Phishing 2.0: come l’Intelligenza Artificiale ha aperto una nuova era delle frodi digitali
Il phishing è sempre stato uno degli strumenti preferiti dai criminali informatici, ma negli ultimi anni ha cambiato volto in modo significativo e preoccupante. Quello che una volta era un semplice tentativo di inganno via e-mail si è trasformato in una minaccia digitale molto più sofisticata e personalizzata, resa ancora più insidiosa dall’arrivo dell’Intelligenza Artificiale (IA). Siamo nell’era del Phishing 2.0.
L’IA ha rivoluzionato il modo in cui vengono realizzati gli attacchi di phishing, rendendoli più credibili e mirati. Non si parla più di messaggi con errori evidenti o segnali sospetti, ma di contenuti costruiti con grande cura grazie a tecnologie avanzate come deepfake, voice cloning e l’uso approfondito di OSINT (Open Source Intelligence). Video e audio deepfake riescono a replicare in modo sorprendentemente realistico volti e voci di persone conosciute, spingendo le vittime a fidarsi di ciò che vedono e ascoltano. Il voice cloning, in particolare, permette di imitare con precisione la voce di dirigenti, colleghi o familiari, rendendo credibili telefonate o messaggi vocali contraffatti. L’OSINT permette la ricerca di tutte le informazioni che l’utente ha pubblicato, tramite social media come Instagram, Facebook e Linkedin, comprendendo anche passioni, relazioni e lavoro della persona oggetto dell’attacco.
Nel 2024 e nei primi mesi del 2025 abbiamo visto un aumento significativo di toolkit basati su IA utilizzati per scopi malevoli. Questi strumenti non si limitano a generare testi ingannevoli con modelli linguistici avanzati, ma automatizzano anche la raccolta di dati personali, creano profili dettagliati delle vittime e pianificano attacchi estremamente mirati. Il risultato è un phishing “su misura”, pensato per ogni singolo bersaglio, con un livello di personalizzazione che mette in difficoltà anche i sistemi di difesa più sofisticati.
I casi concreti sono ormai numerosi: a gennaio 2024, una grande azienda inglese ha perso 25 milioni di dollari dopo una videoconferenza deepfake che ha convinto un dirigente a effettuare un bonifico fraudolento. Nello stesso mese, un attacco audio deepfake ha cercato di influenzare gli elettori durante le primarie nel New Hampshire (USA), con l’obiettivo di indurli a cambiare il proprio voto. Mentre a maggio, una multinazionale come WPP è stata colpita da un tentativo di impersonificazione molto sofisticato, fortunatamente senza danni economici.
Questi episodi mostrano chiaramente come l’IA abbia superato il confine tra frodi “artigianali” e ingegneria sociale su scala industriale. Oggi gli attacchi sono più credibili, più difficili da individuare e potenzialmente più dannosi. L’IA è capace di replicare con precisione lo stile comunicativo di una persona, scrivere e-mail indistinguibili da quelle autentiche e produrre contenuti multimediali in grado di ingannare anche esperti. La minaccia non è più solo tecnica, ma anche cognitiva.
Non basta aggiornare filtri antispam o firewall per rispondere a questa sfida. Serve un cambio di paradigma nella cultura della sicurezza informatica. Non possiamo più affidarci solo alla tecnologia: è fondamentale aumentare la consapevolezza delle persone. Gli utenti devono imparare a riconoscere le dinamiche dell’inganno, anche quando sembrano perfettamente plausibili. Dobbiamo tornare a osservare con attenzione, a dubitare e a verificare. Paradossalmente, proprio mentre l’IA imita alla perfezione la comunicazione umana, la nostra capacità di percepire ciò che non va resta la difesa più efficace.
Affrontare il Phishing 2.0 significa adottare un approccio integrato. È necessario investire in tecnologie di rilevamento avanzate, promuovere programmi di formazione continua, monitorare costantemente le nuove minacce e costruire un ecosistema di difesa in cui ogni elemento tecnico, umano e organizzativo svolge un ruolo attivo e proattivo. Ormai non è più una battaglia che si può combattere da soli: coinvolge aziende, istituzioni e privati.
Nessuno è escluso.
Per affrontare efficacemente il nuovo panorama di minacce in continua evoluzione del Phishing 2.0, è fondamentale agire in anticipo, adottando una strategia dinamica, proattiva e condivisa. Solo così sarà possibile contenere e identificare gli attacchi più insidiosi della nuova era digitale.
