Come l’IA generativa potenzia il phishing

L’IA generativa ha rimosso in sordina i due maggiori colli di bottiglia del phishing: scrivere testi convincenti e farlo su larga scala. Ciò che un tempo richiedeva un redattore umano fluente e ore di ricerca oggi si produce in secondi, in qualsiasi lingua, ritagliato su un bersaglio preciso.

Che cosa è cambiato davvero

Per anni i «segni» classici di un’e-mail di phishing sono stati linguistici: grammatica goffa, frasi strane, saluti generici. I grandi modelli linguistici cancellano tutti e tre. Un aggressore genera ora un messaggio impeccabile in decine di lingue, rispecchia il tono di un’azienda e adatta il registro per un direttore finanziario diversamente che per un tecnico dell’help desk.

Lo spostamento importante è il costo per messaggio convincente. Quando costruire un’esca su misura non costa quasi nulla, gli aggressori passano dallo spara-nel-mucchio a un targeting ad alto volume e alta qualità.

Flussi di lavoro concreti dell’aggressore

• Ricognizione su scala. Gli LLM condensano lo storico LinkedIn di un bersaglio, i comunicati stampa recenti e l’attività su GitHub in un pretesto di un paragrafo.
• Personalizzazione dello spear phishing. Dati nome, ruolo e datore di lavoro, un modello redige un messaggio che richiama un progetto interno plausibile o una recente riorganizzazione.
• Business Email Compromise (BEC). I modelli replicano lo stile di scrittura di un dirigente da pochi campioni pubblici, producendo richieste di bonifico che suonano autentiche.
• Campagne multilingue. Un unico modello viene localizzato in 20 lingue con l’idioma corretto, annullando «l’inglese era sbagliato» come segnale.
• Follow-up conversazionale. Gli aggressori collegano un LLM dietro una casella così le risposte sono gestite in automatico, sostenendo un thread credibile per giorni.

Oltre l’e-mail: voce e video

La minaccia non è più solo testo.

• La clonazione vocale richiede pochi secondi di audio di riferimento (da un webinar, una call sui risultati o un messaggio in segreteria) per sintetizzare una telefonata di vishing convincente.
• Il video deepfake è già stato usato in riunioni dal vivo: nel caso Arup del 2024 un dipendente ha bonificato circa 25 milioni di dollari dopo una videochiamata popolata interamente di «colleghi» sintetici.

Perché il rilevamento tradizionale fatica

I filtri tradizionali si basano su firme, URL note come dannose e impronte di contenuto ripetuto. Le campagne generate dall’IA erodono tutto questo:

• Ogni messaggio è unico, quindi hash del contenuto e confronto di modelli falliscono.
• Il testo è grammaticalmente perfetto, quindi il punteggio euristico del «linguaggio da spam» cala.
• L’infrastruttura è nuova e ruotata, quindi la reputazione di dominio e IP arriva in ritardo.

Il rilevamento deve appoggiarsi sempre più a segnali comportamentali e strutturali invece che al contenuto.

Segnali che funzionano ancora:
- Autenticazione: allineamento SPF, DKIM, DMARC (p=reject)
- Discordanza tra nome visualizzato e busta/From
- Domini di invio appena registrati o simili
- Routing anomalo di reply-to / return-path
- Primo contatto + urgenza + richiesta di pagamento/credenziali

Cosa dovrebbero fare ora i difensori

Irrobustire l’autenticazione. Applicate DMARC a p=reject sui vostri domini e preferite MFA resistente al phishing (passkey FIDO2/WebAuthn), così che nemmeno una pagina di login clonata alla perfezione possa riutilizzare le credenziali.

Spostare la formazione dall’ortografia. «Cerca gli errori di grammatica» è un consiglio morto. Insegnate al personale a verificare le richieste: conferma su un canale separato per pagamenti e reimpostazioni di credenziali, per quanto curato sia il messaggio.

Presumere che voce e video possano mentire. Stabilite una parola d’ordine o un numero di richiamo per richieste finanziarie e di accesso ad alto valore.

Strumentare la segnalazione. Un pulsante «segnala phishing» a un clic che alimenta il vostro SOC vale più che mai, perché il sospetto umano è ora uno dei pochi segnali che cresce insieme all’attacco.

L’obiettivo difensivo non è più cogliere il falso dai suoi difetti. È rendere l’azione voluta dall’aggressore impossibile o reversibile — tramite autenticazione, verifica su canale separato e credenziali resistenti al phishing.

Come aiuta GottaPhish

L’IA permette ora di costruire esche impeccabili e personalizzate che sconfiggono le abitudini del «trova il refuso» un tempo insegnate. GottaPhish e il suo team di esperti vi aiutano ad affrontare proprio questa minaccia: simulazioni personalizzate dall’IA ritagliate su ruolo, lingua e contesto di ciascun destinatario, con cruscotti che mostrano quali team abboccano alle esche più sofisticate. I nostri esperti seguono l’avvio, disegnano scenari realistici, aiutano a interpretare i risultati e supportano l’adozione di MFA resistente al phishing (FIDO2/passkey), così un clic non significa più una compromissione — misurando la resilienza contro la minaccia di oggi, non contro il phishing di cinque anni fa.