Per anni, la sensibilizzazione al phishing si è concentrata sull’identificazione di segnali evidenti quali errori di ortografia e formulazioni poco naturali. Sebbene questi indicatori esistano ancora, non sono più strumenti di screening affidabili. I messaggi creati dall’AI possono infatti essere perfezionati, personalizzati e allineati al linguaggio abituale di una persona o di un’organizzazione.

La domanda più utile non è più: “Questo messaggio sembra professionale?” ma piuttosto: “Questa richiesta ha senso e ho verificato chi la sta facendo?”

Questo cambiamento è importante perché un utente malintenzionato ha bisogno che la vittima compia una sola azione, ad esempio aprire un file, scansionare un codice QR, rivelare informazioni sensibili o trasferire denaro. Di conseguenza, la protezione dal phishing nell’era dell’AI dovrebbe concentrarsi meno sui difetti superficiali dei messaggi e più sulle azioni che questi mirano a innescare.

Il messaggio è solo il meccanismo di consegna

Il phishing rimane efficace perché costituisce un punto di accesso a molteplici forme di compromissione. Una pagina di raccolta delle credenziali può acquisire un nome utente e una password. Un allegato dannoso può provocare un’infezione da malware. Una richiesta di pagamento fraudolenta può reindirizzare i fondi. E un account compromesso può quindi essere utilizzato per inviare messaggi più convincenti da un indirizzo ritenuto affidabile.

Derek Manky, Chief Security Strategist and Global VP of Threat Intelligence, FortiGuard Labs

Il messaggio di phishing è spesso la parte tecnicamente meno complessa di un attacco. Il suo scopo è persuadere il destinatario ad attraversare un confine di fiducia inserendo le credenziali, approvando una richiesta di autenticazione, aprendo un file o modificando una procedura consolidata. A quel punto, l’autore dell’attacco può rubare credenziali o token di sessione, installare malware, stabilire una presenza persistente o utilizzare l’account compromesso per prendere di mira altre persone. L’aggiunta dell’AI non ha cambiato sostanzialmente questi obiettivi. Al contrario, ha migliorato la qualità, la personalizzazione e la scalabilità dell’esca, aumentando la probabilità che una catena di attacchi altrimenti prevedibile abbia successo.

Gli aggressori creano inoltre spesso campagne legate a eventi che già suscitano l’interesse del pubblico. Ad esempio, FortiGuard Labs ha rilevato oltre 13.000 domini correlati alla Coppa del Mondo FIFA 2026 registrati tra gennaio e maggio, di cui circa l’8,8% è stato identificato come dannoso o sospetto. Questi includono biglietti falsi, annunci di lavoro, link per lo streaming e account di impersonificazione, tutti efficaci perché appaiono pertinenti e credibili nel contesto attuale. I miglioramenti dell’AI hanno contribuito a far apparire questi domini legittimi, eliminando molti degli indizi che consentono di identificare un messaggio o un sito di phishing.

L’AI cambia l’economia dell’ingegneria sociale

L’AI ha anche reso lo spear phishing più efficace. Questa tecnica richiedeva tradizionalmente tempo, poiché l’autore dell’attacco doveva studiare il bersaglio, comprenderne il ruolo e le relazioni e, quindi, elaborare un messaggio appropriato a quel contesto. L’AI riduce lo sforzo richiesto in ogni fase.

Le funzionalità dell’AI possono supportare immagini, audio e video di impersonificazione convincenti. Naturalmente, queste tecniche non rendono sofisticato ogni tentativo di phishing, né garantiscono il successo. Tuttavia, rendono segnali familiari come una grammatica impeccabile, un tono appropriato o una voce riconoscibile meno utili come prova di autenticità.

Ecco perché i programmi di sensibilizzazione devono evolversi, passando dal rilevamento di messaggi scritti male alla convalida dell’identità, del contesto e dell’intento.

Verificare la richiesta, non solo il messaggio

I dipendenti devono prestare attenzione e procedere con calma se ricevono una comunicazione in cui vengono richiesti credenziali, denaro, dati sensibili, approvazione di un’autenticazione a più fattori o un’azione urgente - in particolare se la richiesta è insolita o si discosta dalle procedure standard.

La verifica deve essere effettuata in modo indipendente. Evitare di utilizzare il numero di telefono, l’indirizzo di risposta o il link presenti nel messaggio sospetto. Piuttosto, contattare la persona tramite un numero di telefono affidabile, l’elenco aziendale o un canale interno ufficiale. Per qualsiasi pagamento o modifica del conto, seguire le procedure di approvazione dell’organizzazione, anche se la richiesta sembra provenire da un dirigente o da un fornitore di fiducia.

I dipendenti dovrebbero, inoltre, considerare il contesto in cui si inserisce la richiesta. La comunicazione era prevista? È così che la persona di solito presenta questo tipo di richiesta? Il dominio di destinazione corrisponde all’organizzazione che sostiene di rappresentare? Il messaggio chiede al destinatario di evitare la normale verifica o di mantenere l’azione riservata?

Nessuna singola risposta può dimostrare che un messaggio sia dannoso. Tuttavia, nel loro insieme, questi controlli possono rivelare incoerenze che un linguaggio raffinato e un branding realistico sono progettati per nascondere.

Formare per prendere decisioni, non solo per riconoscere

Le organizzazioni devono formare i dipendenti affinché siano in grado di riconoscere i tentativi di manipolazione da parte degli aggressori e di reagire di conseguenza. La formazione dovrebbe includere e-mail, messaggi di testo, strumenti di collaborazione, codici QR, telefonate e nuovi tipi di media sintetici. Dovrebbe, inoltre, concentrarsi sui ruoli e sui processi aziendali più vulnerabili agli attacchi mirati.

Le simulazioni di phishing offrono un modo controllato per valutare come gli utenti rispondono a scenari realistici e individuare dove sono necessari ulteriori corsi di formazione o controlli. L’obiettivo non è quello di sorprendere i dipendenti a commettere errori. È quello di offrire loro la possibilità di esercitarsi ripetutamente nel riconoscere quando una richiesta oltrepassa un limite di fiducia e nel sapere cosa fare successivamente.

Il phishing si sta evolvendo, ma la risposta più efficace è semplice: fermarsi. Verificare. Segnalare. Tratta con cautela le richieste impreviste di credenziali, denaro, informazioni sensibili o azioni urgenti e verificale autonomamente prima di procedere.