Come gli MSP possono fermare il phishing che sfugge ai filtri email

Ogni giorno i clienti ricevono migliaia di email, ma basta un solo messaggio ben costruito per trasformare una comunicazione innocua in un incidente di sicurezza che ricadrà sugli MSP. L'intelligenza artificiale ha rivoluzionato il phishing: oggi è più semplice lanciare campagne, più difficile individuarle e i messaggi sono molto più credibili rispetto a quanto i filtri email tradizionali possano gestire. Con un modello linguistico avanzato e qualche profilo LinkedIn pubblico, i criminali generano email di phishing personalizzate in pochi minuti. Secondo Harvard Business Review, le campagne spear phishing create dall'AI raggiungono un tasso di click del 54%, pari a quello degli esperti umani ma a costi molto inferiori. Comprendere come funzionano questi attacchi e perché i filtri classici falliscono è fondamentale per evitare che una sola email si trasformi in una violazione costosa.

Le fasi di un attacco phishing potenziato dall'AI

Ogni campagna di phishing assistita dall'AI segue uno schema ricorrente, ma l'automazione rende ogni fase più rapida, credibile e difficile da intercettare.

Ricognizione: L'AI analizza LinkedIn, siti aziendali e fonti pubbliche per costruire il profilo di un dipendente. In pochi minuti, l'attaccante sa con chi lavora, su quali progetti è impegnato e come comunica.

Generazione del contenuto: L'AI crea email che sembrano provenire da colleghi, clienti o fornitori fidati, senza errori grammaticali o segnali sospetti.

Consegna ed evasione: L'AI genera versioni uniche di ogni email (phishing polimorfico), modificando oggetto, mittente, formattazione e contenuto, sfruttando servizi cloud affidabili, QR code e catene di reindirizzamento per aggirare i filtri.

Attività post-compromissione: Se l'utente clicca su un link malevolo o inserisce le credenziali, l'attacco si evolve rapidamente: vengono rubati token di sessione, creati filtri per nascondere le tracce e in pochi minuti l'attaccante si muove nell'ambiente aziendale. Secondo l'IBM 2024 Cost of a Data Breach Report, il phishing è la causa principale delle violazioni, responsabile del 16% degli incidenti e con un costo medio di 4,8 milioni di dollari per breach.

Perché i filtri email tradizionali non bastano più

I gateway email classici si basano su firme e indicatori noti di compromissione. Ma quando ogni email è diversa e in continua evoluzione, questi segnali diventano inaffidabili e più messaggi malevoli raggiungono la casella dei clienti. La prevenzione non è più sufficiente: serve visibilità oltre l'email, con monitoraggio degli endpoint, delle identità e risposta rapida per fermare l'attaccante prima che si espanda.

Un esempio di come le minacce evolvano rapidamente anche su altri fronti digitali è stato analizzato anche in un approfondimento sugli attacchi Plug and Pwn che sfruttano le vulnerabilità USB.

Come individuare un attacco generato dall'AI

L'AI può camuffare un'email, ma non può nascondere le anomalie di identità, endpoint e attività utente che seguono. Qui entra in gioco il rilevamento moderno.

Monitorare il comportamento, non solo le email: Ogni attacco lascia tracce: nuove regole di inoltro, accessi da località insolite, "impossible travel" (login da due Paesi diversi in pochi minuti), richieste MFA ripetute non avviate dall'utente. L'analisi comportamentale e il rilevamento delle anomalie aiutano a far emergere questi segnali anche quando l'email sembra legittima.

Correlare le attività nell'ambiente: Un singolo login sospetto può passare inosservato, ma correlando identità, email ed endpoint si riconosce più facilmente un attacco attivo. Ad esempio: login da dispositivo fidato seguito da esecuzione di script insoliti, tentativi di accesso a sistemi mai usati prima, picchi improvvisi di email in uscita da account normalmente poco attivi. La correlazione automatica riduce i falsi positivi e accelera l'identificazione.

Rilevare prima, rispondere subito: Più rapido è il rilevamento, meno tempo ha l'attaccante per muoversi. È fondamentale segnalare e indagare automaticamente le attività sospette, isolare gli endpoint compromessi e disabilitare gli account violati prima che vengano sottratti altri dati.

Difesa moderna contro il phishing: cosa cambia

Gateway email tradizionaleDifesa phishing moderna
Blocca mittenti e link noti | Rileva attività sospette su identità, email ed endpoint
Si concentra sulle minacce prima della consegna | Continua il monitoraggio dopo la consegna
Si basa su firme note di phishing | Individua compromissioni, hijacking di sessione e movimenti laterali
Previene le email malevole | Rileva, contiene e risponde agli attacchi attivi

Cosa possono fare subito gli MSP

• Aggiornare la formazione sulla sicurezza: Simulare phishing realistici, simili a quelli generati oggi dall'AI, evitando template obsoleti e poco credibili.
• Verificare le richieste ad alto rischio: Richiedere sempre una conferma telefonica o su altro canale per bonifici, reset credenziali o cambi di pagamento, indipendentemente dall'apparente legittimità dell'email.
• Monitorare l'attività degli account dopo la consegna: Non fermarsi all'inbox, ma controllare regole di inoltro, accessi insoliti, "impossible travel" e richieste MFA anomale.
• Misurare il tempo di risposta: Valutare quanto tempo serve per rilevare e contenere una compromissione, non solo per risolvere il ticket. Una risposta rapida limita i danni quando (inevitabilmente) un'email malevola supera i filtri.

L'AI ha cambiato il phishing: anche la difesa deve evolvere

L'intelligenza artificiale ha trasformato il phishing da un problema di filtraggio a una sfida di rilevamento. Gli MSP che sapranno individuare e rispondere rapidamente agli attacchi potranno evitare che una casella compromessa si trasformi in una violazione estesa. Per approfondire le strategie più efficaci contro le minacce emergenti, il 2026 Kaseya Email Security Report offre dati aggiornati e consigli pratici per rafforzare la sicurezza email.

Articolo sponsorizzato e redatto da Kaseya.