Il phishing è responsabile di oltre il 90% degli attacchi informatici riusciti. Non è un problema tecnologico: è un problema umano. Anche l’infrastruttura più sicura diventa vulnerabile se un dipendente clicca sul link sbagliato.
Le email di phishing sono diventate sofisticate: gli attaccanti studiano l’organigramma aziendale, imitano comunicazioni interne, replicano portali di login, e usano l’urgenza come leva psicologica. Il Business Email Compromise (BEC), in cui l’attaccante impersona un dirigente per autorizzare pagamenti, causa danni medi di decine di migliaia di euro per incidente.
Come riconoscere un’email di phishing
Mittente sospetto: l’indirizzo email non corrisponde al dominio ufficiale. Controllare sempre il dominio dopo la @, non solo il nome visualizzato. Un’email da “Mario Rossi info@mariio-rossi-azienda.com” non è la stessa cosa di “Mario Rossi m.rossi@aziendareale.it”.
Urgenza artificiale: “Il tuo account verrà bloccato entro 24 ore”, “Pagamento urgente da autorizzare”, “Fattura scaduta — azione immediata richiesta”. L’urgenza è la leva psicologica più usata perché spinge ad agire senza pensare.
Link sospetti: passare il mouse sul link PRIMA di cliccare. Se l’URL non corrisponde al sito ufficiale, è phishing. Attenzione ai domini simili: “microsoft-login.com” non è “microsoft.com”.
Allegati inattesi: fatture, documenti, file ZIP non richiesti sono vettori comuni di malware. Se non ti aspettavi quell’allegato, verifica con il mittente tramite un canale diverso (telefono) prima di aprirlo.
Errori e tono insolito: errori grammaticali, tono diverso dal solito, richieste anomale da colleghi o superiori. Se il tuo capo non ti ha mai chiesto di comprare gift card via email, forse non è davvero il tuo capo.
Il programma di security awareness che funziona
La formazione una tantum non funziona. L’efficacia dipende dalla continuità e dalla pratica.
Formazione base periodica: corsi trimestrali o semestrali su phishing, ingegneria sociale, gestione password, sicurezza dei dispositivi. Brevi (30-45 minuti), concreti, con esempi reali.
Simulazioni di phishing: invio regolare di email simulate per misurare il tasso di click. Chi cade nella simulazione riceve formazione mirata. Il tasso medio cala dal 30% al 5% dopo 6 mesi. È il ROI più misurabile di qualsiasi investimento in sicurezza.
Formazione per ruolo: il reparto amministrativo (target del BEC) ha rischi diversi dal reparto tecnico. La formazione deve essere contestualizzata.
Formazione organi direttivi: obbligo esplicito della NIS2 (Art. 23). I dirigenti devono comprendere i rischi cyber e le loro responsabilità personali.
Attestati e tracciamento: ogni sessione produce evidenze documentali utilizzabili come prova di conformità NIS2 e ISO 27001.
Phishing e NIS2
L’Art. 21 include le “pratiche di igiene informatica di base e la formazione in materia di sicurezza informatica” tra le misure obbligatorie. Non formare i dipendenti non è solo un rischio operativo: è una violazione normativa con potenziali sanzioni.
Quanto è vulnerabile il tuo team al phishing?
