Spear phishing: come proteggere la tua impresa nel 2026

Come funziona lo spear phishing?

3 fasi:

1. Reconnaissance: l'aggressore ti spiona via LinkedIn, sito web aziendale, registro imprese. Identifica nomi, ruoli, gerarchia.
2. Pretesting: scrive un'email iper-credibile che imita un fornitore reale, un capo, un cliente. Es: "Salve Marco, in seguito alla nostra chiamata di ieri sul progetto Alpha, ecco il preventivo...".
3. Attacco: la mail richiede un'azione (bonifico, condivisione di credenziali, click su un finto contratto). L'urgenza e la coerenza con un contesto reale eliminano i sospetti.

I 3 obiettivi privilegiati

1. Il CEO/dirigente: aggressore impersona un fornitore o un partner. Chiede un bonifico urgente per un "contratto" o un "acquisto". Variante "Frode al CEO": l'aggressore usa il nome del CEO per chiedere a un dipendente un bonifico urgente.

2. Il responsabile contabile/finanziario: cambio fraudolento di IBAN. L'aggressore impersona un fornitore reale e annuncia un cambio di banca. Il prossimo bonifico parte sull'account dell'aggressore. Costo medio: 47.000 €.

3. L'IT/admin sistemi: attacco a credenziali. Un "collega di un'altra filiale" chiede l'accesso a un sistema. Una volta ottenuto, l'aggressore installa ransomware o ruba dati.

Strategia di difesa 1: procedure umane

Lo spear phishing supera spesso le difese tecniche perche l'email e tecnicamente legittima (dominio reale o quasi, SPF/DKIM ok). Quindi la prima difesa e umana:

• Doppia validazione fuori canale: ogni bonifico > 1.000 € richiede una conferma a voce telefonica (numero noto, non quello in firma)
• Mai cambiare IBAN su semplice email: ogni cambio richiede una procedura formale (firma, certificato di RIB)
• Code parola tra dirigenti: in caso di richiesta urgente di bonifico, una parola chiave concordata in anticipo permette di confermare l'identita

Strategia di difesa 2: difese tecniche

Diversi strati tecnici per ridurre la superficie d'attacco:

1. SPF/DKIM/DMARC strict sul tuo dominio (vedi il nostro articolo dedicato)
2. External email warning: aggiungere automaticamente un banner "⚠ Email esterna" su tutti i mail di fuori l'azienda (Microsoft 365, Google Workspace lo fanno nativamente)
3. 2FA obbligatorio su tutti gli account email + sistemi sensibili
4. Detection IA: Fiabli rileva anche pattern di spear phishing (ricerca di urgenza incoerente, domini look-alike, ecc.)

Strategia 3: formazione & test regolari

L'umano e l'anello debole. Misure raccomandate:

• Formazione anti-phishing all'arrivo di ogni dipendente (1h)
• Sessioni di richiamo annuali (30 min, focus su nuovi schemi)
• Campagne di test phishing trimestrali (Fiabli offre questa funzione su piano PME — invio di phishing simulato + dashboard di chi clicca)
• Cultura no-blame: chi clicca segnala senza paura. Punire = nascondere = piu compromessi non rilevati.

Il piano d'azione minimo

Per le PMI senza budget cybersicurezza dedicato, ecco un piano realistico di 5 giorni:

1. Giorno 1: configurare SPF/DKIM/DMARC sul dominio
2. Giorno 2: attivare 2FA su tutti gli account M365/Google Workspace
3. Giorno 3: scrivere e diffondere la procedura "validazione bonifici > 1k €"
4. Giorno 4: connettere le caselle critiche (CEO, CFO, contabilita) a Fiabli + modalita quarantena
5. Giorno 5: formazione collettiva 30 min con esempi reali

Costo totale: < 200 €/mese per una PMI da 20 persone. ROI immediato dal primo attacco evitato. Iniziare con Fiabli Pro.