Il problema non è la tecnologia, è la mail che qualcuno apre

Molte PMI spendono in firewall e antivirus, poi un dipendente clicca su un link e tutto cade. Non è una critica: è la realtà documentata da ogni rapporto di settore. Il phishing funziona perché sfrutta la distrazione, la fretta e la fiducia — non i buchi del software.

Capire come funziona e come formare chi lavora in azienda è la misura di sicurezza con il miglior rapporto costo-efficacia disponibile oggi. Non richiede grandi budget, richiede metodo.

Cosa dicono i numeri sull'Italia nel 2025-2026

L'Italia è uno dei Paesi europei più colpiti da attacchi informatici. I dati del CERT-AGID registrano migliaia di campagne malevole ogni anno, con il phishing stabilmente in cima alla lista — davanti a malware e smishing via SMS.

Secondo i dati raccolti da Fibermap sugli attacchi informatici alle PMI italiane nel 2026, il phishing è la tecnica d'attacco più diffusa e in forte crescita rispetto all'anno precedente. La stessa fonte conferma che la posta elettronica rimane il canale preferito dagli attaccanti, con una crescita preoccupante anche attraverso la PEC — che molte aziende considerano erroneamente "sicura per definizione".

Le PMI italiane sono il bersaglio principale: rappresentano la fetta più grande dei soggetti colpiti. Spesso non hanno un reparto IT dedicato, i processi interni sono informali e le verifiche sui pagamenti avvengono ancora via email senza un secondo canale di conferma.

Il phishing non cerca il buco nel sistema. Cerca la persona giusta nel momento sbagliato.

Come sono fatte le email di phishing oggi (e perché sono più difficili da riconoscere)

Fino a qualche anno fa, un'email di phishing era riconoscibile: italiano storpiato, loghi sgranati, link con domini assurdi. Oggi non è più così.

I messaggi generati con strumenti di intelligenza artificiale sono grammaticalmente corretti, usano il tono giusto per il settore e possono contenere riferimenti specifici all'azienda ricavati da fonti pubbliche (sito web, LinkedIn, comunicati stampa). Secondo quanto riportato da SecurityOpenLab nel report Kaspersky 2026, tra gennaio e aprile 2026 sono stati rilevati decine di migliaia di attacchi contro utenti PMI che usavano come esca il nome di strumenti AI noti come ChatGPT o Gemini — quasi cinque volte il numero dello stesso periodo 2025.

Esistono tre varianti che colpiscono più frequentemente le PMI:

  • BEC (Business Email Compromise): un'email che sembra arrivare dal titolare o dal CEO chiede un bonifico urgente. Il tono è quello giusto, i riferimenti interni pure. Solo che quella mail non l'ha scritta nessuno in azienda.
  • Spoofing del fornitore: arriva un'email dal vostro fornitore abituale — stessa firma, stessa grafica — ma con un IBAN diverso per il pagamento. Chi riceve il messaggio non ha motivo di dubitare.
  • Phishing su PEC: la PEC viene percepita come canale certificato e quindi affidabile. Gli attaccanti lo sanno e la usano per far abbassare la guardia.

Può capitare, per esempio, che un'addetta all'amministrazione riceva un'email apparentemente dal proprio responsabile che chiede di anticipare un pagamento "prima della chiusura del trimestre". L'email è scritta bene, arriva in un momento di piena attività, e non c'è nulla di visivamente sospetto. Senza una procedura interna che imponga la verifica telefonica per i pagamenti fuori routine, il bonifico parte.

Come riconoscere un tentativo di phishing: segnali concreti

Formare il personale significa insegnare a fermarsi un secondo e cercare almeno uno di questi segnali:

  • Urgenza forzata: "Fai subito", "Entro oggi", "Non rimandare". L'urgenza è il principale meccanismo di manipolazione usato nel phishing.
  • Mittente non verificabile: il nome visualizzato può essere "Mario Rossi — Direzione", ma l'indirizzo reale è mario.rossi@dominio-strano.com. Basta passare il mouse sul nome per vederlo.
  • Link che non corrispondono: il testo del link dice "accedi al portale aziendale" ma l'URL reale è diverso. Prima di cliccare, si posiziona il cursore sopra senza premere.
  • Richieste fuori procedura: un fornitore che cambia IBAN via email senza preavviso telefonico è un segnale da fermare subito.
  • Allegati non richiesti: una fattura o un documento che nessuno ha chiesto, da un mittente anche noto, va verificato prima di aprirlo.

Nessuno di questi segnali è infallibile da solo. Il punto è creare l'abitudine a cercarli, non la certezza di trovarli sempre.

Come formare il personale: un piano in quattro passi

La formazione sulla sicurezza funziona solo se è continua e concreta. Un corso da due ore una volta all'anno non basta: le tecniche cambiano ogni mese, e le persone dimenticano.

1. Partire da esempi reali, non da slide astratte

Mostrare screenshot di email di phishing reale — incluse quelle difficili da riconoscere — vale più di qualsiasi slide teorica. Il personale deve vedere con i propri occhi quanto possono essere convincenti.

2. Simulazioni periodiche di phishing interno

Esistono strumenti (alcuni gratuiti, altri a basso costo) che permettono di inviare email di phishing simulate ai dipendenti. Chi clicca non viene punito: viene subito formato su cosa avrebbe dovuto notare. La frequenza consigliata è almeno una simulazione ogni tre mesi.

3. Procedure scritte per i pagamenti e le variazioni IBAN

La regola è semplice: nessun pagamento fuori routine e nessuna variazione di coordinate bancarie viene eseguita senza una verifica telefonica al numero già in rubrica — non al numero indicato nell'email. Questa procedura, da sola, blocca la maggior parte degli attacchi BEC.

4. Un canale interno per segnalare i sospetti

Il personale deve sapere dove segnalare un'email sospetta senza timore di fare brutta figura. Se la cultura interna punisce chi "fa perdere tempo", le email sospette vengono ignorate invece di essere segnalate. Un indirizzo dedicato (tipo sicurezza@nomeazienda.it) o un gruppo di messaggistica interno bastano per iniziare.

Cosa fare se qualcuno ha già cliccato

La risposta sbagliata è tacere per vergogna. La risposta giusta è agire in fretta:

  1. Segnalare immediatamente al responsabile IT o al consulente esterno.
  2. Disconnettere il dispositivo dalla rete aziendale (senza spegnerlo, per preservare eventuali log).
  3. Cambiare le password degli account a cui si aveva accesso dal dispositivo coinvolto.
  4. Verificare se sono stati eseguiti accessi anomali o pagamenti non autorizzati nelle ore successive.
  5. Valutare se l'incidente rientra negli obblighi di notifica al Garante Privacy (il termine è 72 ore dalla scoperta in caso di violazione di dati personali).

Il tempo è il fattore critico: ogni ora in più che passa dopo un attacco riuscito riduce le possibilità di limitare il danno.

Il punto di partenza per una PMI senza reparto IT

Non serve un team di cybersecurity per iniziare. Serve decidere di iniziare. Tre azioni concrete che si possono fare questa settimana:

  • Attivare l'autenticazione a due fattori (2FA) su tutte le caselle email aziendali.
  • Scrivere una procedura di una pagina per la verifica dei pagamenti fuori routine.
  • Fare una riunione di 30 minuti con il personale amministrativo per mostrare esempi di phishing reale.

Queste tre cose non costano nulla e riducono significativamente la superficie di attacco. Il resto — simulazioni strutturate, formazione periodica, monitoraggio — viene dopo, ma il punto di partenza è questo.