Il phishing è una truffa informatica in cui un criminale si finge un mittente affidabile (una banca, un fornitore, un collega, un servizio come Microsoft 365) per convincere la vittima a cliccare un link, aprire un allegato, inserire le proprie credenziali o effettuare un pagamento.
Il nome richiama la pesca (fishing): si lancia un’esca a molte persone e si aspetta che qualcuno abbocchi. Per un’azienda il danno non è solo il singolo account rubato: da una casella di posta compromessa possono partire frodi sui pagamenti, furti di dati e attacchi ransomware all’intera rete.
In sintesi
Phishing
Una truffa che si finge un mittente affidabile per farti cliccare, inserire credenziali o pagare.
Canali
Email, SMS, telefono, PEC, QR code, social
Obiettivo
Credenziali, dati, pagamenti, accesso alla rete
Leva
Urgenza, paura, autorità, curiosità
Difesa
MFA, filtri email, formazione, procedure
Se hai cliccato
Cambia password, avvisa l’IT, isola il PC
Obblighi
GDPR art. 33, NIS2 se sei soggetto
Come funziona un attacco di phishing
Quasi ogni attacco segue lo stesso schema in quattro fasi:
- Esca: un messaggio credibile, spesso con logo e firma copiati da un mittente reale.
- Leva emotiva: urgenza (“il tuo account verrà sospeso”), paura, autorità del mittente o curiosità.
- Azione: clic su un link verso un sito falso, apertura di un allegato, risposta con dati o un bonifico.
- Sfruttamento: le credenziali rubate servono per entrare nella posta aziendale, nel gestionale o nel cloud e colpire altre persone dall’interno.
Oggi l’intelligenza artificiale rende i messaggi più curati, senza errori di italiano, e permette di clonare voci e volti: per questo il tema rientra anche nella sicurezza dell’intelligenza artificiale.
I tipi di phishing più diffusi
Email phishing
Messaggi di massa che imitano banche, corrieri, fornitori o Microsoft 365 e portano a una pagina di login falsa.
Spear phishing
Email costruite su una persona precisa, con nomi, ruoli e progetti reali presi da LinkedIn o dal sito aziendale.
CEO fraud e BEC
Un finto amministratore o fornitore chiede un bonifico urgente o il cambio dell’IBAN su una fattura.
Smishing
Phishing via SMS o WhatsApp: pacchi in giacenza, conti bloccati, multe da pagare tramite un link.
Vishing
Telefonate di finti operatori bancari o tecnici IT, oggi anche con voci clonate dall’intelligenza artificiale.
Quishing e PEC
QR code che puntano a siti falsi e PEC compromesse usate per inviare allegati infetti a chi si fida del mittente.
Come riconoscere un’email di phishing: la checklist
Nessun segnale da solo è una prova, ma due o più insieme devono far scattare la verifica:
- Il mittente visualizzato è noto, ma l’indirizzo reale ha un dominio diverso o con lettere scambiate.
- Il messaggio mette fretta: scadenze di poche ore, blocco dell’account, sanzioni.
- Ti chiede credenziali, codici OTP, dati di pagamento o un cambio di IBAN.
- Il link, passando il mouse sopra, porta a un dominio che non c’entra con il mittente.
- Allegati inattesi: archivi .zip, file .html, documenti Office che chiedono di attivare le macro.
- Saluti generici, tono insolito o una richiesta fuori dalle procedure abituali.
- La pagina di login ha un indirizzo strano anche se la grafica sembra identica.
Regola d’oro: nessuna richiesta urgente di credenziali, pagamenti o cambio IBAN si esegue senza una verifica su un canale diverso da quello del messaggio.
Phishing e social engineering: che relazione c’è?
Il social engineering è l’insieme delle tecniche che manipolano le persone, invece dei sistemi, sfruttando fiducia, rispetto dell’autorità, paura o desiderio di aiutare. Il phishing ne è la forma più diffusa, perché arriva attraverso i canali digitali e può raggiungere migliaia di persone a costo quasi zero.
Per questo la sola tecnologia non basta: un filtro antispam blocca molti messaggi, ma la difesa finale è una persona che riconosce il segnale e sa a chi segnalarlo.
Cosa fare se hai cliccato su un link di phishing
Contano i minuti. In azienda la procedura dovrebbe essere scritta e conosciuta da tutti:
01
Fermati
Non inserire altri dati e non rispondere al mittente. Se hai scaricato un file, scollega il dispositivo dalla rete.
02
Cambia le credenziali
Da un altro dispositivo cambia la password dell’account coinvolto e di quelli che usano la stessa password; attiva l’MFA.
03
Avvisa subito l’IT
Segnala il messaggio al referente IT o al fornitore di sicurezza: può bloccare il dominio e controllare se altri hanno ricevuto la stessa email.
04
Proteggi i pagamenti
Se hai fornito dati della carta o autorizzato un bonifico, contatta subito la banca per bloccare o richiamare l’operazione.
05
Valuta gli obblighi
Se sono coinvolti dati personali, il titolare valuta la notifica al Garante entro 72 ore. La denuncia si può presentare alla Polizia Postale.
Come proteggere l’azienda dal phishing
La protezione efficace unisce tecnologia, procedure e persone:
Autenticazione a più fattori
Rende inutili molte credenziali rubate. Da attivare almeno su posta, accessi remoti, cloud e gestionali.
Posta elettronica protetta
Filtri antiphishing, controlli SPF, DKIM e DMARC sul dominio aziendale, analisi di link e allegati.
Formazione e simulazioni
Brevi sessioni periodiche e campagne di phishing simulato per misurare e migliorare i comportamenti.
Procedure di pagamento
Doppia approvazione per i bonifici e verifica telefonica di ogni cambio IBAN su un numero già noto.
Aggiornamenti e backup
Sistemi aggiornati e backup separati e provati riducono l’impatto se l’attacco porta a un ransomware.
Segnalazione semplice
Un pulsante o un indirizzo dedicato per segnalare i messaggi sospetti, senza timore di sbagliare.
360 Consulenza affianca le imprese con il security assessment, i servizi di cybersecurity e la formazione del personale, e con il monitoraggio e la continuità operativa per reagire in fretta quando un attacco va a segno.
Phishing, GDPR e NIS2: quali obblighi per l’azienda
GDPR. Se il phishing porta a una violazione di dati personali (per esempio una casella di posta con dati di clienti o dipendenti), il titolare deve documentarla e, se c’è un rischio per le persone, notificarla al Garante entro 72 ore (art. 33 GDPR). Il Garante Privacy dedica al phishing una pagina con consigli pratici; per l’adeguamento vedi la nostra consulenza GDPR.
NIS2. Le aziende soggette al D.Lgs. 138/2024 devono adottare misure di gestione del rischio, tra cui la formazione del personale, e notificare gli incidenti significativi al CSIRT Italia: pre-notifica entro 24 ore, notifica entro 72 ore e relazione finale entro un mese. Le indicazioni ufficiali sono sul portale NIS dell’ACN; per capire se la tua azienda rientra vedi la pagina sulla direttiva NIS2.
Domande frequenti sul phishing
Che cos’è il phishing in parole semplici?
È un tentativo di truffa in cui qualcuno si finge un mittente affidabile (banca, fornitore, collega, servizio online) per convincerti a cliccare un link, aprire un allegato, inserire le credenziali o fare un pagamento.
Che relazione c’è tra social engineering e phishing?
Il social engineering è l’insieme delle tecniche che manipolano le persone sfruttando fiducia, urgenza o paura. Il phishing è la forma più diffusa di social engineering: usa messaggi digitali per ottenere un’azione dalla vittima.
Cosa devo fare se ho cliccato su un link di phishing?
Non inserire altri dati, scollega il dispositivo dalla rete se hai scaricato un file, cambia subito la password da un altro dispositivo, attiva l’autenticazione a più fattori e avvisa il referente IT. Se hai fornito dati di pagamento, chiama la banca.
Il phishing va segnalato al Garante Privacy?
Se l’attacco ha causato una violazione di dati personali con un rischio per le persone, il titolare deve notificarla al Garante entro 72 ore da quando ne è venuto a conoscenza (art. 33 GDPR). Va comunque registrata nel registro interno delle violazioni.
Cosa prevede la NIS2 per un attacco di phishing?
Per le aziende soggette alla NIS2 (in Italia il D.Lgs. 138/2024), un incidente significativo va pre-notificato al CSIRT Italia entro 24 ore, notificato entro 72 ore e chiuso con una relazione finale entro un mese. La formazione del personale è una delle misure di sicurezza richieste.
Come si protegge un’azienda dal phishing?
Combinando tecnologia e persone: autenticazione a più fattori, filtri email con controlli SPF, DKIM e DMARC, aggiornamenti, backup, procedure di verifica per pagamenti e cambi IBAN e formazione periodica dei dipendenti con simulazioni.
Per le aziende
Quanto è esposta la tua azienda al phishing?
Con un security assessment verifichiamo posta elettronica, accessi, procedure di pagamento e consapevolezza del personale, e ti consegniamo un piano di interventi in ordine di priorità.
