Phishing: come riconoscerlo e perché la NIS 2 richiede formazione del personale

Il phishing è una truffa informatica in cui un aggressore si finge un mittente affidabile (banca, corriere, fornitore, collega, ente pubblico) per convincere la vittima a cliccare un link, aprire un allegato o comunicare credenziali e dati sensibili. Per riconoscerlo bisogna verificare mittente, link, tono del messaggio e richieste insolite. La direttiva NIS 2 considera la formazione del personale una misura di sicurezza vera e propria, non un'attività facoltativa.

Cos'è il phishing

Il phishing è una forma di ingegneria sociale: invece di attaccare direttamente i sistemi, l'attaccante sfrutta le persone. Il messaggio punta su urgenza, paura, curiosità o fiducia per spingere a una reazione impulsiva.

Il nome deriva dall'inglese «fishing» (pescare): l'aggressore lancia un'esca e attende che qualcuno abbocchi. Gli obiettivi più comuni sono:

rubare credenziali di accesso (posta elettronica, home banking, servizi cloud);
installare un malware, compresi i ransomware, tramite allegati o link;
indurre a effettuare pagamenti o modificare coordinate bancarie;
raccogliere informazioni da riutilizzare in attacchi successivi.

Le principali varianti

Phishing di massa: email generiche inviate a moltissimi destinatari, spesso con falsi avvisi di spedizioni, fatture o account bloccati.
Spear phishing: messaggio mirato su una persona o un ruolo, costruito con informazioni reali su azienda, colleghi e fornitori.
Whaling: spear phishing rivolto a dirigenti e vertici aziendali.
Smishing: phishing via SMS o app di messaggistica.
Vishing: phishing telefonico, a volte con voci o numeri contraffatti.
Business email compromise: l'attaccante si spaccia per un dirigente o un fornitore per ottenere bonifici o dati.
Quishing: link malevoli nascosti dietro un QR code.

Come riconoscere un messaggio di phishing

Nessun singolo segnale basta da solo, ma un insieme di anomalie deve far scattare la prudenza. Prima di agire, controlla questi elementi.

1. Il mittente

Controlla l'indirizzo email completo, non solo il nome visualizzato: spesso il dominio è simile a quello reale, ma con lettere cambiate, aggiunte o sostituite.
Diffida di mittenti noti che scrivono in modo insolito, fuori orario o con un indirizzo diverso dal solito.
Un collega o un superiore che chiede con urgenza denaro, buoni regalo o dati riservati merita sempre una verifica su un altro canale.

2. I link

Passa il cursore sul link, senza cliccare, e verifica che l'indirizzo reale corrisponda a quello dichiarato.
Fai attenzione agli indirizzi abbreviati e a quelli con sottodomini ingannevoli.
Se devi accedere a un servizio, digita l'indirizzo ufficiale nel browser o usa l'app che già utilizzi.

3. Il contenuto e il tono

Urgenza o minaccia: «il tuo account sarà chiuso entro 24 ore», «azione immediata richiesta».
Richieste insolite: password, codici di verifica, dati della carta o conferma di identità via email.
Saluti generici: «Gentile cliente» al posto del tuo nome, quando il servizio normalmente ti conosce.
Errori: testo tradotto male o impaginazione approssimativa, anche se oggi gli strumenti di intelligenza artificiale possono rendere i testi molto più curati. L'assenza di errori non è quindi una garanzia.

4. Gli allegati

Diffida di allegati inattesi, soprattutto archivi compressi, documenti che chiedono di «abilitare le macro» o file con doppia estensione.
Anche un PDF può contenere link malevoli: valuta il contesto, non solo il formato.

5. Il contesto

Chiediti se il messaggio era atteso. Una fattura da un fornitore che non conosci, un pacco che non hai ordinato o una comunicazione di un ente che non ti ha mai scritto sono campanelli d'allarme.

Come difendersi: misure tecniche e comportamentali

La difesa efficace combina tecnologia e comportamenti. Le misure tecniche riducono il numero di messaggi dannosi che arrivano alle persone, quelle comportamentali limitano i danni quando un messaggio sfugge ai filtri.

Misure tecniche

Autenticazione a più fattori (MFA): anche se la password viene rubata, l'accesso non è immediato. Dove possibile, preferisci metodi resistenti al phishing, come le chiavi di sicurezza.
Filtri antispam e antiphishing sulla posta elettronica, con analisi di link e allegati.
Protocolli di autenticazione della posta (SPF, DKIM, DMARC) per ridurre la falsificazione del dominio aziendale.
Aggiornamenti regolari di sistemi operativi, browser e applicazioni.
Protezione degli endpoint e backup protetti e testati, per limitare l'impatto di un eventuale malware.
Privilegi minimi: ogni utente accede solo a ciò che gli serve, così un account compromesso causa meno danni.

Misure comportamentali

Non cliccare e non rispondere se hai dubbi: verifica tramite un canale alternativo, come una telefonata a un numero già noto.
Non condividere mai password o codici monouso, nemmeno con chi dice di essere dell'assistenza.
Usa un gestore di password: compila automaticamente le credenziali solo sul sito corretto, e questo aiuta a smascherare i siti falsi.
Segnala subito i messaggi sospetti al responsabile IT o alla funzione di sicurezza, seguendo una procedura semplice e conosciuta da tutti.
Se hai cliccato o inserito dati, non aspettare: avvisa immediatamente e cambia le credenziali coinvolte.

Phishing e obblighi di formazione nella NIS 2

La direttiva (UE) 2022/2555, nota come NIS 2, impone ai soggetti essenziali e importanti di adottare misure tecniche, operative e organizzative adeguate a gestire i rischi per la sicurezza delle reti e dei sistemi informativi. In Italia è stata recepita con il D.Lgs. 138/2024, con l'Agenzia per la Cybersicurezza Nazionale (ACN) come autorità di riferimento.

Il phishing è uno dei casi in cui il legame con la direttiva è più evidente, per almeno tre motivi.

Formazione e igiene informatica come misure di sicurezza

L'articolo 21 della direttiva elenca le misure minime di gestione del rischio. Tra queste figurano le pratiche di igiene informatica di base e la formazione in materia di cibersicurezza, oltre all'uso dell'autenticazione a più fattori e alla gestione degli incidenti. Le difese contro il phishing rientrano in tutte queste voci.

La responsabilità degli organi di gestione

L'articolo 20 prevede che gli organi di gestione approvino le misure di gestione del rischio, ne supervisionino l'attuazione e ne rispondano. Inoltre, i suoi membri sono tenuti a seguire una formazione specifica e i soggetti devono offrire periodicamente formazioni analoghe ai dipendenti, per acquisire conoscenze e competenze sufficienti a valutare i rischi e le relative pratiche. La normativa italiana di recepimento riprende questi obblighi: verifica il testo vigente e le indicazioni dell'ACN per i dettagli applicabili alla tua organizzazione.

Gestione e notifica degli incidenti

Un attacco di phishing riuscito può trasformarsi in un incidente significativo. La direttiva prevede, per questi casi, un preallarme entro 24 ore, una notifica dell'incidente entro 72 ore e una relazione finale entro un mese. Riconoscere e segnalare rapidamente un messaggio sospetto è il primo passo per rispettare questi tempi.

Come inserire la formazione nel piano di adeguamento

La formazione anti-phishing funziona se è parte di un percorso strutturato e documentato, non un evento isolato. Un approccio pratico prevede questi passaggi.

Mappa i ruoli e i rischi. Individua chi gestisce dati sensibili, pagamenti, accessi privilegiati o rapporti con i fornitori: sono i bersagli più probabili e richiedono contenuti più mirati.
Definisci i contenuti. Includi riconoscimento di email, SMS e telefonate sospette, uso di MFA e password, regole su allegati e link, procedura di segnalazione interna.
Prevedi formazione diversificata. Un percorso per tutto il personale, uno specifico per chi ricopre ruoli esposti e uno per gli organi di gestione, focalizzato su responsabilità e governance del rischio.
Esegui simulazioni. Campagne di phishing simulato, svolte in modo etico e senza colpevolizzare, aiutano a misurare la consapevolezza e a rafforzare i comportamenti corretti.
Ripeti periodicamente. Le tecniche di attacco cambiano: aggiorna i contenuti e riproponi la formazione a intervalli regolari e ai nuovi assunti.
Documenta tutto. Conserva programmi, presenze, materiali e risultati delle verifiche: serviranno per dimostrare l'adeguamento in caso di controlli.
Collega la formazione alle procedure. Il personale deve sapere chi avvisare e come, e la procedura di risposta agli incidenti deve essere testata.
Misura i risultati. Monitora, per esempio, il numero di segnalazioni e la tempestività della risposta, e usa i dati per migliorare il piano.

Domande frequenti

Come capisco se un'email è phishing?

Controlla l'indirizzo reale del mittente, verifica dove porta davvero ogni link senza cliccare, e diffida di urgenze, minacce e richieste di dati o pagamenti. In caso di dubbio, contatta il mittente tramite un canale diverso da quello del messaggio.

Cosa devo fare se ho cliccato su un link sospetto?

Non inserire altri dati e, se lo hai già fatto, cambia subito le password coinvolte. Avvisa il responsabile IT o la funzione di sicurezza, scollega il dispositivo dalla rete se richiesto e segui la procedura aziendale. Se sono stati coinvolti conti bancari, informa anche la banca.

La NIS 2 obbliga a formare i dipendenti sul phishing?

La direttiva include formazione in cibersicurezza e igiene informatica tra le misure di gestione del rischio, e richiede che i soggetti offrano formazione periodica ai dipendenti, oltre a quella obbligatoria per gli organi di gestione. Il phishing è uno dei temi centrali di questi percorsi. Per sapere se la tua organizzazione rientra nell'ambito di applicazione, consulta il testo di recepimento e le indicazioni dell'ACN.

Le simulazioni di phishing sono utili?

Sì, se usate come strumento educativo e non punitivo. Permettono di misurare la consapevolezza, individuare i temi da approfondire e abituare le persone a segnalare i messaggi sospetti.

L'autenticazione a più fattori basta a proteggermi?

No. Riduce molto il rischio di accesso con credenziali rubate, ma alcune tecniche di phishing riescono a intercettare anche i codici monouso. Va quindi abbinata a formazione, filtri sulla posta e, dove possibile, a metodi di autenticazione resistenti al phishing.