Ogni giorno ci arrivano 3,4 miliardi di email truffa. E ora le scrive l’intelligenza artificiale.
Fermati un secondo su questo numero: 3.400.000.000 email di phishing inviate ogni singolo giorno nel mondo.
Non sono email scritte male, con errori di grammatica e loghi sgranati come quelle di dieci anni fa. Oggi le scrive un’intelligenza artificiale. In italiano perfetto. Con il tuo nome. Con il nome della tua azienda. Con un riferimento al tuo settore di lavoro.
Come funziona il phishing con l’AI
Immagina di ricevere un’email così:
“Buongiorno Mario, ho visto che la tua azienda opera nel settore dell’IT a Brescia. Ti scrivo da parte della Camera di Commercio per un aggiornamento urgente sulla tua posizione contributiva. Clicca qui entro 48 ore per evitare sanzioni.”
Tutto corretto. Tutto credibile. Tutto falso.
L’AI generativa permette ai criminali di produrre migliaia di messaggi personalizzati al secondo, ognuno diverso dall’altro per evitare i filtri antispam. Non ci sono più errori di ortografia da cercare. Non c’è più il “Gentile Cliente” generico. C’è il tuo nome, la tua città, il tuo settore.
Perché i filtri antispam non bastano più
I filtri tradizionali funzionano cercando pattern: parole sospette, mittenti noti come pericolosi, strutture di testo ricorrenti. Ma quando ogni email è diversa e scritta in modo naturale, il filtro non sa cosa bloccare.
È come cercare di riconoscere un ladro da una fotografia quando ogni giorno si cambia aspetto, vestiti e parrucca.
I criminali lo sanno. E sfruttano questa finestra di invisibilità per infilare link pericolosi, allegati infetti o richieste di pagamento urgenti.
Il vero problema: il dipendente che clicca
Il 90% dei ransomware — i virus che bloccano i tuoi computer e chiedono il riscatto — entra in azienda tramite una sola email di phishing cliccata da un dipendente.
Una persona. Un clic. Fine.
E non è colpa del dipendente: se l’email è convincente, chiunque può cascarci. Anche i professionisti più attenti. È successo in aziende da miliardi di fatturato, figuriamoci nelle PMI dove non c’è un reparto IT dedicato.
Cosa puoi fare concretamente
La buona notizia è che difendersi non richiede di diventare ingegneri informatici. Bastano alcune abitudini:
🔴 Fermati prima di cliccare. Se un’email ti crea urgenza (“entro 48 ore”, “subito”, “attenzione”), è quasi sempre una truffa. La fretta è il loro strumento principale.
🔴 Verifica fuori dall’email. Se ti scrive la banca, il fornitore o l’Agenzia delle Entrate, chiudi l’email e chiama direttamente il numero ufficiale. Non cliccare sul link nella email.
🔴 Forma i tuoi dipendenti, almeno una volta l’anno. Un’ora di formazione sul phishing vale più di qualsiasi software. Le persone che sanno cosa cercare diventano il tuo firewall umano.
🔴 Usa l’autenticazione a due fattori. Anche se qualcuno ruba la tua password tramite phishing, senza il secondo codice non può entrare.
La vera domanda
Non è “se” arriverà una email di phishing convincente alla tua azienda. È “quando”. E in quel momento, l’unica cosa che farà la differenza è se i tuoi dipendenti sapranno riconoscerla.
Vale la pena prepararsi adesso, prima che succeda.
Hai mai ricevuto un’email di phishing particolarmente convincente? Raccontamelo nei commenti: confrontarsi su questi episodi aiuta tutti a stare più attenti.