Ogni azienda, prima o poi, riceve quell’email che sembra del tutto normale: una fattura da confermare, un pacco da tracciare, un messaggio “urgente” del CEO. Il phishing aziendale resta il punto d’ingresso più sfruttato dagli attacchi informatici, non perché i sistemi tecnici siano deboli, ma perché punta dritto al fattore più difficile da aggiornare: le persone. La buona notizia è che oggi l’intelligenza artificiale non è più solo uno strumento in mano agli attaccanti per rendere le truffe più credibili — è anche la difesa più efficace che le PMI hanno a disposizione.
Perché il phishing inganna anche i dipendenti più attenti
I filtri antispam tradizionali si basano su regole statiche: blacklist di domini, pattern di testo sospetti, controlli sull’intestazione del messaggio. Funzionano bene contro le campagne di massa, ma falliscono contro il phishing mirato (spear phishing), dove l’attaccante studia l’azienda, imita lo stile di scrittura di un fornitore reale o registra un dominio che differisce di una sola lettera da quello legittimo. Con l’AI generativa, questi messaggi sono oggi scritti in un italiano perfetto, senza gli errori grammaticali che un tempo li tradivano: il segnale d’allarme più semplice è sparito.
Come l’intelligenza artificiale riconosce un tentativo di phishing
La stessa tecnologia che rende gli attacchi più sofisticati permette di costruire difese altrettanto avanzate. Un sistema di rilevamento basato su AI non si limita a controllare parole chiave, ma analizza il messaggio su più livelli contemporaneamente:
- Analisi del linguaggio: un modello addestrato riconosce toni di urgenza artificiale, richieste anomale di pagamento o cambio IBAN, incoerenze di stile rispetto alle comunicazioni abituali di un mittente.
- Reputazione e storicità del mittente: incrocia dominio, indirizzo IP di invio e comportamento storico per segnalare deviazioni sospette, anche quando il dominio “sembra” giusto.
- Analisi dei link e degli allegati: apre in ambiente isolato (sandbox) URL e file per verificarne il comportamento reale, non solo l’aspetto superficiale.
- Contesto comportamentale: impara le abitudini interne — chi scrive di solito a chi, in che orari, con quale linguaggio — e alza una bandiera rossa quando qualcosa esce da quello schema.
Il vantaggio rispetto alle regole statiche è che questi sistemi si aggiornano da soli mano a mano che osservano nuovi tentativi, invece di dipendere da liste aggiornate manualmente.
Il phishing non passa più solo dall’email
L’ingegneria sociale si è spostata su più canali, e l’AI ha abbassato la barriera d’ingresso per gli attaccanti anche lì. Messaggi WhatsApp che imitano un collega, profili LinkedIn falsi che avviano una conversazione professionale credibile, e — la minaccia emergente più preoccupante — il voice cloning: pochi secondi di audio pubblico bastano per generare una voce sintetica convincente, usata per telefonate che chiedono un bonifico urgente “a nome” di un dirigente reale. Una strategia di difesa seria oggi deve coprire tutti questi canali, non solo la casella di posta.
Come integrare la difesa AI senza stravolgere i processi
Per una PMI, adottare questi strumenti non significa rifare da zero l’infrastruttura IT. I passi concreti sono graduali:
- Attivare un gateway email con filtri basati su AI, spesso già integrato o disponibile come componente aggiuntivo nei principali provider di posta aziendale.
- Simulare campagne di phishing interne generate con AI, per misurare quanto il team riconosce i tentativi reali e mirare la formazione dove serve davvero.
- Definire un playbook di risposta semplice: a chi segnalare un messaggio sospetto, come verificare una richiesta di pagamento insolita prima di eseguirla (mai su un solo canale — sempre una controverifica telefonica su un numero noto, non su quello indicato nel messaggio).
- Ridurre la superficie d’attacco eliminando le password dove possibile: l’autenticazione senza password riduce drasticamente l’efficacia del phishing, perché non c’è più una credenziale da rubare. Ne ho parlato più nel dettaglio nell’articolo sulle passkey come alternativa alle password in azienda.
Il fattore umano resta centrale, ma non è più solo
Nessuno strumento, per quanto avanzato, sostituisce la prudenza di chi legge un messaggio. L’obiettivo dell’AI non è togliere la responsabilità alle persone, ma dare loro un secondo paio d’occhi automatico che lavora ventiquattr’ore su ventiquattro, senza stanchezza e senza distrazioni. Questo approccio si inserisce anche in un quadro normativo sempre più stringente: con il NIS2 che estende gli obblighi di cybersecurity a molte più PMI, dimostrare di avere processi di rilevamento e risposta agli incidenti — phishing incluso — non è più solo buona pratica, ma un requisito di conformità concreto. Ho approfondito anche il lato “offensivo” del problema, cioè come si testa davvero la sicurezza dei propri sistemi AI, nell’articolo sull’AI red teaming per validare gli agenti AI aziendali: gli stessi principi di verifica continua valgono anche per le difese anti-phishing. E se il phishing porta a un furto di credenziali, il danno si contiene molto meglio quando le credenziali e i secrets delle applicazioni aziendali sono gestiti correttamente, invece di essere sparsi in file di configurazione o messaggi interni.
Costruiamo insieme la tua difesa
Mettere in piedi un sistema di difesa contro phishing e ingegneria sociale che sia efficace ma non invasivo per il lavoro quotidiano richiede di conoscere bene sia gli strumenti AI disponibili sia l’infrastruttura specifica della tua azienda. Mi occupo di infrastrutture cloud e on-premise, sicurezza e automazioni AI su misura per PMI: se vuoi valutare come rafforzare la tua azienda contro queste minacce senza appesantire i processi interni, contattami per una consulenza. Trovi maggiori informazioni sul mio lavoro su cornelcaba.com.
