Stai aspettando un pagamento, una modifica delle coordinate bancarie o un documento da un fornitore: arriva un’email precisa, con nomi e riferimenti corretti, e sembra urgente. Nelle piccole imprese basta che una sola persona si fidi del mittente per esporre caselle di posta, dati o denaro. Lo spear phishing è un attacco mirato, ma riconoscere le richieste anomale e preparare controlli semplici riduce la possibilità che un errore diventi un incidente.
Perché un messaggio mirato può ingannare anche una piccola impresa?
A differenza di una campagna inviata in massa, lo spear phishing personalizza il tentativo: il mittente finge di essere un cliente, un fornitore, un collega o un responsabile. Può conoscere il tuo ruolo, i nomi delle persone con cui lavori e il momento in cui è plausibile chiederti un pagamento o un file. La precisione dei dettagli non dimostra però che la richiesta sia legittima: quelle informazioni possono provenire da siti pubblici, firme email, social network, documenti condivisi o da una casella già compromessa.
Il messaggio può chiedere di aprire un allegato, accedere a un portale, comunicare credenziali o cambiare le coordinate di un bonifico. A volte la prima email serve solo ad avviare una conversazione: l’urgenza e la familiarità arrivano dopo. Anche SMS e telefonate possono completare il raggiro, perciò una richiesta non diventa sicura solo perché è passata dal telefono o da una conversazione già avviata.
Una valutazione di sicurezza condotta da CISA nel 2022 mostra come un attacco mirato possa avere effetti oltre la casella email: in un test durato tre mesi, il gruppo inviò messaggi personalizzati a sette persone; due risposero e il gruppo ottenne accesso iniziale a due postazioni, poi raggiunse un terzo host. Nello stesso caso, una richiesta di autenticazione multifattore impedì l’accesso a uno dei sistemi sensibili. È un test su una grande organizzazione, non una misura del rischio per ogni PMI, ma illustra perché servano difese sovrapposte, come descrive l’analisi del red team CISA.
Per orientarti fra questi temi e gli altri rischi digitali che incidono sul lavoro quotidiano, puoi esplorare Web e tecnologia.
Quali indizi controllare prima di rispondere?
Non esiste un singolo segnale che confermi una truffa. Valuta invece la coerenza fra mittente, contenuto e azione richiesta. Fermati quando trovi uno o più di questi elementi:
- una richiesta di pagamento, variazione IBAN o acquisto fuori dalla procedura consueta;
- pressione insolita, segretezza o minaccia di conseguenze immediate;
- un link che porta a un dominio diverso da quello abituale, anche se il testo del link sembra corretto;
- allegati inattesi o richieste di abilitare macro, installare programmi o inserire password;
- una risposta che cambia improvvisamente le modalità di pagamento o sposta la conversazione su un altro canale;
- un indirizzo quasi uguale a quello conosciuto, con lettere aggiunte, sostituite o un’estensione diversa.
Controlla l’indirizzo completo, non solo il nome mostrato nella posta. Evita di aprire link per “verificare” se sono autentici: raggiungi il servizio digitando l’indirizzo che usi normalmente o attraverso un segnalibro già salvato. Se il messaggio sembra arrivare da una persona che conosci, contattala con un numero presente nei tuoi registri o con un altro canale indipendente. Non usare il numero fornito nella stessa email: potrebbe appartenere al truffatore.
La richiesta di un bonifico o di una modifica delle coordinate richiede una verifica separata, anche se arriva da una conversazione reale. Stabilisci in anticipo chi può autorizzare il pagamento e come confermarlo. Per esempio, chi prepara una disposizione non dovrebbe essere anche l’unica persona a verificarla quando l’importo o il beneficiario cambiano. Una telefonata a un recapito già noto può bastare a interrompere una frode, purché la procedura sia applicata anche quando la richiesta sembra urgente.
Quali difese scegliere prima?
Non devi installare molti strumenti prima di sistemare le procedure più esposte. Parti dalle caselle email, dagli account amministrativi e dai servizi che contengono dati dei clienti o permettono pagamenti. Attiva l’autenticazione a più fattori, o MFA: richiede almeno due elementi distinti per verificare l’identità, come una password e una conferma tramite un altro metodo. CISA raccomanda alle piccole e medie imprese di abilitare la MFA e di preferire metodi resistenti al phishing quando disponibili, dando priorità agli account privilegiati e alla posta; descrive le opzioni nella sua guida per richiedere l’autenticazione multifattore.
Una chiave di sicurezza o un metodo basato su passkey può offrire protezioni diverse da un codice temporaneo o da una semplice notifica push. Se per ora usi una notifica, non approvare richieste che non hai iniziato e valuta la verifica con numero, quando il servizio la offre. Usa password uniche, conservate in un gestore, e limita i permessi: un account dovrebbe poter accedere solo ai dati e alle funzioni necessari per il lavoro.
La formazione funziona meglio quando è concreta. Spiega a chi lavora con te come segnalare un messaggio sospetto, come verificare le richieste di pagamento e a chi rivolgersi senza timore di essere rimproverato. Fai esercitazioni brevi su esempi realistici, senza raccogliere password e senza usare i risultati per umiliare o punire una persona. Aggiorna anche il software e riduci il numero di account amministrativi, così un account compromesso ha meno possibilità di estendere l’incidente.
Che cosa fare se una richiesta sembra plausibile?
Applica una sequenza di controlli che chiunque possa seguire, anche quando il titolare è occupato:
- Non cliccare, non aprire l’allegato e non rispondere per confermare dati o credenziali.
- Controlla l’indirizzo completo e confronta la richiesta con ordini, contratti o procedure già registrati.
- Verifica il mittente attraverso un recapito indipendente e già noto, soprattutto per pagamenti, dati bancari e accessi.
- Chiedi una seconda approvazione per le operazioni finanziarie o per la condivisione di dati sensibili.
- Segnala il messaggio al referente interno e usa la funzione di segnalazione della posta, se presente.
Se hai già cliccato o fornito una password, agisci subito: avvisa chi gestisce i sistemi, cambia la credenziale dal servizio legittimo e revoca le sessioni aperte. Se hai autorizzato un pagamento, contatta immediatamente la banca attraverso i suoi canali ufficiali e informa le persone responsabili. Non cancellare il messaggio: mittente, orario, link e allegati possono aiutare a capire che cosa è successo. Se un dispositivo mostra comportamenti anomali, chiedi assistenza prima di continuare a usarlo per operazioni sensibili.
Come controllare se le misure funzionano?
Verifica le difese con controlli semplici e ripetuti. Tieni un elenco degli account email, amministrativi e finanziari; controlla che la MFA sia attiva, che gli accessi delle persone che non lavorano più siano stati rimossi e che le procedure di pagamento siano note. Prova periodicamente il recapito di segnalazione e verifica che il personale sappia a chi rivolgersi. Se gestisci i sistemi con un fornitore IT, concorda chi interviene, quali account può bloccare e come ricevere un aggiornamento.
Non valutare la preparazione contando solo quante persone hanno riconosciuto un messaggio in un test. Osserva anche quanto è facile chiedere aiuto, quanto rapidamente si può bloccare un account e se una richiesta di pagamento viene davvero controllata fuori dalla posta. Secondo il rapporto Verizon DBIR 2026, il 41% delle violazioni classificate come ingegneria sociale include vettori diversi dall’email; nello stesso rapporto, il numero mediano annuo di tentativi di phishing via SMS rilevati sui dispositivi mobili è 48 nelle organizzazioni grandi e 12 in quelle più piccole. Sono dati aggregati e non una previsione per la tua impresa, ma ricordano di includere telefoni, messaggistica e chiamate nelle procedure, come specifica il Data Breach Investigations Report di Verizon.
Infine, prepara il ripristino: sapere quali dati recuperare e chi deve intervenire riduce la dipendenza da decisioni improvvisate. Mantieni copie di sicurezza separate dai sistemi di lavoro e prova a recuperare davvero un file, non limitarti a controllare che il software dichiari un backup riuscito. Definire in anticipo la priorità dei dati e i passaggi per ripartire aiuta a limitare l’impatto se un account o un dispositivo viene compromesso; il piano per ripristinare i dati aziendali è una parte complementare delle difese contro un attacco mirato.
Domande frequenti
Un’email con il nome e il logo corretti è affidabile?
No. Nome visualizzato e logo possono essere copiati, mentre l’indirizzo del mittente può differire di poco da quello reale oppure una casella autentica può essere stata compromessa. Controlla l’indirizzo completo e soprattutto verifica la richiesta tramite un recapito già noto, non rispondendo al messaggio né usando numeri o link contenuti nell’email.
Che cosa fare se ho inserito la password in una pagina sospetta?
Avvisa subito il referente IT o la persona che gestisce gli account e cambia la password dal sito o dall’app ufficiale, usando un dispositivo considerato sicuro. Se quella password è stata riutilizzata, modificala anche sugli altri servizi. Revoca le sessioni attive se possibile, controlla le regole di inoltro della posta e conserva il messaggio per l’analisi.
L’autenticazione a due fattori blocca sempre lo spear phishing?
No. È una barriera utile, ma non elimina ogni rischio: un truffatore può indurre una persona ad approvare una richiesta inattesa o tentare di sottrarre una sessione già autenticata. Attiva un metodo resistente al phishing quando disponibile e non approvare notifiche che non hai avviato. Un avviso inatteso va trattato come un possibile segnale di attacco.