Tra tutti i rischi informatici che possono colpire un’azienda, il phishing aziendale è uno dei più diffusi e pericolosi. Non richiede competenze tecniche da parte della vittima, non sempre viene riconosciuto subito e può colpire qualsiasi realtà: una PMI, uno studio professionale, una scuola, un ente pubblico, un negozio o un’attività locale.

Il phishing consiste nell’invio di email, messaggi o comunicazioni ingannevoli che sembrano provenire da fonti affidabili: banche, corrieri, fornitori, clienti, colleghi, software gestionali o servizi cloud. L’obiettivo è convincere la persona a cliccare su un link, scaricare un allegato, inserire credenziali o autorizzare un pagamento. Il NIST (National Institute of Standards and Technology) descrive il phishing proprio come l’uso di messaggi convincenti per indurre le persone ad aprire link pericolosi o scaricare software malevolo.

Secondo il Cyber Security Breaches Survey 2025/2026 del governo britannico, il phishing resta il tipo di attacco più diffuso: ha interessato il 38% delle aziende e il 25% degli enti charity intervistati, risultando anche la tipologia più dirompente per molte organizzazioni colpite.

Perché il phishing funziona ancora

Il phishing funziona perché sfrutta la fretta, la fiducia e le abitudini quotidiane. Ogni giorno riceviamo decine di email: fatture, conferme d’ordine, notifiche di spedizione, richieste di pagamento, comunicazioni da banche, messaggi da colleghi e clienti. In mezzo a questo flusso, una falsa email ben costruita può passare inosservata.

Gli attacchi moderni sono sempre più credibili. Non si tratta più solo di messaggi pieni di errori grammaticali o traduzioni sbagliate. Oggi una email fraudolenta può avere un logo corretto, un tono professionale, un oggetto realistico e un link che sembra autentico. In alcuni casi, i criminali informatici studiano l’azienda, i suoi fornitori e il modo in cui comunica.

Per una PMI, questo è particolarmente rischioso. Le piccole e medie imprese spesso hanno meno tempo, meno personale dedicato alla sicurezza e processi meno strutturati rispetto alle grandi aziende. Questo non significa che siano meno attente, ma che possono avere meno difese organizzative.

Le false email più comuni

Tra le false email aziendali più frequenti ci sono quelle che imitano corrieri, banche, fornitori, enti pubblici o servizi digitali. Un messaggio può avvisare di una fattura non pagata, di un pacco in giacenza, di un account da verificare, di una password in scadenza o di un pagamento urgente.

Un altro caso molto pericoloso è la cosiddetta Business Email Compromise, cioè la frode in cui un criminale si spaccia per un dirigente, un collega o un fornitore e chiede di effettuare un bonifico o modificare le coordinate bancarie. In queste situazioni, il danno può essere economico e immediato.

Anche le credenziali Microsoft 365, Google Workspace, gestionali e servizi cloud sono bersagli molto ricercati. Se un account aziendale viene compromesso, l’attaccante può accedere a email, documenti, contatti, calendari e conversazioni interne. Da lì può inviare ulteriori messaggi fraudolenti, sembrando ancora più credibile.

Come riconoscere una email sospetta

Non esiste un unico segnale valido sempre, ma ci sono alcuni elementi da controllare. Il primo è il mittente. Un nome visualizzato può sembrare corretto, ma l’indirizzo email reale può essere diverso. È importante controllare dominio, errori, lettere sostituite o indirizzi strani.

Il secondo segnale è l’urgenza. Molte email di phishing spingono l’utente ad agire subito: “pagamento in scadenza”, “account bloccato”, “ordine sospeso”, “verifica immediata”. La fretta riduce l’attenzione e aumenta la probabilità di errore.

Il terzo elemento sono link e allegati. Prima di cliccare, è utile verificare dove porta davvero il link. Gli allegati inattesi, soprattutto se arrivano da mittenti non verificati, devono essere trattati con prudenza.

Infine, attenzione alle richieste insolite: cambio IBAN, pagamento urgente, invio di password, accesso a portali sconosciuti, richiesta di dati personali o fiscali.

La sicurezza non è solo tecnologia

Antivirus, firewall, filtri email e sistemi di protezione sono fondamentali, ma da soli non bastano. La sicurezza informatica per PMI passa anche dalle procedure interne. Chi può autorizzare un pagamento? Come si verifica un cambio IBAN? Cosa deve fare un dipendente se riceve una email sospetta? A chi deve segnalarla?

Una regola molto semplice può evitare molti problemi: quando una richiesta riguarda denaro, credenziali o dati sensibili, non bisogna fidarsi solo dell’email. È meglio verificare attraverso un canale diverso, ad esempio una telefonata al contatto già noto o una procedura interna di conferma.

Anche la formazione del personale è importante, ma deve essere concreta. Non servono solo spiegazioni teoriche: servono esempi reali, simulazioni, linee guida semplici e abitudini ripetute nel tempo.

MFA e protezione degli account

Un altro elemento essenziale è la MFA, cioè l’autenticazione a più fattori. Anche se una password viene rubata, la MFA aggiunge un livello di protezione in più. Non è una garanzia assoluta contro ogni attacco, ma riduce molto il rischio di accessi non autorizzati.

La protezione degli account aziendali è oggi una priorità, soprattutto per email, cloud, gestionali e accessi remoti. Password deboli, account condivisi e mancata autenticazione a più fattori rendono l’azienda più esposta.

Conclusione

Il phishing aziendale è pericoloso perché entra nella quotidianità. Non colpisce solo i sistemi informatici, ma le persone, le abitudini e i processi. Per questo ogni azienda dovrebbe affrontarlo con un approccio completo: strumenti tecnici, procedure chiare, formazione e controllo degli accessi.

Riconoscere una email fraudolenta non è sempre facile, ma costruire buone abitudini riduce molto il rischio. In un contesto in cui le minacce diventano sempre più credibili, anche le PMI devono considerare la sicurezza informatica come una parte normale della gestione aziendale.