Cos'è il phishing?

Il phishing è la tecnica con cui un attaccante convince una persona a consegnare credenziali, dati o denaro spacciandosi per un interlocutore legittimo, di solito via email ma sempre più spesso via SMS, telefonata, chat aziendale o annuncio pubblicitario. Non è un problema di ingenuità di chi ci casca: le campagne di oggi riproducono fedelmente le pagine di accesso dei servizi cloud, partono da caselle davvero compromesse di fornitori noti e appoggiano la richiesta su un pretesto operativo credibile, una fattura in scadenza o un documento condiviso dal capo. Secondo l'ENISA Threat Landscape 2025, il phishing è il vettore di accesso iniziale nel 60% degli incidenti censiti nell'Unione Europea tra luglio 2024 e giugno 2025, davanti allo sfruttamento di vulnerabilità che si ferma al 21,3%. È quindi la porta d'ingresso più battuta verso tutto il resto, dal ransomware alla frode sui pagamenti.

Le varianti che contano davvero

La campagna di massa, spedita a migliaia di indirizzi con un testo generico, è la meno pericolosa e quella che i filtri intercettano meglio. Il danno grosso arriva dallo spear phishing, cucito su una persona specifica dopo aver studiato il suo ruolo, i suoi fornitori e il suo calendario, spesso a partire da informazioni pubbliche o da dati usciti in una violazione precedente. Accanto all'email ci sono lo smishing via SMS, il vishing telefonico e il quishing con un QR code stampato su una finta comunicazione bancaria, che sposta l'apertura del link sul telefono personale, dove i controlli aziendali non arrivano. La variante che oggi cresce di più punta direttamente al portafoglio: una richiesta di cambio coordinate bancarie inviata dalla casella compromessa di un fornitore, cioè un caso di business email compromise.

Perché l'autenticazione a più fattori non chiude il problema

Attivare l'autenticazione a più fattori riduce molto il valore di una password rubata, ed è la prima cosa da fare, ma non chiude il rischio. I kit di phishing correnti lavorano come proxy inverso: mettono una pagina intermedia tra la vittima e il servizio vero, girano in tempo reale il codice del secondo fattore e si tengono il cookie di sessione già autenticato. Da quel momento l'attaccante entra senza avere né la password né il telefono, perché riusa la sessione. Per questo la guida CISA sull'MFA resistente al phishing indica come obiettivo i fattori legati al dominio, cioè passkey e chiavi hardware FIDO2, che per costruzione non si possono consegnare a un sito civetta. Attenzione però a cosa non chiudono, perché è la parte che si scopre dopo: il beneficio si annulla se sullo stesso account resta attivo un metodo di recupero debole, un SMS o una domanda segreta, perché l'attaccante userà quello invece della passkey; e non coprono né il furto del cookie di sessione da un dispositivo già autenticato né il consenso concesso per distrazione a un'applicazione terza, che ottiene un accesso duraturo senza passare da alcun login. Chi attiva le passkey e lascia in piedi il recupero via SMS ha cambiato la serratura e lasciato la finestra aperta.

Perché conta per chi decide

Il phishing va trattato come un problema di processo, non di consapevolezza individuale. Tre mosse valgono più di qualsiasi corso: passkey o chiavi hardware sulle identità che contano, una regola scritta che impone la verifica su un canale diverso per ogni cambio di coordinate bancarie, e un canale interno dove segnalare un sospetto in trenta secondi senza temere una figuraccia. La segnalazione rapida è ciò che trasforma un clic in un allarme gestibile invece che in un incidente scoperto due settimane dopo, e si appoggia su un piano di incident response già scritto.