Che cosa significa phishing?

Phishing significa inganno digitale mirato a rubare credenziali, denaro o identita sfruttando tattiche di persuasione. Nel 2026 le truffe sono piu credibili grazie ad automazioni e contenuti generati con AI, e colpiscono sia utenti singoli sia organizzazioni. Questo testo spiega come funziona il fenomeno, quali numeri aiutano a valutarne la portata e come difendersi con azioni concrete e fonti istituzionali.

Il tema e rilevante per chi usa e-mail, social e servizi cloud ogni giorno. Capire le tecniche piu comuni, riconoscere i segnali e adottare controlli di base puo ridurre in modo sostanziale il rischio, soprattutto mentre nuove varianti sfruttano QR code, SMS, chiamate vocali e app di messaggistica.

Che cosa significa phishing?

Phishing e un insieme di truffe che simulano messaggi affidabili per indurre la vittima a compiere azioni rischiose. L’obiettivo e spesso ottenere username e password, numeri di carte, token di autenticazione o trasferimenti di denaro. I criminali imitano loghi, linguaggi e interfacce di banche, corrieri, social network o strumenti di lavoro. Alcune campagne usano domini simili a quelli reali, pagine web copie dell’originale o moduli fasulli ospitati su servizi legittimi.

Il meccanismo combina leve psicologiche e tempismo. Pressione sul tempo, autorita percepita, paura di perdere l’accesso o una opportunita spingono a cliccare o inserire dati senza verifiche. Con l’adozione diffusa di MFA, molti schemi cercano di intercettare codici temporanei o sessioni attive, mentre i kit piu evoluti dirottano l’utente su proxy che catturano le credenziali in tempo reale. Queste componenti rendono il phishing particolarmente adattabile a contesti personali e professionali. ([docs.apwg.org](https://docs.apwg.org/reports/apwg_trends_report_q4_2025.pdf))

Tecniche attuali e come funzionano gli inganni

Nel 2026 le tecniche piu comuni restano e-mail truccate, pagine clone e domini ingannevoli. A queste si aggiungono smishing via SMS, vishing con chiamate automatizzate, QR code malevoli in volantini o e-mail e tentativi che sfruttano link di accesso a dispositivi o applicazioni cloud. L’uso di AI consente testi piu credibili in piu lingue, imitazioni di stile e perfino deepfake audio per convincere dipendenti ad approvare pagamenti o condividere codici. Ricorrenti sono anche thread-hijacking all’interno di conversazioni e-mail gia esistenti.

Alcuni report di settore delineano evoluzioni precise: kit pronti all’uso abbassano la barriera di ingresso, mentre la scalabilita dei modelli linguistici rende piu facile creare varianti personalizzate. Strumenti piu sofisticati mirano a eludere il MFA e a colpire servizi SaaS molto diffusi. Per i team di sicurezza questo significa che la rilevazione deve considerare segnali tecnici e comportamentali, non solo filtri su parole chiave o mittenti. ([itpro.com](https://www.itpro.com/security/phishing/phishing-as-a-service-kits-growth-2025-barracuda?utm_source=openai))

Punti chiave sulle tecniche 2026:

• E-mail di spoofing che imitano provider cloud e strumenti di collaborazione.
• Smishing con link corti e redirect multipli verso pagine di login fasulle.
• QR phishing con codici inseriti in immagini e firme che portano a portali clone.
• Vishing e deepfake vocali usati per sollecitare urgenza e trasferimenti.
• Kit di phishing e servizi PhaaS che industrializzano l’intero ciclo di attacco.

Numeri del 2026: quadro aggiornato

Per misurare il fenomeno servono serie storiche e dati recenti. L’APWG ha contato 3,8 milioni di attacchi di phishing nel 2025, con 853.244 episodi nel quarto trimestre; i mesi piu intensi dell’ultimo trimestre sono stati novembre e dicembre. Questi dati mostrano un volume elevato e stabile, utile come base di confronto per il 2026. Nel frattempo, l’FBI IC3 ha registrato per il 2024 perdite denunciate pari a 16,6 miliardi di dollari e 859.532 reclami, con phishing tra i crimini piu segnalati: un riferimento importante per l’utenza negli Stati Uniti mentre arrivano i numeri consolidati piu recenti. ([docs.apwg.org](https://docs.apwg.org/reports/apwg_trends_report_q4_2025.pdf))

Si osservano anche indicatori specifici del 2026. Un’analisi Cloudflare pubblicata a marzo 2026 segnala che tra i brand piu impersonati figurano Windows, SANS, Microsoft, Stripe e Facebook, segno che i criminali sfruttano servizi familiari e ad alta fiducia. Il report 2026 di Kaseya rileva inoltre che quasi il 70% delle imprese si aspetta un attacco di phishing quest’anno, dato che riflette consapevolezza del rischio nelle PMI e nei team IT. Infine, report mensili come quello AhnLab per gennaio 2026 fotografano distribuzioni e casi concreti di e-mail malevole, utili per calibrare filtri e playbook di risposta. ([helpnetsecurity.com](https://www.helpnetsecurity.com/2026/03/03/cloudflare-cyber-threat-report-2026/?utm_source=openai))

Dati utili da tenere a mente nel 2026:

• 3,8 milioni di attacchi osservati dall’APWG nel 2025; 853.244 in Q4. ([docs.apwg.org](https://docs.apwg.org/reports/apwg_trends_report_q4_2025.pdf))
• 859.532 reclami all’FBI IC3 nel 2024; perdite denunciate 16,6 miliardi USD. ([fbi.gov](https://www.fbi.gov/contact-us/field-offices/atlanta/news/the-fbi-released-its-internet-crime-report-2024?utm_source=openai))
• Brand piu impersonati in campagne recenti: Windows, SANS, Microsoft, Stripe, Facebook. ([helpnetsecurity.com](https://www.helpnetsecurity.com/2026/03/03/cloudflare-cyber-threat-report-2026/?utm_source=openai))
• Quasi 7 aziende su 10 si aspettano attacchi nel 2026 secondo un outlook di settore. ([kaseya.com](https://www.kaseya.com/blog/key-insights-from-kaseyas-2026-cybersecurity-outlook-report/?utm_source=openai))
• Report mensili 2026 mostrano ondate mirate e casi locali per affinare la difesa. ([asec.ahnlab.com](https://asec.ahnlab.com/en/92621/?utm_source=openai))

Settori e vittime piu colpite

I bersagli piu frequenti includono servizi SaaS e webmail, piattaforme social e marchi consumer molto noti. Nel quarto trimestre 2025 l’APWG ha evidenziato come i settori Social Media e SaaS/Webmail fossero tra i piu presi di mira. Il contesto 2026 mostra la prosecuzione di questa tendenza, con piu campagne che imitano accessi a suite di produttivita e strumenti di pagamento online. Per molte realta, i flussi di lavoro in cloud ampliano la superficie d’attacco, specie quando password riutilizzate o sessioni non protette vengono intercettate. ([docs.apwg.org](https://docs.apwg.org/reports/apwg_trends_report_q4_2025.pdf))

Nel settore pubblico, la reportistica 2025 di Verizon indica che il 43% delle violazioni esaminate coinvolgeva il phishing, confermando che la minaccia non risparmia amministrazioni e scuole. In parallelo, i dati FBI IC3 mostrano che le fasce piu anziane restano fortemente esposte con perdite elevate, richiamando l’importanza di campagne di sensibilizzazione ad hoc. La combinazione di processi complessi, ecosistemi di fornitori e competenze digitali eterogenee rende alcune categorie particolarmente vulnerabili. ([cisa.gov](https://www.cisa.gov/audiences/state-local-tribal-and-territorial-government/secure-us-sltt/protect-government-services-phishing-training?utm_source=openai))

Dalla truffa al danno: impatti concreti su persone e PMI

Gli effetti di un clic possono essere rilevanti: furto di fondi, blocco di account, esposizione di dati e compromissione di sistemi. Nei contesti aziendali, il phishing e un vettore iniziale per movimenti laterali, furto di credenziali e attivita di estorsione. Le PMI, spesso con risorse limitate, subiscono interruzioni operative e costi di ripristino sproporzionati rispetto alle dimensioni. Quando l’attacco avviene tramite un account compromesso, la fiducia degli utenti e dei clienti puo diminuire rapidamente.

Un capitolo a parte riguarda il Business Email Compromise. Nel quarto trimestre 2025, un fornitore di intelligence ha osservato che nei BEC i pagamenti tramite gift card rappresentavano la maggioranza dei metodi di monetizzazione, seguiti da bonifici e altri schemi; e in molte campagne venivano usati domini webmail gratuiti per avviare il contatto. Queste dinamiche sono rilevanti anche nel 2026, con criminali che iterano tattiche efficaci e ampliano la scala con piattaforme automatizzate. ([docs.apwg.org](https://docs.apwg.org/reports/apwg_trends_report_q4_2025.pdf))

Segnali pratici per riconoscere un tentativo

Riconoscere il phishing significa individuare discrepanze e pressioni emotive. Occorre controllare mittenti, domini e URL, verificare richieste di credenziali o pagamenti fuori procedura e diffidare di allegati inattesi. Attenzione anche a pagine che chiedono codici MFA in contesti insoliti o che propongono dispositivi di accesso rapidi senza conferma lato applicazione. Nel dubbio, usare canali alternativi e segnalare internamente prima di agire. ([blog.barracuda.com](https://blog.barracuda.com/2025/11/24/frontline-security-predictions-2026-phishing-techniques?utm_source=openai))

Checklist rapida per utenti e team:

• Esaminare l’indirizzo reale del mittente e il dominio dopo il simbolo @.
• Passare il mouse sui link per leggere l’URL completo prima di cliccare.
• Non inviare codici MFA o approvare richieste senza verifica fuori banda.
• Diffidare di urgenze, minacce di sospensione o promesse troppo allettanti.
• Segnalare l’e-mail sospetta ai referenti interni o ai canali ufficiali.

Prevenzione multilivello: persone, processi, tecnologie

La difesa effettiva richiede una combinazione di strumenti e pratiche. A livello tecnico, adottare SPF, DKIM e DMARC, filtrare allegati ad alto rischio, applicare blocchi di esecuzione macro e isolare link sospetti aiuta a ridurre l’esposizione. A livello di identita, preferire passkey o MFA resistenti al phishing, segmentare accessi privilegiati e ruotare regolarmente i token. Sul fronte umano, programmi di sensibilizzazione frequenti e rilevazioni in tempo reale dei comportamenti rischiosi sono cruciali, ma vanno integrati con controlli automatici perche la sola formazione non basta sempre. ([arxiv.org](https://arxiv.org/abs/2506.19899?utm_source=openai))

Azioni prioritarie suggerite nel 2026:

• Implementare DMARC in modalita enforcement e monitorare report aggregati.
• Usare MFA a prova di phishing e valutare passkey su account critici.
• Abilitare sandboxing/URL rewriting e controlli di navigazione sicura.
• Stabilire playbook di risposta e canali di segnalazione a un clic.
• Simulare attacchi periodicamente misurando tempi di rilevazione e segnalazione.

La ricerca 2026 mostra anche progressi nei rilevatori basati su machine learning e tecniche grafiche, con miglioramenti di accuratezza e tempi di inferenza pensati per l’uso operativo. Allo stesso tempo, analisi su trend criminali indicano crescita di furti di credenziali e discussioni su strumenti di attacco avanzati. Questo impone una postura adattiva, in cui regole, modelli e contenuti formativi vengono aggiornati con cadenza regolare e coerente con i dati dell’ecosistema. ([arxiv.org](https://arxiv.org/abs/2603.01874?utm_source=openai))

Il ruolo di istituzioni e organismi: come segnalare e dove informarsi

Esistono riferimenti affidabili per cittadini e aziende. Negli Stati Uniti, l’FBI attraverso l’Internet Crime Complaint Center (IC3) raccoglie denunce e pubblica report annuali con indicatori su tipologie di truffa e perdite economiche. CISA fornisce risorse di formazione, strumenti per esercitazioni e canali per condividere indicatori e campioni malevoli con esperti federali, mentre le autorita europee come ENISA diffondono rapporti su tendenze e buone pratiche. Nel marzo 2026 una importante operazione congiunta guidata da Microsoft ed Europol ha smantellato una rete di phishing-as-a-service capace di aggirare 2FA, dimostrando l’impatto della cooperazione pubblico-privato. ([fbi.gov](https://www.fbi.gov/contact-us/field-offices/atlanta/news/the-fbi-released-its-internet-crime-report-2024?utm_source=openai))

Dove rivolgersi e che cosa fare:

• Segnalare messaggi sospetti all’IT interno e, negli USA, considerare la denuncia su IC3. ([fbi.gov](https://www.fbi.gov/contact-us/field-offices/atlanta/news/the-fbi-released-its-internet-crime-report-2024?utm_source=openai))
• Consultare le risorse CISA per formazione e strumenti di difesa aggiornati. ([cisa.gov](https://www.cisa.gov/audiences/state-local-tribal-and-territorial-government/secure-us-sltt/protect-government-services-phishing-training?utm_source=openai))
• Seguire i bollettini ENISA per tendenze e misure raccomandate in UE. ([enisa.europa.eu](https://www.enisa.europa.eu/sites/default/files/2025-10/ENISA%20Threat%20Landscape%202025%20Booklet.pdf?utm_source=openai))
• Verificare periodicamente i trend APWG per capire volumi e settori piu colpiti. ([docs.apwg.org](https://docs.apwg.org/reports/apwg_trends_report_q4_2025.pdf))
• Collaborare con provider di sicurezza e forze dell’ordine in caso di compromissione.

Infine, aggiornare policy e strumenti partendo dai rischi reali osservati: quali marchi vengono impersonati nel proprio contesto, quali canali usano i clienti, quali processi di pagamento sono piu esposti. Nel 2026 il phishing resta un fenomeno dinamico, ma affrontabile con disciplina operativa, attenzione alle fonti ufficiali e miglioramenti incrementali su identita, e-mail e comportamenti quotidiani. La combinazione di monitoraggio, formazione mirata e controlli tecnici solleva in modo progressivo la barriera contro gli inganni digitali. ([helpnetsecurity.com](https://www.helpnetsecurity.com/2026/03/03/cloudflare-cyber-threat-report-2026/?utm_source=openai))