Phishing: perché riconoscere email e PEC fraudolente è sempre più difficile

Per anni il consiglio è stato cercare gli errori: grammatica traballante, logo sfocato, mittente strano. Oggi non basta. Un attaccante può scrivere un testo corretto in italiano, copiare l'aspetto di un fornitore o di un ente pubblico e personalizzare il messaggio con dati trovati online. Strumenti di intelligenza artificiale rendono questo lavoro più veloce e meno costoso, ma il punto non è la tecnologia: è che l'aspetto del messaggio non è più una prova di nulla.

Il phishing resta il modo più frequente con cui si entra nei sistemi. Nel rapporto sul panorama delle minacce pubblicato da ENISA il 1° ottobre 2025, che analizza 4.875 incidenti tra luglio 2024 e giugno 2025, il phishing (compresi vishing, malspam e malvertising) risulta il principale metodo di accesso iniziale, in circa il 60% dei casi osservati. Nelle piccole aziende il rischio è concreto perché una sola casella compromessa basta per arrivare a fatture, pagamenti e accessi cloud.

La risposta pratica è smettere di chiedere alle persone di fare le investigatrici e costruire procedure che funzionino anche quando il messaggio è convincente.

Cosa vuole ottenere chi attacca

Quasi ogni attacco di phishing ha un obiettivo preciso: farti compiere un'azione che da solo non faresti. Le richieste ricorrenti sono quattro.

• Credenziali: una finta pagina di accesso a Microsoft 365, alla banca o al portale di un corriere raccoglie utente e password.
• Allegati e link malevoli: un file che installa malware o un link che porta a una pagina clonata.
• Autorizzazioni: la richiesta di approvare un accesso o di concedere permessi a un'applicazione.
• Pagamenti: un bonifico urgente, o un IBAN diverso da quello abituale.

L'ultimo caso è il più costoso per le aziende. Nelle frodi legate a conversazioni email compromesse, il messaggio arriva dall'account reale di un fornitore, dentro un thread già esistente, e cambia soltanto le coordinate bancarie. Non c'è nessun dominio simile da notare: il mittente è davvero lui.

Il caso della PEC: certificata la consegna, non il contenuto

Molti trattano la posta elettronica certificata come un canale sicuro per definizione. È proprio questa convinzione che i truffatori sfruttano. Secondo AgID la PEC certifica l'invio e la consegna del messaggio, con data certa, ma la certificazione riguarda il sistema di trasmissione, non l'identità reale di chi scrive, né la veridicità del contenuto o degli allegati.

Se la casella di un'azienda o di un professionista viene compromessa, il messaggio parte comunque da un indirizzo PEC autentico. Il CERT-AgID, il 27 ottobre 2026, ha descritto nuove campagne a tema multe che usano caselle PEC compromesse per inviare false richieste di pagamento pagoPA. La pagina di destinazione, secondo l'analisi, può raccogliere anche dati delle carte di pagamento. Il mittente è reale, il contenuto no.

Cosa controllare davanti a una PEC che chiede qualcosa:

1. Se te l'aspettavi. Una multa, una fattura o una diffida mai sentite sono già un segnale, indipendentemente dal mittente.
2. Dove porta il link. Non pagare mai da un link in un messaggio inatteso: raggiungi il portale digitando l'indirizzo ufficiale.
3. Cosa chiede l'allegato. Archivi compressi, documenti che chiedono di «abilitare le macro» o di inserire una password indicata nel testo sono motivo di sospetto.
4. La coerenza con la pratica. Un numero di protocollo, un importo o un nome che non corrispondono a quanto conosci vanno verificati prima, non dopo.

Per segnalare un messaggio sospetto, il CERT-AgID invita a inoltrarlo a [email protected]; conviene avvisare anche il gestore della PEC.

Segnali che restano utili, e quelli che non bastano più

Alcuni indizi continuano a funzionare. Altri vanno abbandonati come criterio unico.

• Ancora utili: urgenza artificiale, richieste di cambiare IBAN o di non parlarne con altri, link il cui dominio vero differisce da quello mostrato, richieste di credenziali per «riattivare» un servizio, mittenti che scrivono per la prima volta ma citano un rapporto esistente.
• Non più affidabili: errori grammaticali (il testo può essere impeccabile), logo e impaginazione identici all'originale, firma completa con nome e ruolo reali, mittente corretto (casella compromessa), la sola parola «PEC» o «certificata» nell'oggetto.

La regola di fondo: il messaggio è un'affermazione, non una prova. Quello che serve è un modo indipendente per confermarla.

Le difese tecniche, a livelli

Nessuna misura da sola ferma tutto. Insieme riducono il numero di messaggi che arrivano e l'effetto di quelli che riescono a passare.

• Filtri sulla posta in arrivo, con analisi di link e allegati prima della consegna.
• SPF, DKIM e DMARC sul proprio dominio: non proteggono dai messaggi che ricevi, ma rendono molto più difficile spacciarsi per la tua azienda con i tuoi clienti e fornitori. Si configurano nel DNS del dominio e si introducono per gradi, osservando prima i rapporti.
• Autenticazione resistente al phishing. Le linee guida NIST sull'identità digitale (SP 800-63B-4) distinguono questi metodi dagli altri: password temporanee e codici ricevuti via SMS o voce non sono considerati resistenti al phishing, perché l'utente può essere indotto a consegnarli a un sito falso; le chiavi di sicurezza e le passkey sì, perché legano l'accesso al sito vero. Dove il servizio le offre, vanno attivate per gli account che contano di più.
• Privilegi ridotti. Un utente che non ha bisogno dei diritti di amministratore non deve averli: una compromissione resta limitata.
• Backup separati e verificati, per poter ripartire anche se un allegato malevolo ha fatto danni. Il tema è trattato in backup dei dati: guida completa.

Procedure che reggono anche quando ci si sbaglia

La formazione serve, ma conta di più ciò che si può fare in pochi secondi, quando si è di fretta.

1. Pagamenti e IBAN: ogni richiesta di nuovo pagamento o di modifica delle coordinate si conferma con una telefonata a un numero già in archivio, non a quello scritto nel messaggio.
2. Doppia approvazione per i bonifici sopra una soglia che l'azienda decide.
3. Un indirizzo interno per le segnalazioni, a cui inoltrare ogni dubbio senza giudizio. Meglio dieci falsi allarmi che un silenzio.
4. Cosa fare dopo un clic: non aspettare. Cambiare subito la password dell'account coinvolto da un altro dispositivo, revocare le sessioni attive, avvisare chi gestisce l'IT e annotare ora e messaggio.

Se nella casella compromessa c'erano dati personali di clienti, la violazione può far scattare l'obbligo di notifica al Garante. Il regolamento europeo sulla protezione dei dati prevede, all'articolo 33, la notifica senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando se ne ha conoscenza. Se l'azienda rientra nella NIS2 si aggiungono le notifiche al CSIRT Italia: il quadro è in Direttiva NIS2: obblighi per le aziende. Per i casi specifici conviene rivolgersi al proprio consulente legale.

Da dove partire questa settimana

Un passo realistico è un controllo di mezz'ora sulle basi: chi può autorizzare un pagamento e come verifica un nuovo IBAN, quali account usano ancora soltanto password e codici via SMS, se il dominio ha SPF, DKIM e DMARC configurati, dove vengono conservati i backup.

Tech Care segue reti e sicurezza delle piccole aziende, in gran parte da remoto: verifica la configurazione della posta, imposta le difese a livelli e prepara le procedure per il personale. Il punto di partenza è la richiesta guidata; i dettagli del servizio sono nella pagina reti e sicurezza.