Un bonifico urgente richiesto dall’amministratore, una fattura con coordinate bancarie aggiornate, una password in scadenza: i casi phishing aziendale raramente iniziano con messaggi palesemente sospetti. Spesso imitano una situazione ordinaria e arrivano nel momento meno favorevole, quando chi lavora ha poco tempo per verificare. Il risultato può essere la sottrazione di credenziali, dati riservati o denaro.
Il phishing non riguarda soltanto le grandi organizzazioni o chi possiede competenze tecniche limitate. Una piccola impresa, uno studio professionale o un’associazione possono essere bersagli interessanti proprio perché dispongono di procedure meno formalizzate. Comprendere le modalità più comuni aiuta a riconoscere l’inganno prima che diventi un incidente.
Cosa rende credibile un attacco di phishing
Il phishing è un tentativo di ottenere informazioni, accessi o pagamenti attraverso comunicazioni false. La posta elettronica resta il canale più frequente, ma non è l’unico: possono essere usati SMS, telefonate, messaggi su piattaforme di lavoro e richieste inviate dai profili compromessi di fornitori reali.
L’attaccante non deve necessariamente conoscere ogni dettaglio dell’azienda. Può ricavare nomi, ruoli e recapiti da fonti pubbliche, da una firma e-mail o da una precedente violazione di dati. Con poche informazioni può costruire un messaggio che sembra destinato proprio a quella persona: usa il nome di un responsabile, cita un progetto reale o riprende il tono di una comunicazione interna.
La leva principale è la pressione. Urgenza, riservatezza e timore di bloccare un’attività sono elementi ricorrenti. Un messaggio che chiede di agire “entro dieci minuti” riduce la probabilità che il destinatario si fermi a controllare mittente, allegato e richiesta. Per questo un errore umano non va letto come una colpa individuale: è l’effetto previsto da una tecnica pensata per sfruttare abitudini e fretta.
I casi di phishing aziendale più frequenti
La falsa richiesta di bonifico
È uno dei casi più dannosi. Un’e-mail apparentemente inviata da un titolare, un direttore o un cliente importante chiede di effettuare un pagamento non previsto. Può contenere istruzioni precise, dati bancari e una motivazione plausibile, per esempio la chiusura di una fornitura o un anticipo riservato.
Talvolta il mittente non falsifica un indirizzo esterno: usa una casella interna davvero compromessa. In questa situazione, controllare soltanto il nome visualizzato non basta. Per pagamenti urgenti o modifiche delle coordinate è prudente usare un secondo canale di verifica già noto, come una telefonata a un numero presente in rubrica e non a quello indicato nel messaggio.
La fattura con IBAN modificato
Un fornitore abituale comunica un cambio di conto corrente e allega una nuova fattura. Il messaggio può essere scritto correttamente, includere logo, riferimenti a ordini precedenti e perfino provenire dall’account autentico del fornitore, se quest’ultimo è stato violato.
Qui il problema non è decidere se la fattura sia esteticamente convincente. La procedura dovrebbe prevedere che ogni variazione delle coordinate bancarie venga confermata da un contatto indipendente. È una misura semplice, ma richiede che amministrazione, acquisti e direzione sappiano chi può validare il dato e in quale modo.
Il falso accesso a servizi cloud e posta
Messaggi che segnalano una casella piena, una password in scadenza o un documento condiviso invitano a fare clic su una pagina di accesso. La schermata può riprodurre fedelmente quella del servizio usato dall’azienda. Una volta inserite le credenziali, l’utente consegna l’accesso all’aggressore, che può leggere e-mail, inoltrare conversazioni e cercare altri bersagli.
Un dettaglio utile è osservare l’indirizzo della pagina prima di digitare dati. Tuttavia, non è una difesa sufficiente: alcuni domini sono molto simili a quelli legittimi e, su uno schermo piccolo, la differenza può passare inosservata. Quando possibile, è più sicuro aprire il servizio dal segnalibro abituale o dall’applicazione già installata, invece di seguire il collegamento ricevuto.
L’allegato che sembra un documento di lavoro
Un file denominato “ordine”, “curriculum”, “preventivo” o “documento firmato” può contenere software dannoso oppure invitare ad abilitare funzioni non necessarie, come macro o contenuti attivi. Non tutti gli allegati sono pericolosi e non tutte le aziende possono vietarli: chi riceve quotidianamente documenti da clienti e fornitori deve poterli gestire. La differenza la fanno controlli tecnici, procedure chiare e attenzione al contesto.
Se un allegato inatteso arriva da un contatto noto, vale la pena chiedersi se il formato sia coerente con le comunicazioni precedenti e se la richiesta abbia senso. Un messaggio con un oggetto generico e un file eseguibile mascherato da documento merita particolare cautela.
Segnali utili, senza cercare l’errore perfetto
Gli attacchi più semplici contengono refusi, saluti insoliti o loghi di bassa qualità. Sono segnali possibili, ma non criteri decisivi. Un messaggio fraudolento ben preparato può essere privo di errori grammaticali. Conviene valutare l’insieme: chi scrive, cosa chiede, perché lo chiede ora e quale conseguenza avrebbe agire senza verificare.
Destano attenzione le richieste che aggirano i normali passaggi di autorizzazione, chiedono riservatezza assoluta o modificano all’improvviso una consuetudine. Anche un piccolo scarto nell’indirizzo e-mail, come una lettera sostituita o un dominio diverso, può indicare un tentativo di impersonificazione. È utile guardare l’indirizzo completo, non solo il nome che compare nella casella di posta.
La prudenza non deve però trasformarsi in immobilismo. In un’attività operativa molte richieste sono davvero urgenti. L’obiettivo è distinguere l’urgenza legittima da quella costruita: una richiesta autentica dovrebbe poter superare una verifica ragionevole, soprattutto se comporta denaro, credenziali o dati personali.
Come ridurre il rischio prima dell’incidente
La formazione è necessaria, ma da sola non risolve il problema. Dire alle persone di “fare attenzione” lascia troppa libertà d’interpretazione. Servono esempi vicini al lavoro reale e una procedura concreta per i casi dubbi. Un dipendente deve sapere a chi inoltrare un messaggio sospetto e poterlo fare senza sentirsi giudicato.
Per le operazioni più sensibili è utile separare i ruoli. Chi inserisce un pagamento non dovrebbe essere l’unica persona che lo autorizza, mentre le modifiche ai dati di un fornitore dovrebbero essere registrate e confermate. Questo può richiedere più tempo nelle aziende piccole, dove una stessa persona svolge più funzioni, ma il costo va confrontato con quello di un pagamento irreversibile.
Anche le misure tecniche contano. L’autenticazione a più fattori riduce il danno nel caso in cui una password venga sottratta, soprattutto quando usa un’app o una chiave di sicurezza anziché un codice SMS. Filtri della posta, aggiornamenti regolari, copie di sicurezza controllate e limitazione degli accessi sono ulteriori livelli di protezione. Nessuno elimina ogni rischio, ma insieme rendono più difficile trasformare un singolo clic in una compromissione estesa.
È consigliabile definire in anticipo cosa fare quando emerge un dubbio. Una procedura essenziale può prevedere quattro azioni:
- non fare clic, non aprire allegati e non rispondere al messaggio;
- avvisare subito il referente interno o chi gestisce i sistemi informatici;
- verificare la richiesta con il presunto mittente tramite un canale già conosciuto;
- se sono state inserite credenziali o eseguito un pagamento, intervenire immediatamente per bloccare accessi e operazioni.
La rapidità è rilevante. Se una password è stata inserita su un sito falso, cambiarla subito, revocare le sessioni aperte e controllare eventuali regole di inoltro della posta può limitare l’accesso dell’aggressore. Se è partito un bonifico, contattare senza attese la banca permette di valutare le possibilità di richiamo o blocco. Conservare e-mail, orari e dettagli della richiesta aiuta poi a ricostruire l’accaduto.
Una cultura della verifica, non della diffidenza
Le organizzazioni più esposte non sono necessariamente quelle con meno strumenti, ma quelle in cui le anomalie non vengono segnalate perché si teme di rallentare il lavoro o apparire inesperti. Un ambiente in cui chiedere conferma è normale rende gli attacchi meno efficaci.
La verifica migliore è spesso quella più semplice: fermarsi un minuto, confrontare un dato e coinvolgere la persona giusta. Trasformare questo gesto in una consuetudine operativa protegge non solo sistemi e pagamenti, ma anche la fiducia necessaria per lavorare bene ogni giorno.
