Reuters ha recentemente pubblicato un esperimento congiunto con Harvard, in cui ha chiesto a popolari chatbot AI come Grok, ChatGPT, DeepSeek e altri di creare la “perfetta email di phishing” Le email generate sono state poi inviate a 108 volontari, l’11% dei quali ha cliccato sui link malevoli.
Con un semplice suggerimento, i ricercatori si sono armati di messaggi altamente persuasivi in grado di ingannare persone reali. L’esperimento dovrebbe servire come un severo controllo della realtà. Per quanto il phishing sia stato dirompente nel corso degli anni, l’intelligenza artificiale lo sta trasformando in una minaccia più veloce, più economica e più efficace.
Per il 2026, il rilevamento del phishing tramite intelligenza artificiale deve diventare una priorità assoluta per le aziende che vogliono essere più sicure in un ambiente di minacce sempre più complesso.
L’emergere dell’AI phishing come minaccia principale
Un fattore importante è l’ascesa del Phishing-as-a-Service (PhaaS). Piattaforme del dark web come Lighthouse e Lucid offrono kit in abbonamento che consentono a criminali poco qualificati di lanciare campagne sofisticate.
Secondorecenti rapporti, questi servizi hanno generato più di 17.500 domini di phishing in 74 paesi, prendendo di mira centinaia di marchi globali. In soli 30 secondi, i criminali possono creare portali di login clonati per servizi come Okta, Google o Microsoft, praticamente identici a quelli reali. Con l’infrastruttura di phishing ora disponibile su richiesta, le barriere all’ingresso per la criminalità informatica sono quasi inesistenti.
Allo stesso tempo, gli strumenti di intelligenza artificiale generativa consentono ai criminali di creare email di phishing convincenti e personalizzate in pochi secondi. Le email non sono spam generico. Grazie allo scraping di dati da LinkedIn, siti web o violazioni passate, gli strumenti di AI creano messaggi che rispecchiano il contesto aziendale reale, invogliando i dipendenti più attenti a cliccare.
La tecnologia sta anche alimentando un boom di deepfake phishing audio e video. Negli ultimi dieci anni, gli attacchi legati al deepfake sono aumentati del 1.000%. I criminali di solito impersonano amministratori delegati, familiari e colleghi fidati su canali di comunicazione come Zoom, WhatsApp e Teams.
Le difese tradizionali non funzionano
Il rilevamento basato sulle firme utilizzato dai filtri e-mail tradizionali è insufficiente contro il phishing alimentato dall’intelligenza artificiale. Gli attori delle minacce possono facilmente ruotare la loro infrastruttura, includendo domini, oggetti e altre varianti uniche che sfuggono alle misure di sicurezza statiche.
Una volta che il phish arriva nella casella di posta, spetta al dipendente decidere se fidarsi o meno. Purtroppo, visto quanto sono convincenti le odierne email di phishing con l’intelligenza artificiale, è probabile che anche un dipendente ben addestrato possa commettere un errore. Il controllo a campione della cattiva grammatica è un ricordo del passato.
Inoltre, la sofisticazione delle campagne di phishing potrebbe non essere la minaccia principale. Ciò che preoccupa di più è la portata degli attacchi. I criminali possono lanciare migliaia di nuovi domini e siti clonati in poche ore. Anche se un’ondata viene abbattuta, un’altra la sostituisce rapidamente, garantendo un flusso costante di nuove minacce.
È una tempesta perfetta di AI che richiede un approccio più strategico per essere affrontata. Ciò che funzionava contro i rozzi tentativi di phishing di ieri non è all’altezza della scala e della sofisticazione delle campagne moderne.
Strategie chiave per il rilevamento del phishing da parte dell’intelligenza artificiale
Come consigliano spesso gli esperti di cybersecurity e gli enti governativi, la cosa migliore è adottare un approccio a più livelli per tutta la cybersecurity, compreso il rilevamento degli attacchi di phishing AI.
La prima linea di difesa è una migliore analisi delle minacce. Piuttosto che filtri statici che si basano su informazioni potenzialmente obsolete sulle minacce, i modelli NLP addestrati su modelli di comunicazione legittimi possono cogliere sottili deviazioni nel tono, nella formulazione o nella struttura che un umano addestrato potrebbe non notare.
Ma nessuna automazione può sostituire il valore della consapevolezza della sicurezza da parte dei dipendenti. È molto probabile che alcune email di AI phishing finiscano nella casella di posta elettronica, quindi per individuarle è necessario avere una forza lavoro ben addestrata.
Esistono molti metodi di formazione sulla sicurezza. La formazione basata sulla simulazione è la più efficace, perché permette ai dipendenti di prepararsi all’aspetto reale dell’AI phishing. Le moderne simulazioni vanno oltre la semplice formazione “individua il refuso”. Rispecchiano campagne reali legate al ruolo dell’utente, in modo che i dipendenti siano preparati all’esatto tipo di attacchi che è più probabile che subiscano.
L’obiettivo non è quello di mettere alla prova i dipendenti, ma di creare una memoria muscolare in modo che la segnalazione di attività sospette venga naturale.
L’ultimo livello di difesa è l’UEBA (User and Entity Behaviour Analytics), che garantisce che un tentativo di phishing riuscito non sfoci in una compromissione su larga scala. I sistemi UEBA rilevano le attività insolite degli utenti o del sistema per avvisare i difensori di una potenziale intrusione. Di solito si tratta di un avviso, magari relativo a un accesso da una posizione inaspettata o a modifiche insolite della casella di posta elettronica che non sono in linea con i criteri IT.
Conclusione
L’intelligenza artificiale sta avanzando e scalando il phishing a livelli che possono facilmente sopraffare o aggirare le difese tradizionali. In vista del 2026, le organizzazioni devono dare priorità al rilevamento guidato dall’intelligenza artificiale, al monitoraggio continuo e alla formazione con simulazioni realistiche.
Il successo dipenderà dalla combinazione di tecnologia avanzata e prontezza umana. Quelle che riusciranno a trovare questo equilibrio saranno ben posizionate per essere più resilienti quando gli attacchi di phishing continueranno a evolversi con l’intelligenza artificiale.
Fonte dell’immagine: Unsplash
