La difesa dal phishing si è retta per vent’anni su un presupposto: che un messaggio fraudolento sia riconoscibile. Errori di lingua, indirizzi improbabili, loghi fuori posto, toni inverosimili. Su quel presupposto sono stati costruiti tutti i programmi di formazione aziendale.
Quel presupposto non regge più. Un messaggio generato con strumenti linguistici automatici è scritto in italiano corretto, adotta il registro di una comunicazione aziendale reale e cita informazioni pubbliche sull’organizzazione destinataria. I segnali su cui si insegnava a basarsi sono stati eliminati, non ridotti.
Questo articolo non spiega come riconoscere un’email sospetta. Affronta la domanda che riguarda chi è responsabile della sicurezza di un’azienda: quali controlli riducono l’esposizione al phishing quando il riconoscimento non è più affidabile.
Perché riesce anche con personale formato
Il phishing non sfrutta l’ignoranza, sfrutta il contesto. Una persona che in un corso di formazione riconosce senza esitazione un messaggio fraudolento può approvare la stessa richiesta tre mesi dopo, in un momento diverso.
Le condizioni che producono quel risultato sono tre, e nessuna riguarda la competenza.
La prima è il carico. Una richiesta che arriva mentre si sta facendo altro viene elaborata in modo automatico, senza la valutazione che si applicherebbe se fosse l’unica cosa da fare in quel momento. Le campagne più efficaci sono inviate in orari precisi: fine giornata, rientro dalle ferie, chiusure contabili.
La seconda è la coerenza con l’attesa. Un messaggio che chiede di verificare una fattura arriva a chi verifica fatture per lavoro, e non appare anomalo perché non lo è: è esattamente ciò che quella persona fa tutto il giorno. La richiesta fraudolenta più efficace non è quella insolita, è quella indistinguibile dal lavoro ordinario.
La terza è l’autorità. Una richiesta che sembra provenire da un superiore o da un fornitore noto mette chi la riceve nella posizione di dover giustificare un rifiuto. Verificare significa mettere in dubbio, e in molte organizzazioni mettere in dubbio ha un costo relazionale che approvare non ha.
Da qui deriva la conclusione operativa. Un programma di difesa che si basa esclusivamente sulla capacità delle persone di riconoscere una minaccia trasferisce il rischio sul singolo dipendente, in un momento in cui quel dipendente ha meno strumenti di quanti ne abbia l’attaccante. La difesa efficace agisce prima e dopo il momento della decisione, non solo su quel momento.
Le forme che colpiscono le aziende
Le campagne massive indirizzate a indirizzi casuali sono il rumore di fondo, e i filtri della posta ne intercettano la maggior parte. Le forme che producono danni in azienda sono altre, e si distinguono per il grado di preparazione che le precede.
| Forma | Chi prende di mira | Cosa la rende credibile |
|---|---|---|
| Spear phishing | Una persona specifica, scelta per il suo ruolo | Riferimenti reali a progetti, colleghi, fornitori, raccolti da fonti pubbliche |
| Whaling | Chi ha potere di firma o accesso a disposizioni di pagamento | La riproduzione di una prassi interna reale, spesso in una finestra di assenza del titolare |
| Callback phishing | Chiunque, con un messaggio privo di collegamenti | L’assenza di link e allegati, che elude i filtri: è la vittima a chiamare |
| Campagne su PEC | Aziende e professionisti italiani | Il valore legale attribuito al canale, che riduce il sospetto |
| Smishing e vishing | Personale con dispositivi aziendali, e l’assistenza interna | L’immediatezza del canale e l’assenza di filtri equivalenti a quelli della posta |
| Browser in the browser | Chi accede a servizi con autenticazione delegata | La riproduzione fedele di una finestra di accesso, indirizzo compreso |
Le due righe che meritano attenzione sono la terza e la quinta. Il callback phishing non contiene collegamenti né allegati, quindi non offre nulla ai filtri della posta: il messaggio invita a chiamare un numero, e il resto avviene al telefono. Smishing e vishing spostano il contatto su canali dove non esistono protezioni equivalenti a quelle della posta elettronica, e dove l’assistenza interna è il bersaglio più remunerativo, perché chi può reimpostare le credenziali di un utente è un obiettivo più utile dell’utente stesso.
Cosa è cambiato con i testi generati automaticamente
Fino a pochi anni fa la preparazione di una campagna mirata richiedeva tempo: raccogliere informazioni sul destinatario, scrivere un testo credibile nella sua lingua, adottarne il registro professionale. Quel costo limitava il numero di bersagli che valeva la pena curare uno per uno.
Quel costo è crollato, e le conseguenze sono tre.
I segnali linguistici non funzionano più. Errori di grammatica, sintassi improbabile, traduzioni approssimative: erano gli indizi su cui si basava la formazione, e non sono più presenti. Continuare a insegnarli produce un effetto peggiore dell’assenza di formazione, perché istruisce le persone a fidarsi di un messaggio ben scritto.
La personalizzazione si applica ora anche alle campagne estese. Non esiste più una separazione netta fra il messaggio massivo generico e quello mirato e curato: un messaggio può essere adattato al singolo destinatario su migliaia di destinatari.
E il canale non è più soltanto testuale. La riproduzione della voce di una persona nota richiede oggi un campione breve, e una telefonata con la voce di un dirigente supera qualsiasi verifica basata sul riconoscimento. Lo stesso vale per le videochiamate con volti ricostruiti.
La conseguenza è che la verifica non può più basarsi su come la richiesta appare, ma solo sul canale da cui arriva. È una differenza sostanziale: non si valuta il contenuto, si richiama il richiedente su un recapito già noto.
Quando i segnali di riconoscimento non sono più affidabili, la formazione utile non insegna a valutare un messaggio: costruisce una procedura di verifica che non dipende dal messaggio. La nostra Academy lavora su questo, con percorsi distinti per amministrazione, acquisti e assistenza interna, che sono esposti a richieste diverse.
I controlli tecnici che riducono l’esposizione
I controlli che seguono agiscono indipendentemente dalla capacità di riconoscimento del destinatario, e per questo sono la parte che rende sostenibile tutto il resto.
| Controllo | Cosa impedisce | Errore ricorrente |
|---|---|---|
| Protezioni sul vostro dominio contro la falsificazione del mittente | Che qualcuno invii messaggi apparentemente provenienti dal vostro indirizzo | Configurazione in sola osservazione, che rileva gli abusi senza bloccarli |
| Autenticazione resistente al phishing | Che credenziali sottratte siano riutilizzabili altrove | Adozione sui soli accessi dall’esterno, con esenzioni mai riviste sugli account tecnici |
| Apertura degli allegati in ambiente isolato | Che l’esecuzione di un contenuto raggiunga la postazione | Esclusioni concesse a singoli utenti per motivi di lentezza e mai rimosse |
| Procedura di verifica sui pagamenti | Che una variazione di coordinate bancarie sia eseguita su richiesta scritta | Deroga concessa quando la richiesta arriva da un dirigente o è urgente |
| Protocollo di identificazione all’assistenza interna | Che un reset di credenziali avvenga su richiesta telefonica non verificata | Procedura esistente ma disapplicata quando chi chiama sembra un collega noto |
| Segmentazione della rete | Che una postazione compromessa dia accesso al resto dell’infrastruttura | Segmentazione dichiarata nei documenti e mai verificata sul campo |
La colonna a destra è quella che conta. Nella maggior parte delle aziende questi controlli esistono già: quello che manca è la verifica che siano effettivamente attivi, sugli account tecnici, sui protocolli di autenticazione più vecchi e sui profili per cui qualcuno anni fa ha concesso un’eccezione che nessuno ha più rivisto.
L’ultima riga si collega alla ragione per cui il phishing è un problema di infrastruttura e non soltanto di persone: ciò che accade dopo il clic dipende dallo spazio di manovra che l’attaccante trova nella rete, non dal clic in sé.
Cosa rende efficace la formazione
La formazione resta indispensabile, ma cambia oggetto. Non serve più a insegnare a riconoscere, perché non c’è più molto da riconoscere: serve a costruire un comportamento che non richieda di valutare.
I tre elementi che la rendono efficace sono i seguenti. Deve essere specifica per ruolo, perché l’esposizione di chi gestisce pagamenti non somiglia a quella di chi amministra i sistemi. Deve produrre una procedura, non una consapevolezza: la richiesta di variazione di un pagamento si verifica su un recapito già in archivio, non sul recapito indicato nel messaggio. E deve essere ripetuta, perché l’effetto di una sessione singola decade in pochi mesi.
C’è un aspetto organizzativo che precede la formazione, ed è quello che le aziende sottovalutano di più. Chi segnala un dubbio deve trovare una risposta rapida e priva di conseguenze. In un’organizzazione dove segnalare significa attendere giorni o esporsi a un rimprovero, le segnalazioni cessano, e con esse l’unico sistema di rilevamento che copre ciò che i filtri non intercettano.
L’obbligo normativo
Per una parte crescente delle aziende italiane la formazione del personale non è più una scelta discrezionale.
Fra le misure di sicurezza definite dall’Agenzia per la Cybersicurezza Nazionale per i soggetti rientranti nel perimetro NIS2 figura la formazione in materia di sicurezza informatica, con obblighi che riguardano anche gli organi di amministrazione. La conseguenza pratica è che l’attività va documentata: serve poter dimostrare chi è stato formato, su cosa e quando.
Lo stesso vale per la catena di fornitura. Un cliente più grande che vi sottopone un questionario di sicurezza chiede la percentuale di personale formato e la data dell’ultima sessione, non l’esistenza di un programma.
I controlli elencati sopra sono disponibili in quasi tutte le infrastrutture. La domanda non è se esistano, ma quali siano effettivamente attivi e su quali profili siano stati concessi esoneri mai revocati. Il nostro Vulnerability Assessment verifica lo stato reale della configurazione e vi restituisce le lacune in ordine di priorità.
- Autore articolo
- Gli ultimi articoli
Sono CTO, socio della società Onorato Informatica e il Direttore del Security Operations Center.
Aiuto le imprese e i professionisti a progettare e implementare servizi di sicurezza informatica e a difendersi dagli attacchi informatici di hacker e virus.
Da oltre vent’anni mi occupo di linguaggi di programmazione: C, C++, C#, VB.NET, HTML, PHP e JAVA. Dirigo lo sviluppo e la gestione soluzioni di sicurezza informatica per aziende e enti tramite servizi di Web Security, Network Security, Anti-DDoS, Intrusion Prevention Systems, Perimeter Security, Network Segmentation, Security Information and Event Management, Threat and Vulnerability Management.
A differenza delle classiche soluzioni di sicurezza informatica, noi lavoriamo con servizi sviluppati internamente ad alte performance; utilizziamo solo tecnologie esclusive e certificate.
Inoltre, negli ultimi 10 anni ci siamo specializzati nella pianificazione, progettazione e implementazione dei servizi di Vulnerability Assessment e Penetration Test di sistemi e infrastrutture, comprese WebApp, Mobile e IoT.