Cos'è il phishing, l’errore umano più costoso dell’era digitale

Nell’inverno del 2016, un singolo clic cambiò per sempre il corso della politica americana. Non fu un attacco complesso che aggirava un firewall né un exploit crittografico sofisticato: fu una semplice email di reset della password, inviata a John Podesta, allora presidente della campagna presidenziale di Hillary Clinton. L’email sembrava innocua, così tanto che persino il team IT della campagna la considerò “legittima”. In un attimo di distrazione, Podesta cliccò sul link. Le conseguenze si sentirono ben oltre l’ufficio della campagna.

L’attacco, che portò alla pubblicazione di migliaia di email, divenne uno degli esempi più noti e devastanti di phishing nella storia moderna.

Cos'è il phishing

Il phishing è una tecnica di cyberattacco che aggira anche le difese digitali più solide ingannando chi detiene la “chiave” per aprire la porta. Non serve hackerare un sistema: basta convincere la persona giusta a consegnare le informazioni.

Da allora, il phishing ha smesso di essere un fastidio legato ai famigerati messaggi del “principe nigeriano” ed è diventato un’industria multimiliardaria, con ripercussioni enormi per persone e aziende. Secondo l’ultimo Cost of a Data Breach Report di IBM, il phishing è oggi responsabile del 15% di tutte le violazioni di dati a livello globale, con un costo medio di circa 4,88 milioni di dollari a incidente.

La psicologia dell’esca: il fattore umano al centro dell’attacco

Il phishing non è solo un problema tecnico: è soprattutto psicologico. Chi lo pratica non è solo un hacker, ma uno studioso del comportamento umano. La sua arma principale è il social engineering, cioè la capacità di manipolare le persone affinché rivelino informazioni riservate o compiano azioni che compromettono la loro sicurezza.

Gli attacchi di phishing sfruttano emozioni forti—paura, avidità, curiosità—per spingere le vittime a reagire senza riflettere. Un’email che avvisa di un conto bancario “compromesso” o un messaggio urgente su una fattura da pagare attiva il sistema di risposta istintiva del cervello, oscurando il pensiero razionale.

“Gli aggressori non devono aggirare sistemi sofisticati quando possono convincere l’utente autorizzato a fare il lavoro sporco al posto loro”, spiega un esperto di sicurezza informatica. Creando una falsa urgenza, i truffatori aggirano del tutto il perimetro di sicurezza tradizionale.

Tassonomia dell’inganno: dai “Whale” agli “Angler”

Se l’obiettivo del phishing resta sempre lo stesso—rubare dati o denaro—i metodi si sono evoluti e specializzati in forme sempre più sofisticate:

• Spear phishing e whaling: a differenza dello spam generico, questi attacchi sono mirati. Gli aggressori studiano le vittime, spesso attraverso i social, per creare messaggi personalizzati. Quando i bersagli sono dirigenti o CEO, l’attacco prende il nome di whaling. Secondo il SANS Institute, il 95% degli attacchi alle reti aziendali comincia con spear phishing.
• Business Email Compromise (BEC): una delle forme più redditizie. L’attacco consiste nel fingersi dirigenti o fornitori affidabili per autorizzare trasferimenti fraudolenti. In un caso celebre, Facebook e Google furono truffati per oltre 100 milioni di dollari da un gruppo che si spacciava per un fornitore legittimo.
• Smishing e vishing: il phishing si è spostato oltre le email. Lo smishing sfrutta messaggi SMS fasulli, spesso legati a pacchi non consegnati. Il vishing invece utilizza chiamate telefoniche con ID falsificati, fingendo di essere autorità come l’agenzia delle entrate o la polizia, per estorcere informazioni o denaro.
• Angler phishing: i truffatori creano falsi account di assistenza clienti sui social per intercettare utenti insoddisfatti e rubare credenziali o dati sensibili nei messaggi diretti.

L’ascesa delle macchine: AI e “Quishing”

La sofisticazione del phishing è aumentata con l’avvento dell’Intelligenza Artificiale Generativa. Se un tempo era facile individuare messaggi con inglese stentato o errori evidenti, oggi algoritmi avanzati permettono di generare messaggi perfettamente scritti, personalizzati e quasi indistinguibili da comunicazioni reali.

In parallelo, il phishing si è spostato nel mondo fisico grazie al “quishing”: i criminali sostituiscono codici QR legittimi su parcheggi, menu o confezioni con link malevoli che portano a siti pericolosi, senza bisogno di inviare un’email sospetta.

Anatomia di una truffa: come riconoscere il phishing

Nonostante l’evoluzione tecnologica, molti tentativi lasciano segni identificabili. Gli esperti suggeriscono di fermarsi e analizzare ogni messaggio inaspettato:

L’evoluzione della minaccia: attacchi avanzati e campagne multi-canale

Molti phishing mirano ancora a rubare informazioni o denaro, ma alcune delle minacce più gravi sono legate agli Advanced Persistent Threats (APT). Questi attacchi penetrano lentamente nelle reti aziendali e si muovono lateralmente fino a raggiungere i dati più sensibili: segreti commerciali, proprietà intellettuale o sistemi critici.

Il phishing funge spesso da veicolo per ransomware, spyware o Trojans, e in alcuni casi malware generato da AI che si adatta automaticamente per sfuggire ai controlli di sicurezza.

Le campagne multi-canale combinano email, SMS e telefonate per aumentare la credibilità dell’attacco, mentre il quishing porta la truffa direttamente nel mondo reale.

Difendere la rete digitale: strategie multilivello

Le aziende non possono più limitarsi a firewall e antivirus. Si diffondono soluzioni come la phishing-resistant multifactor authentication (PR-MFA), che utilizza biometria o chiavi fisiche per rendere impossibile l’accesso ai truffatori anche con password compromesse.

Le piattaforme di Extended Detection and Response (XDR) sfruttano l’intelligenza artificiale per individuare anomalie nei messaggi, nei comportamenti di rete e nelle attività degli utenti, riconoscendo richieste insolite o deviazioni dai modelli standard.

La regola dei cinque secondi: il fattore umano come ultima barriera

Nonostante le tecnologie avanzate, la difesa più efficace resta la cautela individuale. Gli esperti consigliano di fermarsi cinque secondi prima di interagire con qualsiasi messaggio sospetto. Come sottolinea un professionista della sicurezza: “Nessuna email legittima richiede una risposta immediata”.

I sette campanelli d'allarme da riconoscere:

1. Saluti generici
2. Offerte troppo belle per essere vere
3. Urgenza e minacce
4. Domini sospetti
5. Firme mancanti o incongruenti
6. Allegati inattesi
7. Sensazione che il messaggio “non quadri”

Lo scudo collettivo: la collaborazione globale

Il phishing è un fenomeno globale. Nel 2026, il National Cyber Security Centre del Regno Unito ha rimosso oltre 241.000 siti malevoli, e le segnalazioni continuano ad arrivare da tutto il mondo. Ogni segnalazione contribuisce a proteggere migliaia di utenti: più persone sono informate e caute, più la rete globale diventa sicura.

In un’era in cui ogni messaggio può rappresentare una minaccia, la difesa più efficace rimane la stessa: rallentare, osservare attentamente e, quando si è in dubbio, non cliccare.