Il phishing generato dall’AI raggiunge un tasso di clic del 54%

Per anni il phishing ha funzionato per un motivo molto semplice: sfrutta l’anello più debole, l’utente. Anche la strategia di difesa ha seguito sostanzialmente la stessa formula: filtri email più efficaci, maggiore consapevolezza degli utenti e un ulteriore livello di autenticazione. Non era una soluzione perfetta, ma rappresentava un equilibrio sostenibile.

Oggi quell’equilibrio si è spezzato. Il phishing generato dall’intelligenza artificiale non solo è in crescita, ma sta diventando molto più convincente. Secondo il Microsoft Digital Defense Report 2025, le campagne di phishing generate dall’AI raggiungono un tasso di clic del 54%, rispetto ad appena il 12% delle campagne tradizionali. E ciò che gli attaccanti cercano di ottenere attraverso quel clic sono credenziali valide.

Secondo il report M-Trends 2025 di Mandiant, nel 2024 le credenziali rubate sono diventate il secondo vettore di accesso iniziale più diffuso, rappresentando il 16% di tutte le intrusioni, il livello più alto mai registrato. Dietro questa tendenza c’è anche la crescente diffusione degli infostealer, malware progettati specificamente per sottrarre le credenziali memorizzate sui dispositivi degli utenti.

Entrambe le tendenze indicano la stessa realtà: gli attaccanti prendono sempre più di mira le credenziali, mentre per gli utenti diventa sempre più difficile distinguere le email legittime da quelle malevole. L’identità è diventata contemporaneamente il bersaglio e la porta d’ingresso. E se il tuo business consiste nel proteggere altre organizzazioni, questo diventa un tuo problema ancora prima di diventare un problema dei tuoi clienti.

Quando il phishing non sembra più phishing

A cambiare non è tanto il volume degli attacchi di phishing, quanto la qualità dell’inganno. L’intelligenza artificiale ha eliminato molti dei segnali di allarme che un tempo rendevano più semplice riconoscere un tentativo di phishing: errori ortografici, formulazioni innaturali, formattazione incoerente e URL palesemente sospetti.

Oggi le email di phishing sono curate, personalizzate e costruite sul contesto specifico del destinatario. Molte sfruttano persino servizi legittimi per apparire ancora più autentiche.

Non esiste più un unico modello ricorrente da bloccare. Le campagne possono generare variazioni uniche in tempo reale, rendendo molto più difficile per i filtri di sicurezza individuare schemi costanti. Il risultato è un phishing che sia le tecnologie sia le persone faticano a riconoscere con la stessa efficacia di un tempo.

Secondo la ricerca WatchGuard From IT Support to Cybersecurity Powerhouse: The New Mandate for MSP Growth, il 91% delle organizzazioni è preoccupato per gli attacchi informatici basati sull’intelligenza artificiale. È proprio questo uno degli ambiti in cui i clienti si aspettano che siano gli MSP a indicare la strada e nel quale sono sempre più disposti a investire.

L’identità è diventata il principale punto di ingresso

L’email perfettamente costruita non è il vero obiettivo dell’attaccante: è semplicemente il mezzo utilizzato per raggiungerlo. Ciò che interessa realmente sono credenziali valide, perché effettuare l’accesso utilizzando username e password legittimi rimane uno dei modi più efficaci e meno evidenti per compromettere un’organizzazione.

Una volta ottenuto l’accesso attraverso un account legittimo, le attività degli attaccanti possono destare pochi sospetti. Agli occhi dei sistemi di sicurezza sembrano normali autenticazioni. Non c’è necessariamente un exploit, non c’è malware e non c’è un allarme evidente: semplicemente qualcuno che sembra essere esattamente chi dichiara di essere.

Per i Managed Service Provider questo cambia il punto di partenza della strategia di sicurezza. Non è più possibile presumere di riuscire a bloccare ogni intrusione prima che avvenga. È più realistico partire dal presupposto opposto: prima o poi, le credenziali di uno dei propri clienti verranno compromesse.

Non si tratta di pessimismo, ma di ciò che indicano i dati. Nella stessa ricerca WatchGuard, il 32% delle organizzazioni ha dichiarato di essere costantemente esposto ad attacchi di phishing e Business Email Compromise (BEC). La strategia, quindi, non può più concentrarsi esclusivamente sulla prevenzione del furto delle credenziali, ma deve anche puntare a limitarne l’impatto quando questo si verifica.

L’identità è il nuovo perimetro di sicurezza

La formazione e la sensibilizzazione degli utenti in materia di sicurezza rimangono importanti, ma non sono più sufficienti. Quando le email di phishing diventano praticamente indistinguibili dalle comunicazioni legittime, chiediamo agli utenti di prendere decisioni sempre più difficili. Il problema è diventato strutturale e l’identità è oggi al centro della questione.

Proteggere l’identità è diventata la prima linea di difesa. Si potrebbe pensare che l’autenticazione multifattore (MFA) sia sufficiente e, in una certa misura, continua a rappresentare una componente fondamentale della sicurezza. Tuttavia, le notifiche push e i codici monouso presentano un punto debole.

I sofisticati attacchi Adversary-in-the-Middle (AiTM) possono intercettare in tempo reale sia le password sia i codici di autenticazione, posizionandosi tra l’utente e il sito web legittimo. L’MFA tradizionale blocca la maggior parte degli attacchi, ma questa tipologia di minaccia richiede un approccio diverso.

Le passkey eliminano questa vulnerabilità. In quanto metodo di autenticazione passwordless, consentono agli utenti di autenticarsi in modo simile a come sbloccano il proprio smartphone, ad esempio attraverso l’impronta digitale o il riconoscimento facciale, mentre dietro le quinte viene utilizzata una credenziale crittografica direttamente associata al sito web legittimo.

Non esiste quindi una password da rubare né un codice di autenticazione da intercettare o riutilizzare. Gli attaccanti possono anche riuscire a clonare perfettamente un sito web, ma non possono replicare la relazione di fiducia crittografica su cui si basano le passkey.

Le passkey diventano ancora più efficaci quando vengono abbinate a controlli degli accessi basati sul rischio, capaci di valutare ogni tentativo di autenticazione sulla base del contesto e non soltanto delle credenziali utilizzate. Chi sta effettuando l’accesso? Da dove? In quali condizioni?

Anche se una credenziale viene compromessa, rimangono quindi ulteriori livelli di protezione tra l’attaccante e i dati critici del cliente. Inoltre, l’identità non esiste in modo isolato: è direttamente collegata agli endpoint e alla rete, le altre principali superfici di attacco sfruttate dagli avversari.

Non si tratta semplicemente di aggiungere un’altra voce alla checklist della cybersecurity. È qui che il servizio di un MSP può diventare indispensabile anziché intercambiabile. Quando il controllo degli accessi diventa il fulcro della sicurezza, il provider che gestisce le identità dei clienti sta proteggendo uno dei livelli più critici delle difese dell’organizzazione. Si tratta di un servizio strategico, non semplicemente di un’altra casella da spuntare.

Una credenziale può essere rubata oggi da un infostealer e poi rimanere inutilizzata per settimane, prima che un attaccante decida di sfruttarla per accedere ai sistemi fingendosi un dipendente legittimo.

Per prevenire situazioni di questo tipo non è necessario continuare ad aggiungere nuovi strumenti di sicurezza. È invece necessario spostare il controllo sull’identità, il nuovo perimetro di sicurezza e il pilastro di ogni strategia Zero Trust.

È esattamente ciò che offre il WatchGuard Zero Trust Bundle, riunendo sicurezza di rete, endpoint e identità in un approccio unificato e consentendo agli MSP di passare da una gestione reattiva delle violazioni subite dai clienti a una strategia orientata a prevenirle fin dall’inizio.