Il phishing ha smesso da anni di essere l’email scritta male con il principe nigeriano. Oggi arriva come una notifica di Microsoft 365 perfettamente riprodotta, come un messaggio del direttore che chiede un bonifico urgente mentre è in viaggio, o come la risposta a una conversazione vera che l’attaccante ha letto dopo essere entrato nella casella di un fornitore.
Le varianti più costose per le aziende sono due: il furto di credenziali della posta, che apre la strada a tutto il resto, e la frode del bonifico, in cui viene cambiato l’IBAN in una fattura attesa. Nella seconda non c’è nessun malware da rilevare: c’è solo una persona che fa il proprio lavoro basandosi su un documento falso.
Le quattro forme che vediamo davvero nelle aziende
Il phishing generico che finisce nello spam non è il problema. Le varianti che passano i filtri e costano denaro sono poche e riconoscibili, se si sa cosa cercare.
Il falso avviso di Microsoft o del provider
Una notifica che avverte della scadenza della password o di una casella piena, con un collegamento a una pagina identica all’originale. Serve a rubare le credenziali della posta, che è il primo passo di quasi tutto il resto.
La frode del bonifico
Un messaggio che sembra del titolare o di un fornitore abituale, con una richiesta urgente o un IBAN aggiornato. Non contiene alcun malware, quindi nessuna difesa tecnica lo intercetta: la vittima fa esattamente il proprio lavoro.
La risposta a una conversazione vera
L’attaccante ha già compromesso la casella di un fornitore, legge lo scambio in corso e si inserisce con una risposta pertinente. È la forma più difficile da riconoscere, perché il contesto è autentico.
Il finto tecnico che chiama
Una telefonata da parte di chi dice di essere l’assistenza, con la richiesta di installare un programma di controllo remoto per risolvere un problema urgente. Funziona perché l’urgenza dichiarata scavalca il dubbio.
Perché la formazione da sola non basta
La convinzione diffusa è che il problema si risolva insegnando alle persone a riconoscere le email sospette. La formazione aiuta e va fatta, ma parte da un presupposto sbagliato: che l’errore sia dovuto a disattenzione.
Le persone che cadono nel phishing non sono distratte: stanno lavorando sotto pressione, con decine di messaggi al giorno, e uno di questi è costruito apposta per sembrare legittimo. Chiedere a un essere umano di avere ragione mille volte su mille è una strategia che fallisce per costruzione.
Le due misure che funzionano indipendentemente dall’attenzione sono il secondo fattore di autenticazione, che rende inutile una password rubata, e una procedura scritta che imponga la verifica telefonica di ogni cambio di coordinate bancarie. La prima è tecnica, la seconda è organizzativa, e nessuna delle due dipende da chi legge.
Cosa fare se qualcuno ha già cliccato
Cambiare subito la password dell’account coinvolto e chiudere tutte le sessioni attive, non solo cambiare la credenziale: chi è entrato può avere una sessione ancora aperta che sopravvive al cambio.
Controllare le regole della casella. La prima cosa che fa chi compromette una posta è creare un inoltro automatico verso un indirizzo esterno o una regola che sposta certe email in una cartella nascosta, così l’attività resta invisibile al legittimo proprietario per settimane.
Verificare cosa è stato inviato dalla casella nel frattempo. Se sono partiti messaggi ai contatti, vanno avvisati: la compromissione di una casella diventa quasi sempre il punto di partenza per attaccare fornitori e clienti.
Perché conta per un’azienda
È la porta d’ingresso della maggior parte degli incidenti aziendali. Nessuna difesa tecnica compensa completamente il fatto che qualcuno, prima o poi, clicca — motivo per cui il secondo fattore di autenticazione conta più della formazione.
L’errore che vediamo più spesso
Il controllo più utile non è tecnologico: è una procedura interna che imponga la verifica telefonica di qualunque cambio di IBAN, su un numero già noto e mai su quello indicato nella email.