Il phishing rimane una delle minacce più pervasive ed efficaci nel panorama della sicurezza informatica. Nonostante la proliferazione di malware avanzati, ransomware ed exploit cloud-native, il phishing continua a superare molte altre tipologie di attacco perché si rivolge al comportamento umano piuttosto che alle vulnerabilità tecniche.

In tutto il mondo, il phishing è di gran lunga il tipo di crimine informatico più comune, a dimostrazione di quanto sia diventato resistente questo vettore di attacco. Si stima che ogni giorno vengano inviate circa 3,4 miliardi di e-mail di phishing in tutto il mondo, pari a circa l'1,2% di tutto il traffico e-mail.

Le moderne e-mail di phishing sono realizzate in modo da sembrare benigne, personalizzate e contestuali e utilizzano sempre più l'intelligenza artificiale per perfezionare il loro impatto. Nell'era degli attacchi assistiti dall'intelligenza artificiale, gli aggressori possono inviare messaggi che sembrano comunicazioni autentiche da parte di colleghi, fornitori o servizi fidati.

Perché il phishing funziona ancora

Il successo del phishing deriva dallo sfruttamento della psicologia umana. Gli aggressori manipolano la fiducia, l'urgenza e il sovraccarico cognitivo per creare scenari in cui i destinatari agiscono prima e pensano poi. Su larga scala, anche un piccolo tasso di clic può produrre ritorni significativi. In effetti, le e-mail di phishing rappresentano oltre il 90% degli attacchi informatici riusciti a livello globale, confermando il suo ruolo centrale come metodo di accesso iniziale per gli attori delle minacce.

Il volume dei tentativi di phishing aumenta le probabilità di successo. Dati recenti indicano che il 57% delle organizzazioni deve affrontare truffe di phishing settimanalmente o quotidianamente e che i messaggi di phishing rappresentano circa l'1,2% di tutte le e-mail inviate nel mondo, il che equivale a miliardi di messaggi dannosi ogni giorno.

L'errore umano rimane un fattore critico. Anche le organizzazioni con solide pratiche di sicurezza riferiscono che la maggior parte dei dipendenti si è imbattuta in almeno un account e-mail compromesso a causa di attività di phishing. Un sondaggio ha indicato che il 92% delle aziende ha avuto almeno una compromissione della posta elettronica aziendale e il 93% ha subito fughe di dati a causa di credenziali compromesse o negligenza. Queste cifre evidenziano che i controlli tecnici da soli non bastano; se le persone vengono indotte a consegnare le credenziali o a cliccare su un link, gli aggressori possono aggirare difese altrimenti solide.

L'evoluzione delle tattiche di phishing

Il phishing si è evoluto ben oltre le truffe mal formulate dei primi tempi di Internet. Oggi gli aggressori utilizzano informazioni dettagliate tratte dai social media, dai siti web aziendali e dalle reti professionali per creare messaggi altamente pertinenti a persone o ruoli specifici. Questo approccio, noto come spear phishing, migliora notevolmente le percentuali di successo rispetto ai messaggi generici.

Le campagne di phishing si sono inoltre diversificate tra i vari canali. Il phishing via SMS (noto come smishing) e il phishing vocale (vishing) sfruttano i dispositivi mobili e i sistemi telefonici, mentre le piattaforme di messaggistica come Teams e Slack vengono utilizzate per inviare link malevoli in ambienti di cui gli utenti si fidano intrinsecamente. Queste campagne multimodali aumentano la superficie di attacco e rendono il phishing più difficile da rilevare.

L'intelligenza artificiale ha amplificato questa evoluzione. Le ricerche indicano che le e-mail di phishing generate dall'intelligenza artificiale hanno un tasso di click-through di circa il 54%, rispetto ad appena il 12% degli attacchi scritti dall'uomo, e che i destinatari sono molto più propensi a inserire le credenziali dopo aver cliccato su un link generato dall'intelligenza artificiale. Questa netta differenza evidenzia come l'automazione e la generazione di linguaggio naturale possano far sembrare gli attacchi più autentici e plausibili ai destinatari.

L'impatto dell'intelligenza artificiale sul phishing

L'intelligenza artificiale non solo ha aumentato il volume e la qualità dei contenuti di phishing, ma ha reso i messaggi più difficili da individuare. I modelli linguistici consentono agli aggressori di creare testi che rispecchiano il tono, il marchio e il contesto aziendale con una fluidità impressionante. La personalizzazione guidata dall'intelligenza artificiale fa sì che i messaggi di phishing possano fare riferimento a progetti interni, contatti specifici o gergo settoriale con un minimo sforzo manuale, riducendo ulteriormente le possibilità che vengano individuati come malevoli.

L'intelligenza artificiale viene utilizzata anche per automatizzare l'intero ciclo di vita delle campagne di phishing, dalla generazione dei nomi dei mittenti e dei corpi delle e-mail alla personalizzazione delle pagine di destinazione che raccolgono le credenziali. Tecnologie emergenti come deepfake audio e video sono già state segnalate in casi di frode, in cui le vittime ricevono chiamate o messaggi che imitano in modo convincente dirigenti e colleghi. Con l'avanzare di queste capacità, distinguere tra comunicazioni autentiche e fraudolente senza controlli tecnici diventerà ancora più difficile.

Rafforzare le difese umane con la consapevolezza della sicurezza gestita

Poiché il phishing prende di mira le persone, non solo la tecnologia, la consapevolezza e la formazione rimangono essenziali. Le iniziative di sensibilizzazione alla sicurezza aiutano i dipendenti a riconoscere i messaggi sospetti e a comprendere le risposte appropriate, ma la formazione deve essere continua e adattiva. Un approccio gestito può incorporare la consapevolezza nelle regolari routine aziendali e aiutare le organizzazioni a costruire una resilienza comportamentale.

Il servizio Managed Security Awareness di Integrity360, ad esempio, supporta le organizzazioni con una formazione continua e mirata, simulazioni di phishing realistiche e reportistica attivabile. Esponendo regolarmente i team a minacce simulate e rafforzando le best practice attraverso moduli di formazione tempestivi, le organizzazioni possono ridurre la probabilità di violazioni causate da errori umani e vedere miglioramenti misurabili nel modo in cui i dipendenti rispondono ai tentativi di phishing. Questo tipo di supporto continuo aiuta a trasformare la consapevolezza in una mentalità costante piuttosto che in un esercizio una tantum.

Perché la tecnologia da sola non basta

Nessuna soluzione di filtraggio delle e-mail o controllo della sicurezza è in grado di bloccare ogni tentativo di phishing. Alcuni messaggi dannosi raggiungeranno sempre le caselle di posta e i dipendenti, sotto pressione, possono commettere errori. Il rafforzamento della tecnologia e la formazione degli utenti devono andare di pari passo.

Le organizzazioni dovrebbero adottare difese a più livelli, tra cui la protezione dell'identità, l'autenticazione a più fattori e politiche di accesso condizionato che rendano più difficile per gli aggressori cambiare direzione anche in caso di accesso iniziale. Gli strumenti di monitoraggio che segnalano accessi sospetti e attività insolite possono ridurre ulteriormente l'impatto dei successi dell'ingegneria sociale. Il rilevamento e il contenimento rapidi sono fondamentali quando il phishing ha successo, come inevitabilmente accadrà.

Adattarsi a una minaccia in evoluzione

Il phishing non sta scomparendo. Poiché la comunicazione digitale diventa sempre più centrale per le operazioni aziendali, gli avversari continueranno a sfruttarla. Ma l'impatto del phishing può essere ridotto in modo significativo combinando formazione continua, solide protezioni tecniche e una cultura operativa che consideri il phishing come una sfida fondamentale per la sicurezza.

Se siete preoccupati per i rischi che il phishing comporta per la vostra organizzazione, contattate gli esperti di Integrity360.