Basta una singola e-mail, apparentemente inviata da un collega o da un fornitore, per mettere in difficoltà anche un’azienda ben organizzata. Un messaggio di spear phishing non punta a migliaia di destinatari indistinti, ma costruisce una situazione credibile attorno a una persona precisa, con l’obiettivo di ottenere credenziali, denaro o accesso ai sistemi. Qui spiego come funziona, quali segnali osservare e quali misure adottare prima e dopo un errore.
La protezione nasce dal riconoscere il contesto prima del messaggio
- Attacco mirato: il contenuto è adattato a una persona, a un ruolo o a un’organizzazione.
- Obiettivo frequente: rubare credenziali, autorizzare pagamenti o introdurre malware.
- Segnale decisivo: urgenza, richiesta insolita e impossibilità di verificare il mittente con un canale indipendente.
- Difesa efficace: autenticazione multifattore, procedure per i pagamenti e formazione pratica.
- Dopo un clic: segnalare subito l’accaduto, cambiare le credenziali e contenere la sessione compromessa.
Che cosa rende diverso un attacco mirato
Il phishing generico cerca di convincere molte persone con lo stesso messaggio. L’attacco mirato, invece, parte da informazioni sulla vittima: ruolo aziendale, progetti in corso, nomi dei responsabili, fornitori abituali o appuntamenti pubblicati online. ENISA osserva che i criminali possono utilizzare dati disponibili sui social network per rendere la comunicazione più credibile.
La tecnica sfrutta soprattutto la social engineering, cioè la manipolazione del comportamento umano attraverso fiducia, paura, autorità o fretta. Non serve sempre un malware sofisticato: a volte è sufficiente indurre una persona a inserire la password in una pagina falsa o a modificare l’IBAN di un fornitore.
| Tipo di messaggio | Caratteristica principale | Obiettivo tipico |
|---|---|---|
| Phishing generico | Invio massivo e contenuto standard | Rubare credenziali o dati bancari |
| Attacco mirato | Messaggio personalizzato per una vittima | Ottenere accesso, informazioni o denaro |
| Whaling | Pressione su dirigenti o figure con potere decisionale | Autorizzare pagamenti o ottenere dati strategici |
| Business email compromise | Uso di un account reale o imitazione di una casella aziendale | Frode finanziaria e deviazione di pagamenti |
La differenza più importante non è quindi il canale, che può essere e-mail, SMS, chat o telefonata, ma il livello di preparazione. Più il messaggio conosce il contesto della vittima, più diventa difficile giudicarlo a colpo d’occhio.
Come si sviluppa la trappola digitale
La raccolta delle informazioni
Prima del contatto, l’aggressore può osservare il sito aziendale, i profili professionali, i comunicati stampa e le conversazioni pubbliche. Anche un dettaglio innocuo, come l’assenza temporanea di un direttore o l’avvio di una nuova collaborazione, può diventare il pretesto per una richiesta credibile.
Secondo la mia esperienza, il problema non è soltanto quante informazioni un’azienda pubblica, ma come quelle informazioni si combinano. Un nome, un ruolo e una scadenza reale possono bastare per costruire una storia molto persuasiva.
La costruzione del pretesto
Il messaggio simula una situazione operativa comune. Può chiedere di condividere un documento, completare un accesso, controllare una fattura o autorizzare un bonifico prima della chiusura contabile.
Le richieste più pericolose spesso non sono spettacolari. Sono brevi, coerenti con il lavoro quotidiano e accompagnate da una pressione temporale come “entro un’ora” o “prima della riunione”. La fretta riduce la possibilità che il destinatario controlli mittente, dominio e procedura.
L’azione richiesta
Il risultato può essere un clic su un collegamento, il download di un file, l’inserimento di una password o l’invio di informazioni riservate. In altri casi, il messaggio serve solo ad avviare una conversazione che prosegue su WhatsApp, Teams o telefono.
Questa fase è importante perché il criminale può non cercare subito l’accesso completo. Una prima password rubata può essere usata per osservare le comunicazioni, impersonare il dipendente e colpire altri colleghi o partner commerciali.
Quali segnali devono far scattare il controllo
Non esiste un singolo indizio infallibile. Un indirizzo con un errore evidente è sospetto, ma i messaggi moderni possono avere grafica corretta, tono professionale e firma identica a quella reale. Io consiglio di valutare sempre la coerenza complessiva della richiesta, non soltanto l’ortografia.
- Richiesta insolita rispetto alle normali responsabilità del mittente o del destinatario.
- Urgenza artificiale che impedisce di seguire i controlli abituali.
- Modifica di coordinate bancarie comunicata esclusivamente via e-mail.
- Link abbreviato o dominio simile a quello di un servizio conosciuto.
- Allegato inatteso, soprattutto se richiede l’attivazione di macro o contenuti.
- Richiesta di codice MFA, password o token ricevuta fuori dal normale flusso di accesso.
- Risposta a una conversazione reale che sembra provenire da un account già compromesso.
Un caso ricorrente riguarda il falso amministratore delegato. Il dipendente riceve una richiesta riservata per acquistare buoni, effettuare un bonifico o condividere un documento urgente. Il nome è corretto e il tono sembra familiare, ma la procedura non prevede una conferma telefonica.
La regola pratica è semplice: ogni richiesta economica o di accesso che modifica una procedura deve essere verificata tramite un canale indipendente. Non risponderei al messaggio originale e non userei il numero indicato nella firma. Contatterei la persona tramite il numero già registrato in rubrica o attraverso il sistema aziendale.
Come proteggere una persona e un’azienda
Ridurre il valore di una singola password
L’autenticazione multifattore aggiunge un secondo controllo oltre alla password. È utile, ma non tutti i metodi offrono la stessa resistenza: un codice ricevuto via SMS può essere più esposto rispetto a un’app di autenticazione o a una chiave di sicurezza hardware.
Per gli account più importanti preferisco una soluzione resistente al phishing, come una passkey o una chiave FIDO2, quando compatibile con i servizi utilizzati. L’MFA non autorizza però a condividere codici ricevuti per errore: una richiesta inattesa di approvazione va segnalata.
Mettere in sicurezza la posta
SPF, DKIM e DMARC aiutano a ridurre la falsificazione del dominio aziendale. In termini semplici, consentono ai server di verificare chi è autorizzato a inviare messaggi e come gestire quelli che non superano i controlli.
Questi strumenti non bloccano ogni truffa. Un account reale compromesso può inviare messaggi autentici, e un dominio simile può superare i controlli tecnici. Per questo la configurazione della posta deve accompagnarsi a filtri antiphishing, aggiornamenti, gestione degli allegati e procedure interne.
Leggi anche: Come diventare hacker in modo legale e trovare lavoro
Controllare pagamenti e dati sensibili
Le aziende dovrebbero definire una procedura chiara per i cambi di IBAN, le fatture urgenti e le richieste provenienti dai vertici. Una telefonata di conferma, una doppia approvazione o un limite operativo possono evitare perdite molto superiori al tempo necessario per il controllo.
La formazione funziona meglio quando simula casi realistici del settore. Una lezione generica ogni due anni incide poco; brevi esercitazioni periodiche, seguite da una spiegazione concreta dell’errore, aiutano le persone a riconoscere la pressione psicologica mentre lavorano.
Non punirei chi segnala un messaggio sospetto anche dopo aver cliccato. Una cultura senza colpevolizzazione riduce il tempo di reazione, che spesso è più importante della capacità di riconoscere la truffa al primo tentativo.
Cosa fare dopo un clic o una risposta
Un errore non equivale automaticamente a una compromissione completa, ma va trattato come un possibile incidente. Il primo passo è interrompere l’interazione: non rispondere ancora, non scaricare altri file e non inserire ulteriori codici.
- Avvisa subito il reparto IT, il responsabile della sicurezza o il referente indicato dalla procedura interna.
- Disconnetti la sessione sospetta e, se richiesto dall’IT, scollega il dispositivo dalla rete senza spegnerlo in modo improvvisato.
- Cambia la password partendo dal sito ufficiale, non dal collegamento ricevuto.
- Revoca le sessioni attive e controlla regole di inoltro, dispositivi autorizzati e accessi recenti.
- Controlla i pagamenti e informa banca o fornitore se sono state comunicate coordinate o autorizzazioni.
- Conserva il messaggio come prova, includendo intestazioni e allegati secondo le indicazioni dell’IT.
CERT-AGID indica tra le prime azioni il contatto con il gestore ufficiale del servizio e il cambio della password dal portale corretto. Se sono stati esposti dati personali o aziendali, possono essere necessarie ulteriori valutazioni, comprese quelle relative agli obblighi di gestione dell’incidente.
Il tempo conta soprattutto quando sono state inserite credenziali privilegiate o dati bancari. Segnalare dopo cinque minuti è molto diverso dal segnalare dopo cinque giorni, quando l’aggressore potrebbe avere già creato regole di inoltro, scaricato documenti o usato l’account per colpire altri contatti.
La verifica indipendente è il controllo più economico
La tecnologia riduce il rischio, ma non sostituisce una decisione prudente. Quando una richiesta riguarda denaro, credenziali, dati riservati o un cambiamento di procedura, bisogna uscire dal canale usato dal mittente e verificare l’informazione attraverso un contatto già noto.
Per me questa è la misura con il miglior rapporto tra costo e beneficio. Non richiede software particolare, ma una regola condivisa, applicata anche quando il messaggio sembra arrivare dal direttore, dal commercialista o dal fornitore più affidabile.
La sicurezza informatica diventa concreta quando nessuno deve scegliere tra obbedire subito e rallentare il lavoro. Una procedura di verifica semplice, un’autenticazione robusta e una segnalazione senza timore possono trasformare un messaggio convincente in un incidente contenuto.
