Phishing: cos’è, come riconoscerlo e come difendersi

Il phishing è oggi una delle minacce informatiche più diffuse e pericolose per le aziende di ogni dimensione. Ogni giorno, migliaia di email fraudolente raggiungono le caselle di posta di dipendenti, responsabili amministrativi e titolari d’impresa, con l’obiettivo di sottrarre credenziali, dati sensibili o somme di denaro.

Secondo il Rapporto Clusit 2025, gli attacchi informatici in Italia sono cresciuti del 15% nell’ultimo anno, e il phishing si conferma tra le tecniche più usate dai cybercriminali.

Per le PMI — spesso prive di un reparto IT dedicato — capire cosa sia il phishing, come funziona e come difendersi non è più un’opzione: è una necessità concreta.

Cos’è il phishing e come riconoscerlo

Il termine phishing — da non confondere con il semplice “fishing” (pescare) — nasce proprio dall’immagine dell’amo lanciato in acqua: il cybercriminale getta un’esca digitale sperando che qualcuno abbocchi.

La definizione di phishing è relativamente semplice: si tratta di un attacco informatico basato sull’inganno, in cui un soggetto malevolo finge di essere un’entità affidabile (banca, fornitore, ufficio pubblico, collega) per indurre la vittima a compiere un’azione dannosa.

Tecnicamente, un attacco di phishing si basa su tre meccanismi principali:

• Spoofing del mittente: l’indirizzo email del mittente viene falsificato o leggermente alterato per sembrare autentico (es. fatture@fornitor3.it invece di fatture@fornitore.it).
• Link malevoli: il messaggio contiene un collegamento che rimanda a una pagina web contraffatta, visivamente identica all’originale, dove vengono raccolte le credenziali inserite dalla vittima.
• Social engineering: il testo del messaggio fa leva su urgenza, paura o autorevolezza per spingere all’azione immediata senza riflettere (es. “Il suo account verrà bloccato entro 24 ore”).

Quali sono i segnali di un attacco?

Riconoscere un tentativo di phishing richiede attenzione, ma esistono indicatori ricorrenti che è utile imparare a identificare. Un’email sospetta di solito presenta uno o più di questi elementi:

• Mittente con dominio anomalo o leggermente diverso da quello ufficiale (un carattere sbagliato, un trattino in più).
• Tono urgente o minaccioso: richieste di azione immediata, blocchi imminenti, accessi non autorizzati da verificare subito.
• Link che al passaggio del mouse mostrano un URL diverso da quello visualizzato nel testo.
• Richieste di dati sensibili via email (password, IBAN, PIN): nessun ente legittimo le chiede mai così.
• Allegati inattesi, spesso in formato .zip, .exe o PDF con macro incorporate.

Un esempio concreto: l’ufficio amministrativo di un’azienda riceve un’email apparentemente dalla propria banca, con logo e grafica ufficiali, che segnala un accesso sospetto al conto e chiede di cliccare su un link per verificare l’identità.

Il link porta a una pagina identica al portale bancario, ma ospitata su un server straniero. Chi inserisce le proprie credenziali le consegna direttamente ai truffatori.

Quali sono gli obiettivi più comuni di un attacco phishing nelle PMI?

Le piccole e medie imprese sono bersagli particolarmente appetibili per i cybercriminali, non perché abbiano necessariamente dati di valore superiore alle grandi aziende, ma perché spesso dispongono di difese più fragili.

I principali obiettivi di un attacco phishing in contesto PMI riguardano:

• Credenziali di accesso ai gestionali: sistemi ERP, piattaforme di fatturazione elettronica, portali per la gestione delle utenze (nel settore Utility, ad esempio, l’accesso ai sistemi di monitoraggio consumi o contratti è un obiettivo sensibile).
• Dati bancari e IBAN: molto frequente la variante in cui un criminale si finge un fornitore e chiede di aggiornare i dati di pagamento, dirottando i bonifici su conti fraudolenti.
• Account email aziendali: una volta compromesso un account, il criminale può inviare phishing a nome dell’azienda verso clienti e partner, moltiplicando il danno.
• Dati personali di dipendenti e clienti: informazioni anagrafiche, documenti, contratti — con evidenti implicazioni in termini di violazione del GDPR.

In un’azienda con 10-50 dipendenti, l’assenza di procedure chiare e di formazione adeguata rende questi attacchi molto più efficaci di quanto si potrebbe pensare.

È sufficiente un clic sbagliato da parte di un solo collaboratore per aprire una falla significativa.

Le principali tipologie di phishing

Quando si parla di phishing si tende a pensare solo alle email. In realtà, il fenomeno si è evoluto in diverse varianti, ognuna con caratteristiche specifiche. Conoscerle aiuta a riconoscerle più facilmente.

Email phishing (attacco massivo)

È la forma più comune: un’email generica viene inviata a migliaia di destinatari contemporaneamente (attacco di phishing massivo) nella speranza che qualcuno risponda. Il messaggio non è personalizzato — può fingersi una banca, un corriere o l’Agenzia delle Entrate — e punta sulla statistica: anche un tasso di successo dell’1% su centomila invii produce migliaia di vittime.

Spear phishing: cos’è e cosa lo caratterizza

A differenza del phishing di massa, lo spear phishing è un attacco mirato e personalizzato. Il criminale raccoglie in anticipo informazioni sulla vittima — nome, ruolo aziendale, fornitori abituali, colleghi — e costruisce un messaggio credibile e specifico. Questo è ciò che caratterizza lo spear phishing: la personalizzazione del contenuto, che lo rende molto più difficile da smascherare rispetto a un’email generica.

Un esempio tipico in ambito PMI: un’email indirizzata al responsabile acquisti con oggetto “Conferma ordine n. 2847 — aggiornamento IBAN”, firmata con il nome reale di un fornitore conosciuto. Il testo è grammaticalmente corretto, il tono professionale, i dati dell’ordine plausibili. Senza una verifica telefonica diretta, è difficile riconoscere la truffa.

Smishing e vishing

Lo smishing (SMS + phishing) consiste nell’invio di messaggi truffaldini tramite SMS o app di messaggistica come WhatsApp. Il phishing su WhatsApp è in crescita: messaggi che simulano comunicazioni di corrieri, banche o enti governativi inducono a cliccare su link o a condividere dati personali.

Il vishing (voice phishing) avviene invece via telefono: l’aggressore si finge un operatore bancario, un tecnico IT o un funzionario pubblico per estorcere informazioni in tempo reale. Meno comune nelle PMI, ma in crescita nelle fasi successive ad altri attacchi.

Cosa si rischia con il phishing?

Le conseguenze di un attacco phishing andato a segno non si limitano al furto di dati. Per una PMI, gli impatti possono essere immediati e prolungati nel tempo, con effetti che si estendono ben oltre la singola violazione.

Sul piano operativo, le conseguenze più frequenti includono:

• Blocco delle attività: se l’attacco è seguito da un’infezione ransomware (spesso veicolata proprio tramite link di phishing), l’azienda può trovarsi con i sistemi bloccati per giorni.
• Frodi nei pagamenti: la variante BEC (Business Email Compromise) porta a bonifici fraudolenti verso conti controllati dai criminali, con pochissime possibilità di recupero.
• Violazione di dati personali: se vengono compromessi dati di clienti o dipendenti, scattano gli obblighi di notifica al Garante Privacy previsti dal GDPR, con potenziali sanzioni significative.
• Danno reputazionale: un’azienda colpita e — peggio — che ha inconsapevolmente veicolato attacchi verso i propri clienti perde credibilità e fiducia.
• Costi di ripristino: recupero dei sistemi, assistenza tecnica, eventuale riscatto (che comunque non garantisce il recupero dei dati) e mancata produttività rappresentano voci di costo significative anche per realtà di piccole dimensioni.

La domanda che ci si pone spesso — “ho aperto una mail di phishing: cosa succede?” — dipende molto dall’azione compiuta.

Aprire l’email di per sé raramente causa danni; il rischio aumenta drasticamente se si clicca su link, si scaricano allegati o si inseriscono credenziali nei moduli a cui si viene reindirizzati.

Un esempio concreto di attacco phishing in una PMI

Per capire concretamente cosa può succedere, immaginiamo una situazione tipica in una piccola azienda:

• Un impiegato dell’ufficio amministrativo riceve un’email da un fornitore abituale, con oggetto “Aggiornamento coordinate bancarie — fattura in scadenza”.
• Il messaggio è scritto correttamente, include riferimenti reali (numero fattura, nome azienda) e invita a scaricare un allegato PDF.
• L’impiegato apre il file, che contiene un link a una pagina apparentemente identica al portale del fornitore.
• Inserisce le credenziali per accedere all’area clienti, convinto di verificare i dati.
• Nel giro di poche ore, i criminali utilizzano quell’accesso per inviare una richiesta di pagamento modificata ad altri contatti dell’azienda, oppure tentano accessi ad altri sistemi usando le stesse credenziali.
• Il risultato: uno o più bonifici vengono dirottati su conti fraudolenti, e l’azienda si accorge del problema solo giorni dopo.

Questo tipo di dinamica è estremamente comune: non serve un attacco sofisticato, ma solo un messaggio credibile nel momento giusto.

Ed è proprio per prevenire questi scenari che diventa fondamentale adottare misure di protezione adeguate.

Come difendersi dal phishing: strategie efficaci per le imprese

Proteggersi dal phishing richiede un approccio su più livelli. Non esiste una singola soluzione che elimini completamente il rischio, ma combinare misure tecniche, organizzative e formative riduce sensibilmente la superficie di attacco. È utile distinguere tra interventi di diversa priorità.

Misure base: da implementare subito

Alcune azioni hanno un impatto immediato e non richiedono grandi investimenti. Sono il punto di partenza obbligatorio per qualsiasi PMI:

• Autenticazione a due fattori (2FA): anche se un criminale ottiene le credenziali, senza il secondo fattore non riesce ad accedere. Va attivata su tutti i servizi critici: email, gestionale, portali bancari.
• Filtri antispam e sistemi anti phishing: i moderni sistemi di posta includono funzionalità di rilevamento delle email sospette. Assicurarsi che siano attivi e configurati correttamente.
• Aggiornamenti regolari: sistemi operativi, browser e software devono essere sempre aggiornati per chiudere le vulnerabilità che i malware distribuiti via phishing sfruttano.
• Procedure interne di verifica: ogni richiesta di pagamento o modifica di coordinate bancarie ricevuta via email deve essere verificata telefonicamente, anche se il mittente sembra noto.

Misure intermedie: per aumentare la resilienza

Una volta consolidate le basi, è possibile rafforzare la protezione con strumenti più strutturati:

• Formazione del personale: i dipendenti sono la prima linea di difesa. Sessioni periodiche di awareness — anche brevi ma regolari — e simulazioni di phishing aiutano a costruire una cultura della sicurezza concreta.
• Soluzioni di email security avanzata: strumenti come DMARC, DKIM e SPF autenticano i mittenti e riducono drasticamente il rischio di spoofing. Spesso non richiedono grandi investimenti, ma devono essere configurati da tecnici esperti.
• Backup strutturato e testato: avere copie aggiornate dei dati aziendali, conservate in luoghi separati dai sistemi principali, è la misura più efficace contro la paralisi da ransomware post-phishing.

Misure avanzate e il ruolo del partner tecnologico

Per le PMI con dati sensibili, clienti che richiedono standard di sicurezza elevati o obblighi normativi specifici (NIS2, GDPR, settore finanziario o delle utility), diventa necessario affidarsi a un partner tecnologico strutturato.

Un partner come iDigital3 può intervenire su due livelli distinti:

• Livello strategico (consulenza): analisi del rischio, definizione delle politiche di sicurezza, supporto nella scelta degli strumenti adeguati alle dimensioni e ai processi dell’azienda.
• Livello operativo (implementazione): configurazione degli strumenti tecnici, integrazione con i sistemi gestionali esistenti, monitoraggio continuativo e supporto in caso di incidente.

La soluzione iD3SECURITY è progettata specificamente per rispondere a questi bisogni nelle PMI: offre un approccio modulare che parte dalla protezione della posta elettronica e della navigazione, per arrivare a sistemi di monitoraggio e risposta agli incidenti.

In particolare per le aziende del settore Utility — dove la continuità operativa e la protezione dei dati di fornitura sono critiche — avere un presidio continuativo sulla sicurezza informatica non è un lusso, ma un requisito funzionale.

Quando serve davvero una soluzione strutturata?

Non tutte le PMI hanno le stesse esigenze. Alcune situazioni richiedono un intervento più strutturato rispetto alla semplice adozione di buone pratiche:

• L’azienda gestisce dati personali di clienti o di terze parti in modo continuativo (fatturazione, contratti, dati di consumo).
• Uno o più dipendenti lavorano da remoto, accedendo ai sistemi aziendali da reti domestiche o dispositivi personali.
• L’azienda ha già subito un attacco o ha ricevuto segnalazioni di email sospette a proprio nome.
• Fornitori o clienti richiedono certificazioni o dichiarazioni di conformità in materia di sicurezza informatica.

In questi casi, un’analisi preliminare condotta da un professionista è il primo passo — spesso richiede meno tempo e meno costi di quanto si immagini, e fornisce una mappa chiara di dove intervenire.

La sicurezza informatica come processo continuo

Il phishing non è una minaccia astratta né riservata alle grandi aziende. Ogni PMI, indipendentemente dal settore e dal numero di dipendenti, è un potenziale bersaglio.

La buona notizia è che difendersi è possibile, anche senza un reparto IT interno: bastano consapevolezza, qualche procedura ben definita e gli strumenti giusti, possibilmente scelti con il supporto di un partner che conosca la realtà operativa di una piccola o media impresa.

La sicurezza informatica non è mai un traguardo definitivo, ma un processo continuo. Iniziare a costruirla oggi — anche con piccoli passi — significa ridurre concretamente il rischio di ritrovarsi domani a gestire un’emergenza.

FAQ

Come avviene concretamente un attacco di phishing in azienda?

Un attacco tipico inizia con un’email che sembra provenire da un interlocutore conosciuto: una banca, un fornitore, un ufficio pubblico. Il messaggio contiene un link che rimanda a una pagina falsa oppure un allegato infetto. Se il destinatario clicca o apre l’allegato, le credenziali vengono rubate o viene installato un software malevolo. In ambito aziendale, la variante più pericolosa è quella che prende di mira l’ufficio amministrativo o la direzione, fingendosi comunicazioni urgenti su pagamenti o accessi a sistemi.

Qual è la differenza tra spear phishing e spray phishing?

Lo spray phishing (o phishing di massa) consiste nell’invio indiscriminato di email fraudolente a un grande numero di destinatari, senza personalizzazione. Lo spear phishing, al contrario, è un attacco mirato: il criminale raccoglie informazioni sulla vittima specifica — nome, ruolo, fornitori, colleghi — e costruisce un messaggio credibile e su misura. Lo spear phishing è statisticamente più efficace proprio perché è molto più difficile da riconoscere.

Come segnalare un tentativo di phishing?

In Italia, i tentativi di phishing possono essere segnalati alla Polizia Postale attraverso il portale commissariatodips.it. Molti provider di posta offrono anche la possibilità di segnalare direttamente un’email come phishing tramite un pulsante dedicato. Nel contesto aziendale, è importante che esista una procedura interna per raccogliere e gestire queste segnalazioni, in modo da poter avvisare tempestivamente i colleghi.

Cos’è il phishing su WhatsApp?

Il phishing su WhatsApp è una variante dello smishing (phishing via messaggistica): il truffatore invia un messaggio che finge di provenire da un corriere, una banca o un ente ufficiale, con un link che porta a pagine false o che avvia il download di app malevole. In alcuni casi, i messaggi sembrano provenire da contatti noti — perché il loro account è già stato compromesso — aumentando ulteriormente la credibilità dell’inganno.

Cosa fare immediatamente se un dipendente ha cliccato su un link phishing?

Le prime azioni da compiere sono:

• Disconnettere immediatamente il dispositivo dalla rete aziendale (rete locale e Wi-Fi) per evitare la propagazione di eventuali malware.
• Cambiare le password degli account potenzialmente esposti, partendo dall’account email aziendale, dai gestionali e dai portali bancari.
• Avvisare il responsabile IT o il partner tecnologico per un’analisi del dispositivo e dei log di sistema.
• Verificare se siano stati effettuati accessi o operazioni anomale negli account coinvolti nelle ore successive all’incidente.
• Documentare l’accaduto e, se necessario, valutare la notifica al Garante Privacy entro 72 ore in caso di violazione di dati personali.

Quando una PMI dovrebbe affidarsi a un partner per la protezione dal phishing?

Non è necessario aspettare di subire un attacco per agire. Un partner tecnologico diventa essenziale quando l’azienda tratta dati sensibili in modo continuativo, quando dipendenti lavorano in modalità remota o ibrida, quando i sistemi aziendali sono integrati con piattaforme esterne (gestionali, CRM, portali clienti) o quando il settore di appartenenza impone standard di sicurezza specifici. In tutti questi casi, un’analisi preliminare è il punto di partenza: definisce le priorità di intervento e consente di costruire un piano di protezione proporzionato alle reali esigenze — senza sprechi e senza lasciare scoperte le aree critiche.