Phishing: l'email che sembra vera (e oggi la scrive un'IA)

Dal caso Podesta al fornitore che aprì la porta a Target: come funziona il phishing, perché l'IA lo rende più credibile e perché la difesa vera sono le procedure.

Solidasocial-engineeringtruffephishingai

Marzo 2016. John Podesta, presidente della campagna elettorale di Hillary Clinton, riceve un'email che sembra arrivare da Google. Oggetto: "Someone has your password". Il testo è asciutto e credibile: qualcuno ha usato la sua password, da un indirizzo IP in Ucraina, e Google ha bloccato il tentativo. Serve cambiare la password subito, cliccando sul pulsante.

Lo staff fa la cosa giusta: inoltra il messaggio all'assistenza informatica e chiede se è vero. La risposta arriva poco dopo: "This is a legitimate email". Il tecnico, racconterà poi il New York Times, voleva scrivere illegitimate. Due lettere mancanti. Qualcuno clicca sul link breve dell'email originale, non su quello corretto che il tecnico aveva aggiunto. Pochi mesi dopo WikiLeaks pubblica migliaia di email di Podesta, a ridosso del voto presidenziale.

Esperti, procedure, un dubbio sollevato al momento giusto. Eppure è bastato un messaggio. Come è possibile?

In breve

Il phishing è un messaggio che si finge una fonte affidabile (banca, collega, fornitore, servizio online) per farti cliccare, inserire credenziali o aprire un allegato. Lo spear phishing è la versione su misura: scritta per te, con dettagli veri. L'IA generativa ha tolto agli attaccanti il limite più grosso, che era scrivere bene e in fretta.

🟢 Solida: che il phishing sia la prima porta d'ingresso degli attacchi lo confermano da anni tutti i grandi rapporti (Verizon, ENISA, FBI), con metodi diversi e risultati coerenti.

Come funziona l'attacco

Visto da chi lo riceve, ha quasi sempre quattro momenti.

Il messaggio arriva in un momento normale. Una notifica di sicurezza, una fattura, un documento condiviso, un aggiornamento delle ferie. Il mittente ha un nome che conosci; l'indirizzo vero, se lo guardi, è leggermente diverso.
Ti dà un motivo per agire subito. Un accesso sospetto, un account sospeso, un pagamento in scadenza, una novità che ti riguarda. L'emozione arriva prima del ragionamento.
Ti porta in un posto che sembra quello giusto. Una pagina di accesso identica all'originale, un allegato che chiede di "abilitare il contenuto", un modulo con il logo dell'azienda.
Ti chiede una cosa piccola. La password, il codice ricevuto via SMS, un clic. Il danno arriva dopo: dall'account rubato si entra nei sistemi e si scrive a colleghi e clienti.

Nello spear phishing l'attaccante studia prima organigrammi, fornitori e gergo interno. Il messaggio non dice "Gentile cliente": dice il tuo nome e parla del file che stavi aspettando.

Cosa cambia con l'IA generativa. Prima scrivere un'email credibile in italiano costava tempo e competenza. Nel 2023 il gruppo X-Force di IBM ha confrontato un'email di phishing scritta da un modello linguistico con una scritta dai suoi esperti: alla macchina sono serviti circa cinque minuti e cinque istruzioni, alle persone circa 16 ore. Inviate a oltre 800 dipendenti di un'organizzazione sanitaria, quelle scritte dagli umani hanno vinto, ma "per un soffio". [8] Nel 2026 uno studio pubblicato su Expert Systems with Applications da Heiding, Schneier e colleghi ha fatto un passo in più: con 101 partecipanti, le email di spear phishing generate in modo del tutto automatico hanno ottenuto il 54% di clic, come quelle scritte da esperti umani, contro il 12% del gruppo di controllo. [7] 🟡 Promettente: campione piccolo, ma il risultato va nella stessa direzione dei dati sul campo.

Le leve nel cervello

Autorità. Il messaggio arriva da Google, dall'IT, dal direttore, dalla banca. Siamo abituati a eseguire le istruzioni di chi ha un ruolo, soprattutto se il ruolo è scritto nel logo. Vedi Bias di autorità.
Paura e urgenza. "Qualcuno ha la tua password" non chiede di pensare, chiede di reagire. L'urgenza non serve a convincerti: serve a non farti controllare. Vedi Avversione alla perdita.
Default della verità. Lo psicologo Timothy Levine ha mostrato che partiamo dal presupposto che chi ci scrive dica il vero, e cambiamo idea solo davanti a un segnale forte. Nella vita normale è una strategia efficiente: la maggior parte dei messaggi che riceviamo è autentica. [12]
Fluidità. Un testo pulito, ben impaginato, senza errori, ci sembra più affidabile. È proprio la caratteristica che l'IA rende gratuita. Vedi Fluidità cognitiva.
Stanchezza e sovraccarico. Quando la mente è piena, decide il sistema veloce: molti clic avvengono a fine giornata o in viaggio.
Pertinenza. Lo studio dell'Università della California a San Diego su 19.500 dipendenti ha trovato differenze enormi tra un'esca e l'altra: una finta richiesta di aggiornare la password di Outlook ha ottenuto l'1,82% di clic, una finta nuova politica sulle ferie il 30,8%. [6]

Casi reali

1. John Podesta, 2016. Lo abbiamo raccontato all'inizio. Un'email che imitava un avviso di sicurezza di Google, un link accorciato, un errore di battitura nella risposta del supporto. La leva: autorità (Google) più paura (password rubata). Secondo le inchieste citate da CBS News, i link brevi erano stati creati con un account collegato al gruppo russo noto come Fancy Bear. Il costo non è in dollari: è la pubblicazione di migliaia di email in piena campagna presidenziale. [1] [2]

2. Target, 2013: il fornitore come porta di servizio. Secondo le ricostruzioni di Brian Krebs riprese da Dark Reading, tutto sarebbe partito da un'email di phishing a Fazio Mechanical, una piccola ditta di climatizzazione che lavorava per la catena americana. Le credenziali rubate al fornitore avrebbero dato accesso alla rete di Target, da cui gli attaccanti hanno sottratto i dati di circa 40 milioni di carte di pagamento. [3] Target ha stimato il costo complessivo della violazione in 202 milioni di dollari e nel 2017 ha chiuso con 47 Stati americani un accordo da 18,5 milioni. [4] La leva: fiducia nel rapporto con il fornitore.

3. RSA, 2011: l'email recuperata dalla posta indesiderata. RSA vendeva i token SecurID, i portachiavi che generano i codici di accesso usati da banche e aziende. Due email con oggetto "2011 Recruitment Plan" sono arrivate a piccoli gruppi di dipendenti. Il filtro le aveva messe nella posta indesiderata. Un dipendente ne ha recuperata una e ha aperto il foglio Excel allegato, che sfruttava una falla ancora sconosciuta di Adobe Flash. [5] La società madre EMC ha dichiarato 66 milioni di dollari di costi di bonifica nel solo secondo trimestre 2011. [9] La leva: curiosità e pertinenza (un piano di assunzioni interessa a tutti).

4. Italia, 2025: le finte multe via PEC. Il CERT-AgID ha censito nel 2025 3.620 campagne malevole rivolte all'Italia. Tra i temi più usati ci sono ordini, spedizioni, home banking e pagamenti: 328 campagne hanno sfruttato il nome di PagoPA con finte richieste di pagamento di multe stradali, spesso via PEC per ottenere i dati della carta o le credenziali bancarie. [10] La leva: autorità (la pubblica amministrazione) più paura della sanzione. La PEC, che percepiamo come canale "ufficiale", aumenta la credibilità.

I numeri

FBI IC3, rapporto 2025 (pubblicato ad aprile 2026): phishing e spoofing restano la categoria con più denunce negli Stati Uniti, 191.561, con circa 215,8 milioni di dollari di perdite dirette. Le perdite vere arrivano dopo, con le credenziali rubate. [11]
Verizon DBIR 2026: l'elemento umano è coinvolto nel 62% delle violazioni di dati analizzate (oltre 22.000); le credenziali rubate nel 39%. [13]
ENISA Threat Landscape 2025 (luglio 2024-giugno 2025, 4.875 incidenti): il phishing è il primo vettore d'ingresso, con il 60% delle intrusioni osservate. Secondo ENISA, all'inizio del 2025 oltre l'80% delle attività di ingegneria sociale nel mondo era supportato dall'IA. [14]
Polizia Postale, report 2025: 27.085 procedimenti per crimini economico-finanziari online, oltre 94.000 segnalazioni gestite sul Commissariato online per phishing e attacchi informatici. [15]

Cosa raccontano le vittime

Le testimonianze pubbliche hanno un tratto comune: nessuno si sentiva in pericolo.

L'esperto di sicurezza. Nel marzo 2025 Troy Hunt, il creatore del servizio Have I Been Pwned, ha ricevuto una finta email di Mailchimp: l'account era "segnalato per spam" e non poteva più inviare newsletter. Ha inserito le credenziali; in pochi minuti gli attaccanti hanno esportato circa 16.000 indirizzi. Ha raccontato di essere stanco e sotto effetto del jet lag, e di non aver dato peso al fatto che il gestore di password non avesse compilato il modulo da solo. [16]
La giornalista. Una cronista canadese ha descritto due email di "bolletta scaduta" identiche a quelle del suo operatore, la seconda con un importo più alto. Le ha aperte la sera tardi, dopo una giornata lunga, preoccupata per un ritardo che non era da lei. Ha passato le notti successive a bloccare carte e avvisare banche. [17]

Sono esempi, non statistiche: niente minacce teatrali, solo piccole seccature quotidiane da risolvere in fretta.

Il mito da smontare

"Il phishing si riconosce dagli errori di grammatica." 🔴 Mito, ormai.

Per anni è stato un buon consiglio. Oggi un modello linguistico scrive in italiano corretto, con il tono giusto e il nome del tuo capo, in pochi minuti. [7] [8] Un messaggio scritto bene non dice nulla sulla sua autenticità. Conta da dove arriva, dove ti porta e cosa ti chiede.

Segnali d'allarme

🚩 Ti chiede di accedere, pagare o scaricare da un link nel messaggio.
🚩 C'è una scadenza ravvicinata o una conseguenza spiacevole se non agisci.
🚩 Il nome del mittente è giusto ma l'indirizzo no (un dominio simile, un servizio di posta gratuito).
🚩 Il gestore di password non compila il modulo da solo: spesso significa che il sito non è quello vero.
🚩 Ti chiede il codice ricevuto via SMS o di approvare una notifica che non hai richiesto.
🚩 Arriva da un fornitore o collega con una richiesta insolita rispetto alle abitudini.

Come difendersi

Per le persone.

Non accedere mai da un link ricevuto. Apri l'app o digita tu l'indirizzo.
Usa un gestore di password: compila solo sul sito vero, ed è un allarme gratuito.
Attiva l'autenticazione a due fattori ovunque. Dove possibile, scegli le passkey o le chiavi fisiche, che non si possono "consegnare" a un sito falso.
Se un messaggio ti mette fretta, fermati due minuti.

Per le aziende.

Lo studio UCSD è chiaro: la formazione annuale obbligatoria non riduceva i clic, e quella mostrata subito dopo un clic sbagliato li riduceva di circa 2 punti percentuali. Tre utenti su quattro restavano sulla pagina un minuto o meno. [6] La consapevolezza aiuta, ma la difesa deve stare nei sistemi e nelle procedure.
Autenticazione resistente al phishing (passkey, chiavi FIDO2) almeno per amministratori, finanza e dirigenti.
Un pulsante "segnala" semplice e un grazie a chi segnala, anche per un falso allarme.
Gli accessi dei fornitori limitati al minimo indispensabile (la lezione di Target).
Nessuna colpa pubblica a chi clicca: chi ha paura di essere punito non segnala, e un clic non segnalato è il vero disastro.

Se è già successo

Se hai inserito una password su un sito sospetto: cambiala subito dal sito vero, e cambiala ovunque la usavi. Chiudi le sessioni aperte. Se hai dato dati della carta o del conto, chiama subito il numero verde della banca e blocca. In azienda avvisa l'IT immediatamente: i minuti contano più della vergogna. Puoi segnalare e denunciare sul portale della Polizia Postale, commissariatodips.it. Per tutti i passaggi: Cosa fare se ci sei cascato.

Mettiti alla prova

Lunedì mattina ricevi questa email.

Da: Risorse Umane <hr@portale-dipendenti-gruppo.com> Oggetto: Nuovo piano ferie 2027: conferma entro venerdì Ciao Marco, come anticipato nella riunione di settembre, il piano ferie 2027 è online. Ti chiediamo di confermare le tue preferenze entro venerdì, altrimenti verranno assegnate d'ufficio. Accedi con le credenziali aziendali: [Apri il piano ferie]

Attacco o richiesta vera?

Soluzione. Dal messaggio non puoi saperlo, ed è questo il punto. Il testo è corretto e il tema interessa a tutti (nello studio UCSD un'esca sulle ferie ha convinto quasi un dipendente su tre). Ma ci sono due segnali: il dominio non è quello aziendale e il link chiede le credenziali. La mossa giusta non è indovinare: è aprire l'intranet digitando tu l'indirizzo, o chiedere a HR su un altro canale. Se il piano è vero, lo trovi lì.

Per approfondire

Fonti

CBS News, "The phishing email that hacked the account of John Podesta", 28 ottobre 2016. https://www.cbsnews.com/amp/news/the-phishing-email-that-hacked-the-account-of-john-podesta
Sophos Naked Security, "DNC chief Podesta led to phishing link thanks to a typo", 16 dicembre 2016 (riprende il New York Times). https://news.sophos.com/en-us/2016/12/16/dnc-chief-podesta-led-to-phishing-link-thanks-to-a-typo/?amp=1
Dark Reading, "Target Breach: Phishing Attack Implicated", 13 febbraio 2014. https://www.darkreading.com/cyberattacks-data-breaches/target-breach-phishing-attack-implicated
Business Insurance, "Target in $18.5 million multistate settlement over data breach", 23 maggio 2017. https://www.businessinsurance.com/target-in-multi-million-dollar-multistate-settlement-over-data-breach/
The Register, articolo sull'origine dell'attacco a RSA, 4 aprile 2011. https://www.theregister.com/2011/04/04/rsa_hack_howdunnit/
Ho, G., Mirian, A., et al. (2025). Understanding the Efficacy of Phishing Training in Practice. IEEE Symposium on Security and Privacy. Sintesi: UC San Diego Today, 17 settembre 2025. https://today.ucsd.edu/story/cybersecurity-training-programs-dont-prevent-employees-from-falling-for-phishing-scams
Heiding, F., Lermen, S., Koo, A., Verdun, C. M., Schneier, B., Vishwanath, A. (2026). Evaluating Large Language Models' Ability to Automate Spear Phishing. Expert Systems with Applications, 314, 131546. https://www.schneier.com/academic/archives/2026/02/evaluating-large-language-models-ability-to-automate-spear-phishing.html
Carruthers, S. (IBM X-Force), "AI vs. human deceit: Unravelling the new age of phishing tactics", 24 ottobre 2023. https://www.ibm.com/think/x-force/ai-vs-human-deceit-unravelling-new-age-phishing-tactics
Dark Reading, "RSA SecurID Breach Cost $66 Million", 28 luglio 2011. https://www.darkreading.com/cyberattacks-data-breaches/rsa-securid-breach-cost-66-million
AgID, "Online il report sulle campagne malevole registrate nel 2025 dal CERT-AgID", febbraio 2026. https://www.agid.gov.it/it/notizie/online-il-report-sulle-campagne-malevole-registrate-nel-2025-dal-cert-agid
FBI Internet Crime Complaint Center, 2025 Internet Crime Report, aprile 2026; dati ripresi da MacMyths, "Cybercrime losses jumped 26% to $20.9 billion in 2025". https://macmyths.com/cybercrime-losses-jumped-26-to-20-9-billion-in-2025-fbi-says-but-scams-drove-most-of-the-increase/
Levine, T. R. (2020). Duped: Truth-Default Theory and the Social Science of Lying and Deception. University of Alabama Press.
Verizon, 2026 Data Breach Investigations Report; sintesi Retarus, "Verizon DBIR 2026: Social engineering a growing threat". https://www.retarus.com/blog/en/?p=11792
Infosecurity Magazine, "Phishing Dominates EU-Wide Intrusions, says ENISA", 2 ottobre 2025. https://www.infosecurity-magazine.com/news/phishing-dominates-euwide/
Quotidiano.net, "Ingegneria finanziaria del male: il cybercrime da 269 milioni che svuota i conti degli italiani", 17 marzo 2026 (dati Polizia Postale, Report 2025). https://www.quotidiano.net/economia/ingegneria-finanziaria-del-male-il-cybercrime-da-269-milioni-che-svuota-i-conti-degli-italiani-d5e215f8
Malwarebytes, "Security expert Troy Hunt hit by phishing attack", marzo 2025. https://www.malwarebytes.com/blog/news/2025/03/security-expert-troy-hunt-hit-by-phishing-attack
Tri-City News, "Column: How this reporter got scammed by a phishing email and what it could cost her". https://tricitynews.com/opinion/column-how-this-reporter-got-scammed-by-a-phishing-email-and-what-it-could-cost-her-3117945