Phishing generato con l'AI: i segnali da insegnare al tuo team

Per anni abbiamo insegnato ai team un metodo semplice per riconoscere il phishing: cerca gli errori di grammatica, le traduzioni maldestre, i saluti generici tipo "Gentile utente". Quel metodo oggi è superato. Con l'AI generativa, chi attacca produce email impeccabili, personalizzate sul destinatario e nella sua lingua, in pochi secondi e su scala industriale.

Cosa è cambiato con l'AI generativa

Il salto di qualità non è solo stilistico. Gli strumenti di AI permettono a chi attacca di personalizzare ogni messaggio: raccolgono informazioni dal sito aziendale, da LinkedIn e dai social, e confezionano un'email che cita il progetto giusto, il collega giusto, il fornitore giusto. Il vecchio phishing "sparava nel mucchio"; quello nuovo sembra scritto da qualcuno che ti conosce.

La buona notizia: i segnali affidabili esistono ancora. Sono cambiati, però — e vanno insegnati di nuovo, a tutto il team.

I segnali che funzionano ancora

• L'urgenza e la pressione emotiva. "Entro oggi", "il direttore sta aspettando", "il tuo account sarà bloccato". Chi attacca ha bisogno che tu agisca prima di pensare: la fretta indotta resta il segnale numero uno.
• La richiesta anomala. Un cambio di IBAN comunicato via email, un pagamento fuori procedura, credenziali chieste "per verifica". Il contenuto può essere perfetto: è la richiesta in sé a essere sbagliata.
• Il mittente che non torna. Il nome visualizzato dice "Mario Rossi", ma l'indirizzo dietro è un dominio mai visto o quasi identico a quello vero (una lettera cambiata, un trattino in più).
• Il link che non porta dove dice. Passando il mouse sul link (senza cliccare) l'indirizzo reale è diverso da quello mostrato, o è un dominio simile a quello legittimo.
• Il canale sbagliato. Il tuo commercialista ti scrive da Gmail? La banca ti manda un QR code da inquadrare? Ogni comunicazione importante arrivata su un canale insolito merita una verifica.
• La familiarità eccessiva. Che il messaggio citi il tuo progetto o il tuo capo non prova niente: sono informazioni pubbliche che l'AI raccoglie in automatico. La personalizzazione non è più una garanzia di autenticità.

E adesso anche la voce: il vishing con audio clonato

L'ultima evoluzione non passa dall'email: è la telefonata con la voce clonata di un titolare o di un dirigente, generata dall'AI a partire da pochi secondi di audio pubblico. La difesa è la stessa delle richieste anomale: qualunque disposizione urgente di denaro o credenziali va verificata richiamando la persona su un numero conosciuto, mai su quello da cui è arrivata la chiamata.

Come trasformare i segnali in abitudini

Conoscere i segnali non basta: sotto pressione, la teoria evapora. Quello che funziona è costruire tre abitudini semplici e condivise da tutti:

1. Verifica su un altro canale: ogni richiesta di pagamento, cambio IBAN o credenziali si conferma a voce o su un canale diverso da quello di arrivo.

2. La fretta è un allarme, non un motivo per correre: più il messaggio spinge, più merita calma.

3. Segnalare è sempre giusto: chi sospetta un phishing lo inoltra al referente interno, e chi ci è cascato lo dice subito, senza paura di conseguenze. Un clic sbagliato taciuto costa molto più di dieci falsi allarmi.

Il modo più efficace per fissare queste abitudini è metterle alla prova: una simulazione di phishing controllata sul tuo team, seguita da un debrief senza colpevolizzazioni, vale più di qualsiasi slide. È uno dei formati del nostro percorso di formazione per PMI.