Un bonifico urgente richiesto dall’amministratore, una fattura apparentemente inviata da un fornitore abituale, un avviso Microsoft 365 che invita a reimpostare la password: il phishing non arriva quasi mai con un messaggio palesemente sospetto. Arriva quando le persone hanno poco tempo, molte priorità e una richiesta che sembra credibile. Capire come prevenire phishing in azienda significa quindi proteggere non solo le caselle email, ma i processi con cui l’impresa autorizza pagamenti, gestisce credenziali e condivide informazioni.

Per una PMI, un singolo clic può tradursi in posta compromessa, frodi sui pagamenti, blocco delle attività, esposizione di dati personali o perdita di fiducia da parte di clienti e fornitori. La prevenzione efficace non dipende da un unico software: richiede regole semplici, tecnologia configurata correttamente e un presidio operativo che funzioni anche nei momenti di maggiore pressione.

Perché il phishing colpisce le PMI

I criminali informatici scelgono spesso le piccole e medie imprese perché possono trovare difese meno strutturate e procedure informali. Non serve violare un server con tecniche sofisticate se è possibile convincere un collaboratore a inserire la password su una pagina falsa o a modificare un IBAN dopo un’email contraffatta.

Le campagne moderne sono sempre più mirate. Analizzano sito web, social network, nominativi dei responsabili e rapporti commerciali per simulare comunicazioni coerenti con il contesto aziendale. L’intelligenza artificiale ha inoltre ridotto errori grammaticali e messaggi maldestri che in passato rendevano la truffa più riconoscibile.

Il rischio maggiore è il cosiddetto Business Email Compromise: un account reale, oppure un indirizzo molto simile a quello reale, viene usato per richiedere pagamenti, documenti riservati o variazioni di coordinate bancarie. In questi casi l’antivirus da solo non basta. Occorre impedire che una richiesta via email diventi automaticamente un’istruzione esecutiva.

Come prevenire phishing in azienda partendo dai processi

La prima misura è definire quali richieste non possono essere approvate soltanto via posta elettronica. Una modifica dell’IBAN di un fornitore, un bonifico non previsto, l’invio di documenti fiscali o del personale e la condivisione di accessi amministrativi devono sempre prevedere una verifica alternativa.

La regola operativa più efficace è semplice: per le operazioni sensibili, confermare attraverso un canale già noto e indipendente dall’email ricevuta. Si chiama il referente al numero presente in anagrafica, non quello riportato nel messaggio. Se la richiesta arriva via Teams, WhatsApp o telefono, si segue comunque il flusso di autorizzazione stabilito. Cambiare canale è utile solo se si usa un contatto verificato.

Questa disciplina può sembrare lenta, ma il costo di una verifica di due minuti è irrilevante rispetto a una frode bancaria o a una violazione di dati. Nelle aziende più piccole, dove una stessa persona segue amministrazione, clienti e fornitori, la separazione dei compiti non è sempre possibile. In quel caso è ancora più importante introdurre una seconda approvazione almeno per soglie di importo, nuovi beneficiari e modifiche alle coordinate di pagamento.

Rendere le regole facili da applicare

Le procedure devono essere brevi, scritte e conosciute da chi opera. Un documento di venti pagine che nessuno consulta non protegge l’azienda. Meglio indicare chiaramente chi può autorizzare un pagamento, quando è obbligatorio richiamare il referente e come segnalare un’email sospetta.

È utile stabilire anche cosa non fare: non inoltrare messaggi sospetti a colleghi senza avvisarli, non rispondere per chiedere conferma al mittente potenzialmente falso, non aprire allegati inattesi e non inserire credenziali dopo aver seguito un link ricevuto via email. Per l’accesso ai servizi cloud, è preferibile digitare l’indirizzo del portale o usare un segnalibro aziendale.

Formazione: trasformare le persone in un controllo attivo

La formazione contro il phishing non dovrebbe ridursi a un corso annuale. Le minacce cambiano e le persone dimenticano. Sessioni brevi e periodiche, basate su esempi vicini alla realtà aziendale, aiutano molto di più di spiegazioni esclusivamente teoriche.

Un collaboratore deve saper riconoscere alcuni segnali ricorrenti: urgenza insolita, richiesta di riservatezza, modifiche improvvise alle coordinate di pagamento, domini simili ma non identici, link che portano a pagine di login inattese e allegati che non erano stati concordati. Nessun singolo segnale prova da solo che si tratti di una truffa. È la combinazione di anomalia, contesto e richiesta ad alzare il livello di attenzione.

Le simulazioni controllate di phishing possono essere utili, purché non diventino uno strumento punitivo. L’obiettivo è capire dove i processi e le abitudini sono fragili, non mettere in difficoltà i dipendenti. Se una simulazione evidenzia molti clic su un falso avviso di posta piena, l’azienda ha un’indicazione concreta su cui intervenire con formazione e configurazioni migliori.

Un buon programma di sensibilizzazione include quattro elementi:

• esempi aggiornati di messaggi che riguardano fatture, corrieri, banche e piattaforme cloud;
• istruzioni chiare per segnalare rapidamente un dubbio al referente IT;
• richiami brevi durante l’anno, soprattutto dopo campagne sospette ricevute dall’azienda;
• simulazioni periodiche con risultati analizzati per reparto, ruolo e tipologia di rischio.

Segnalare un messaggio sospetto deve essere semplice e privo di giudizio. La persona che chiede aiuto prima di cliccare sta già contribuendo alla sicurezza e alla continuità operativa.

Le difese tecniche che riducono l’esposizione

Le procedure e la formazione diventano più efficaci quando sono sostenute da una corretta configurazione dell’ambiente IT. Un filtro antispam evoluto può bloccare molte email malevole, analizzare link e allegati, e segnalare tentativi di impersonificazione. Tuttavia, nessun filtro intercetta il 100% delle minacce, soprattutto quando il messaggio proviene da un account legittimo compromesso.

L’autenticazione a più fattori deve essere attiva per posta elettronica, servizi cloud, VPN, gestionali e pannelli amministrativi. È una misura ad alto impatto perché una password rubata da sola non consente normalmente l’accesso. Quando possibile, app di autenticazione o chiavi di sicurezza offrono maggiori garanzie rispetto al solo SMS. Anche qui esiste un limite: se un utente approva distrattamente una richiesta MFA fraudolenta, l’attaccante può entrare. Per questo servono formazione e controlli sugli accessi.

La protezione della posta in uscita è altrettanto rilevante. I protocolli SPF, DKIM e DMARC aiutano i destinatari a verificare che le email inviate con il dominio aziendale siano autentiche e riducono le possibilità di impersonificazione. La loro configurazione richiede attenzione, perché un’impostazione errata può causare problemi di consegna per newsletter, software gestionali o fornitori che inviano comunicazioni a nome dell’azienda. Va quindi pianificata, monitorata e gestita con competenza.

Completano il quadro backup verificati, aggiornamenti regolari di sistemi e applicazioni, antivirus o soluzioni EDR sui dispositivi, privilegi di amministrazione limitati e monitoraggio degli accessi anomali. Non sono misure separate: lavorano insieme per contenere l’impatto se una credenziale viene sottratta o un allegato riesce a superare le difese iniziali.

Cosa fare se un dipendente ha cliccato

La rapidità conta più della ricerca del colpevole. Se una persona ha inserito credenziali su una pagina sospetta, aperto un allegato o autorizzato una notifica inattesa, deve contattare subito il supporto IT. Prima si interviene, maggiori sono le possibilità di interrompere l’accesso abusivo e limitare le conseguenze.

Le azioni dipendono dall’evento, ma includono normalmente il cambio immediato della password, la revoca delle sessioni attive, il controllo delle regole di inoltro automatico della posta, la verifica degli accessi e l’analisi del dispositivo coinvolto. Se è stato disposto un pagamento, occorre avvisare senza ritardi banca, amministrazione e responsabili autorizzativi. Se sono coinvolti dati personali, vanno valutati anche gli adempimenti previsti dalla normativa privacy.

È essenziale conservare il messaggio, gli indirizzi coinvolti, l’orario e ogni elemento utile all’analisi. Cancellare tutto per paura o imbarazzo può rallentare la risposta. Un piano di gestione dell’incidente, con ruoli e contatti già definiti, evita che nelle prime ore si perdano tempo e informazioni decisive.

Un presidio continuo, non un controllo occasionale

La prevenzione del phishing funziona quando entra nella normale gestione aziendale: onboarding dei nuovi dipendenti, verifica periodica degli account, revisione dei permessi, controllo delle configurazioni email e aggiornamento delle procedure amministrative. Le aziende cambiano fornitori, persone e strumenti digitali: anche le difese devono evolvere.

Per molte PMI affidare questo presidio a un partner IT permette di mantenere controllo e competenze senza sovraccaricare l’organizzazione interna. Consulenza IT affianca le imprese nella protezione dell’intero ecosistema digitale, dalla posta professionale ai dispositivi, fino alle procedure che salvaguardano operatività e dati.

La domanda utile non è se arriverà un’email fraudolenta, perché arriverà. La domanda è se l’azienda saprà riconoscerla, fermarla e reagire con metodo prima che diventi un problema per clienti, persone e continuità produttiva.