano conseguenze finanziarie, non solo tecniche.
Il contenimento è fondamentale per le PMI. L’IA può rendere più difficile individuare il primo messaggio, ma l’azienda può comunque controllare ciò che accade dopo un errore. Password complesse e univoche, MFA, condivisione sicura, accesso amministratore limitato e procedure di offboarding coerenti riducono la probabilità che un singolo account compromesso si trasformi nell’accesso a email, strumenti finanziari, spazio di archiviazione cloud aziendale o altri sistemi aziendali.
Come Proton Pass for Business aiuta a ridurre il rischio legato alle credenziali
La policy sulle password della tua organizzazione dovrebbe tenere sotto controllo la gestione delle credenziali prima che un dipendente finisca nel mirino. Limita il riutilizzo delle password tra gli account aziendali, usa casseforti di password crittografate, tieni gli accessi sensibili fuori da browser, fogli di calcolo e thread di chat, e fornisci opzioni di condivisione sicura. Queste misure offrono ai team una modalità controllata per concedere o revocare gli accessi senza dover cercare tra vecchi messaggi o documenti.
Un gestore di password aziendale come Proton Pass for Business limita i danni che un attacco di phishing può causare. Quando le credenziali sono univoche, crittografate e gestite centralmente, un singolo messaggio andato a segno compromette un solo account invece di aprire una via d’accesso a email, strumenti finanziari e archiviazione cloud. Funziona in sinergia con la formazione sulla sicurezza, il filtraggio delle email e i controlli sui pagamenti, anziché sostituirli.
Proton Pass for Business aiuta inoltre i team a generare password complesse, utilizzare il riempimento automatico e gestire le credenziali tramite controlli di amministrazione centralizzati. Password univoche, autenticazione solida, condivisione sicura delle credenziali e accessi controllati rendono più difficile che un tentativo di phishing riuscito si diffonda in tutta l’azienda.
Proteggi il tuo team dal phishing basato sull’IA con un gestore di password aziendale.
