Per anni ci hanno insegnato a diffidare delle email piene di errori. Era un buon consiglio, ma oggi non basta più. Gli strumenti di intelligenza artificiale permettono a chiunque di scrivere un messaggio credibile, in italiano corretto, con il tono giusto e magari citando il nome di un cliente vero. Ecco quindi come riconoscere il phishing nel 2026, con segnali che funzionano anche contro le truffe più curate.
Cos’è il phishing?
Il phishing è un tentativo di truffa in cui l’attaccante si spaccia per qualcuno di cui ti fidi per indurti a compiere un’azione dannosa: cliccare su un link, aprire un allegato, inserire una password, autorizzare un pagamento. Il nome richiama la pesca (fishing): si lancia l’esca e si aspetta che qualcuno abbocchi.
Esistono diverse varianti:
- Smishing: la stessa truffa via SMS (“Il tuo pacco è in giacenza, clicca qui”).
- Vishing: la truffa al telefono, sempre più spesso con voci clonate dall’IA (ne parliamo nell’articolo sulla truffa del CEO con voce deepfake).
- Spear phishing: un attacco su misura, preparato studiando la vittima (sito dello studio, LinkedIn, notizie).
Quanto è diffuso?
Il phishing resta la porta d’ingresso più usata dai criminali informatici.
- Secondo il rapporto ENISA Threat Landscape 2025, il phishing è stato il vettore iniziale in circa il 60% dei casi analizzati in Europa.
- Il Rapporto Clusit 2026 registra in Italia una crescita del 66% degli incidenti gravi basati su phishing e ingegneria sociale nel 2025, pari al 12,4% del totale.
- Secondo il Data Breach Investigations Report 2025 di Verizon, circa il 60% delle violazioni di dati coinvolge un errore o un’azione umana.
Il motivo è semplice: ingannare una persona costa meno che forzare un sistema.
Come riconoscere il phishing: i 7 segnali che contano davvero
- Urgenza o paura. “Entro 24 ore”, “account sospeso”, “ultimo avviso”, “sanzione”. La fretta serve a non farti ragionare.
- Richiesta insolita. Un cliente che chiede di pagare su un IBAN diverso, un fornitore che manda una fattura “aggiornata”, un collega che chiede le credenziali. Se la richiesta è fuori dall’abitudine, fermati.
- Mittente che non torna. Leggi l’indirizzo completo, non solo il nome visualizzato: “Banca Rossi” assistenza@banca-rossi-verifica.com non è la tua banca.
- Link ingannevoli. Passa il mouse sul link senza cliccare (su telefono, tieni premuto): l’indirizzo reale compare in basso o in un riquadro. Diffida di domini simili ma diversi.
- Allegati inattesi. Fatture, “documenti condivisi”, file compressi o file che chiedono di “abilitare le macro” o di inserire una password per aprirli.
- Pagina di accesso subito dopo il clic. Se un link ti porta a una pagina che chiede di inserire email e password, chiudila e accedi al servizio digitando tu l’indirizzo.
- Canale sbagliato. Banche, Agenzia delle Entrate, INPS e corrieri non chiedono password o codici via email, SMS o telefono.
La regola d’oro: quando una richiesta riguarda soldi, password o dati, verifica con un canale diverso da quello da cui è arrivata. Telefona al numero che conosci già, non a quello scritto nel messaggio.
Perché l’intelligenza artificiale rende il phishing più pericoloso?
Gli strumenti di IA generativa permettono ai truffatori di:
- scrivere email senza errori, nello stile di un’azienda o di una persona precisa;
- personalizzare migliaia di messaggi in pochi minuti, usando informazioni pubbliche;
- tradurre perfettamente truffe nate all’estero;
- creare voci e video falsi credibili per telefonate e videochiamate.
Il risultato è che il “fiuto” basato sugli errori non funziona più. Funzionano invece le procedure: verificare sempre le richieste di pagamento, non inserire mai credenziali da un link ricevuto, segnalare i dubbi. Approfondiamo il tema nell’articolo su intelligenza artificiale e cybersecurity.
Esempi tipici in uno studio professionale
| Messaggio | Cosa vuole ottenere | Come verificare |
|---|---|---|
| “Allego la fattura aggiornata con il nuovo IBAN” | Dirottare un pagamento | Telefona al fornitore al numero abituale |
| “Documento condiviso con te: clicca per visualizzare” | Rubare la password della posta | Accedi al servizio digitando tu l’indirizzo |
| “Comunicazione dall’Agenzia delle Entrate, scarica l’avviso” | Installare un programma malevolo | Controlla nell’area riservata ufficiale |
| “Sono l’avvocato, sono in riunione, fai subito questo bonifico” | Frode del bonifico | Richiama il titolare sul suo cellulare |
| SMS: “Pacco in giacenza, paga 1,99 € di spedizione” | Rubare i dati della carta | Ignora: i corrieri non chiedono pagamenti così |
Cosa fare se hai già cliccato
Succede anche ai più attenti. L’importante è agire subito e dirlo, senza vergogna.
- Scollega il dispositivo dalla rete (cavo e Wi-Fi), ma non spegnerlo: potrebbe servire per capire cosa è successo.
- Cambia la password dell’account coinvolto da un altro dispositivo, e ovunque l’avessi riutilizzata.
- Attiva l’autenticazione a due fattori, se non c’era (vedi la guida a password, MFA e passkey).
- Avvisa subito il titolare e chi si occupa dell’informatica dello studio.
- Se hai fornito dati bancari, chiama immediatamente la banca per bloccare carte o operazioni.
- Segnala il tentativo alla Polizia Postale tramite il Commissariato di PS Online.
- Se sono coinvolti dati personali di clienti, valutate con il consulente privacy se serve la notifica al Garante (vedi cosa fare dopo un attacco informatico).
Un clic sbagliato può essere l’inizio di un attacco ransomware: per questo la rapidità conta. Leggi anche come funziona il ransomware negli studi professionali.
Come ridurre il rischio in studio
- Autenticazione a due fattori su posta e servizi cloud: anche se la password viene rubata, da sola non basta.
- Una regola scritta sui pagamenti: nessuna variazione di IBAN senza verifica telefonica.
- Formazione breve e ripetuta: dieci minuti al mese valgono più di un corso all’anno.
- Un canale per segnalare i dubbi senza paura di sembrare ingenui.
- Una rete che si accorge se un computer prova a collegarsi a un sito malevolo. È uno dei compiti di Strega Defence: blocca il collegamento sospetto e avvisa il titolare in italiano semplice, con cosa è successo e cosa fare. Scopri come funziona.
Per una verifica complessiva della sicurezza dello studio, prova la nostra checklist in 10 domande.
Domande frequenti
Come capire se un’email è phishing?
Controlla quattro cose: se crea urgenza o paura, se contiene una richiesta insolita (pagamenti, password, allegati inattesi), se l’indirizzo completo del mittente e i link portano a domini corretti, e se il canale è quello abituale. Nel dubbio, verifica telefonando a un numero che già conosci.
Gli errori di ortografia sono ancora un segnale di phishing?
Possono esserlo, ma non sono più affidabili: con l’intelligenza artificiale i truffatori scrivono messaggi in italiano corretto e ben impaginati. Conviene concentrarsi sul contenuto della richiesta e sulla verifica del mittente, non sulla forma.
Che differenza c’è tra phishing, smishing e vishing?
È la stessa truffa su canali diversi: il phishing arriva via email, lo smishing via SMS o app di messaggistica, il vishing con una telefonata, talvolta usando voci clonate con l’intelligenza artificiale.
Ho aperto un’email di phishing ma non ho cliccato nulla: è grave?
Di solito aprire e leggere un’email non basta a infettare il computer, se programmi e sistema sono aggiornati. Il rischio nasce quando si clicca un link, si apre un allegato o si inseriscono dati. Elimina il messaggio e segnalalo a chi si occupa dell’informatica.
Dove si segnala un tentativo di phishing?
Puoi segnalarlo alla Polizia Postale tramite il portale del Commissariato di PS Online. Se la truffa usa il nome della tua banca o di un’azienda, avvisa anche loro. In studio, va sempre segnalato al titolare o al referente informatico.
La PEC protegge dal phishing?
No. La PEC certifica l’invio e la consegna di un messaggio, ma non il fatto che il mittente sia in buona fede: esistono truffe inviate da caselle PEC compromesse. Valgono le stesse regole di prudenza delle email ordinarie.
Fonti e approfondimenti
- ENISA Threat Landscape 2025 — ENISA, ottobre 2025.
- Rapporto Clusit 2026 – dati principali — Clusit, 11 marzo 2026.
- Data Breach Investigations Report — Verizon, edizione 2025.
- Cybersecurity: temi e consigli — Garante per la protezione dei dati personali.
- Phishing: attenzione ai pescatori di dati personali (infografica) — Garante privacy.
- Smishing e Vishing — Garante privacy.
- Segnalazioni al Commissariato di PS Online — Polizia Postale.
Scritto da Ing. Sergio Florio, fondatore di Strega Byte, ingegnere con oltre vent’anni di esperienza tra ricerca, sviluppo e impresa. Articolo aggiornato all’11 ottobre 2026.
