Phishing nel 2026: come riconoscere le email truffa generate dall’AI

Il phishing resta il vettore di attacco più utilizzato al mondo, ma nel 2026 ha cambiato volto. L’adozione massiva di modelli di linguaggio generativo da parte dei gruppi criminali ha reso le email fraudolente grammaticalmente impeccabili, contestualmente coerenti e, in molti casi, indistinguibili da comunicazioni legittime. I dati dell’Operational Summary ACN relativi ai primi mesi del 2026 confermano una crescita significativa degli eventi cyber: +42% a gennaio e +94% a febbraio rispetto ai mesi precedenti, con il phishing che si conferma tra le minacce più rilevanti. Il Rapporto Clusit 2026 segnala inoltre un uso crescente dell’AI generativa da parte degli attaccanti per automatizzare e rendere più credibili le campagne di phishing.

Perché il phishing generato dall’AI è più pericoloso

Fino a pochi anni fa, una delle difese più efficaci contro il phishing era l’analisi linguistica: errori grammaticali, sintassi innaturale e formule generiche (“Gentile cliente”) erano segnali d’allarme immediati. I Large Language Model hanno eliminato quasi completamente queste imperfezioni. Gli attaccanti possono ora generare email perfettamente localizzate in italiano, con riferimenti specifici al settore della vittima, al suo ruolo aziendale e persino a eventi recenti.

Un secondo fattore di rischio è la scalabilità. Se prima un attaccante doveva comporre manualmente email personalizzate per attacchi di spear phishing, oggi può automatizzare la generazione di migliaia di messaggi unici, ciascuno calibrato sul destinatario. Questo abbassa drasticamente il costo per attacco e aumenta il volume complessivo delle campagne.

Le tecniche più diffuse nel 2026

Le campagne di phishing AI-driven osservate nel 2026 si distinguono per alcune caratteristiche ricorrenti che è utile conoscere per poterle intercettare.

• Clone phishing contestuale: l’attaccante replica una comunicazione reale (ad esempio una notifica di spedizione o una fattura) e la modifica con un payload malevolo, mantenendo formattazione, tono e riferimenti originali.
• Thread hijacking potenziato: inserimento di messaggi fraudolenti all’interno di thread email reali compromessi, con risposte generate dall’AI che mantengono coerenza con la conversazione precedente.
• Vishing con voce sintetica: phishing telefonico in cui la voce del chiamante è generata tramite modelli text-to-speech, simulando colleghi, superiori o fornitori. Questa tecnica viene spesso combinata con email preparatorie.
• QR code phishing (quishing): email che contengono codici QR al posto dei tradizionali link, rendendo più difficile l’analisi da parte dei filtri antispam tradizionali.
• Deepfake documentale: allegati PDF o immagini di documenti aziendali ricreati con AI generativa, utilizzati per dare credibilità alla richiesta contenuta nell’email.

Esempi concreti di campagne recenti

Nei primi mesi del 2026, il CSIRT Italia e l’Agenzia delle Entrate hanno segnalato diverse campagne di phishing che sfruttavano il nome dell’Agenzia stessa per ingannare le vittime. A febbraio 2026 è stata rilevata una campagna a tema rimborsi IRPEF, mentre a marzo sono emerse campagne finalizzate al furto di credenziali SPID, con email che utilizzavano impropriamente i loghi di Agenzia delle Entrate, SPID e AgID. Il CSIRT Italia ha inoltre pubblicato avvisi relativi a campagne di phishing nel settore delle spedizioni e della logistica, con email in italiano che simulavano notifiche di mancata consegna di pacchi. La qualità dei testi rende queste comunicazioni sempre più difficili da distinguere da quelle legittime.

Un altro caso significativo ha riguardato campagne BEC (Business Email Compromise) rivolte a PMI italiane, in cui gli attaccanti hanno utilizzato modelli generativi per replicare lo stile di scrittura di amministratori delegati, richiedendo bonifici urgenti verso conti esteri. Le email erano prive di qualsiasi errore e contenevano riferimenti a riunioni e progetti reali, probabilmente ottenuti tramite precedenti compromissioni di caselle email.

Come riconoscere un’email di phishing nel 2026

Se la qualità linguistica non è più un indicatore affidabile, su cosa concentrare l’attenzione? Esistono ancora diversi elementi che permettono di identificare un tentativo di phishing, anche quando il testo è generato dall’AI.

1. Verificare il dominio del mittente: non il nome visualizzato, ma l’indirizzo email effettivo. Domini con variazioni minime (aruba-servizi.com invece di aruba.it) sono un segnale chiaro.
2. Analizzare gli header dell’email: controllare i campi SPF, DKIM e DMARC. Un’email legittima da un’organizzazione strutturata dovrebbe superare tutti e tre i controlli.
3. Diffidare dell’urgenza: le email di phishing creano quasi sempre un senso di urgenza (“entro 24 ore”, “azione immediata richiesta”). Le comunicazioni ufficiali raramente impongono scadenze così stringenti via email.
4. Non cliccare, passare il cursore: posizionare il mouse sui link senza cliccare per verificare l’URL di destinazione. Se l’URL non corrisponde al dominio dichiarato, non procedere.
5. Verificare su canale alternativo: se un’email chiede un’azione sensibile (pagamento, credenziali, download), verificare la richiesta tramite un canale diverso: una telefonata al numero ufficiale, un messaggio diretto, una verifica di persona.
6. Controllare la coerenza dei metadati: data di invio, fuso orario, firma email, disclaimer legali. Spesso gli attaccanti trascurano questi dettagli.

Cosa fare se si è caduti nella trappola

Se avete cliccato su un link sospetto, inserito credenziali in un sito fraudolento o aperto un allegato potenzialmente malevolo, è fondamentale agire rapidamente e con metodo.

• Disconnettere il dispositivo dalla rete per limitare un’eventuale esfiltrazione di dati o movimento laterale.
• Cambiare immediatamente le credenziali dell’account compromesso e di tutti gli account che condividono la stessa password.
• Attivare l’autenticazione a due fattori (MFA) su tutti i servizi che la supportano, se non già attiva.
• Segnalare l’incidente al responsabile IT e, se applicabile, al DPO aziendale. Per le PA e i soggetti NIS2, la segnalazione al CSIRT Italia è obbligatoria entro le tempistiche previste.
• Conservare le evidenze: non cancellare l’email, salvare screenshot, annotare data e ora dell’evento. Queste informazioni saranno fondamentali per l’analisi forense.

Strategie di difesa per le organizzazioni

La difesa contro il phishing AI-driven richiede un approccio multilivello che combini tecnologia, processi e formazione.

• Email gateway con analisi AI: adottare soluzioni di email security che utilizzino a loro volta modelli di machine learning per identificare pattern anomali, anche in assenza di firme note.
• Formazione continua: le simulazioni di phishing periodiche restano efficaci, ma devono essere aggiornate per includere scenari AI-generated. Il personale deve essere formato sui nuovi indicatori di compromissione.
• Policy di verifica per operazioni sensibili: qualsiasi richiesta di pagamento, modifica di coordinate bancarie o condivisione di dati riservati deve seguire un processo di verifica su canale separato.
• Implementazione DMARC in modalità reject: configurare correttamente SPF, DKIM e DMARC per il proprio dominio riduce significativamente la possibilità che venga utilizzato per campagne di spoofing.
• Zero Trust per l’accesso: limitare i privilegi, segmentare la rete, richiedere autenticazione forte. Se un attacco di phishing riesce, l’impatto deve essere contenuto.

Conclusione

Il phishing nel 2026 non è più un problema di grammatica, ma di ingegneria sociale potenziata dall’intelligenza artificiale. La consapevolezza resta la prima linea di difesa, ma deve essere supportata da strumenti tecnologici adeguati e da processi organizzativi solidi. La domanda non è se la vostra organizzazione riceverà un’email di phishing sofisticata, ma quando. Prepararsi oggi significa ridurre drasticamente l’impatto di un attacco domani.