Come difendersi da ogni tipo di attacco di phishing

Nel settore IT nessuna parola genera più timore – o rabbia – di “phishing”. E non c’è da stupirsi. Il phishing, del resto, è andato ben oltre le email sospette che promettono vincite alla lotteria o il principe straniero che chiede aiuto finanziario.

Le tecniche di phishing moderne passano per email, SMS, telefonate, social media, spear phishing e perfino codici QR e, purtroppo, diventano sempre più difficili da riconoscere sia per gli utenti sia per i filtri. Per i managed service provider (MSP) la sfida non è solo sapere quali tipi di phishing esistono, ma trasformare quella conoscenza in difese ripetibili e misurabili, applicabili su larga scala a tutti i clienti.

La domanda, a questo punto, è: cosa possiamo fare per la prevenzione degli attacchi di phishing? In breve: associa ogni tipo di attacco a controlli specifici di autenticazione email, identità ed endpoint, forma gli utenti a verificare e segnalare e standardizza un runbook di risposta da riutilizzare con ogni cliente. In questa guida ti aiutiamo a trasformare la consapevolezza del phishing in un piano d’azione concreto per la prevenzione.

Prerequisiti:

Prima di attivare i controlli, assicurati che i tuoi clienti rispettino questi requisiti minimi, tecnici e di processo:

1. Allineamento di DMARC, SPF e DKIM: autenticano i mittenti legittimi e bloccano lo spoofing diretto del dominio. L’obiettivo è arrivare a p=reject una volta che i record sono correttamente allineati.

Cosa significa “p=reject” in DMARC

DMARC (Domain-based Message Authentication, Reporting & Conformance) aiuta i server di posta a verificare se i messaggi che dichiarano di provenire dal tuo dominio sono legittimi.

Include un tag di policy (p) che indica ai destinatari cosa fare quando l’autenticazione fallisce:

• • p=none: i messaggi vengono recapitati, ma vengono inviati report per l’analisi.
  • p=quarantine: i messaggi che non superano DMARC finiscono nella posta indesiderata o in quarantena.
  • p=reject: i messaggi che non superano DMARC vengono bloccati del tutto e mai recapitati.

Altri elementi da prevedere:

• Funzionalità di sicurezza della posta: implementa la riscrittura degli URL o la protezione al momento del clic, il sandboxing degli allegati e il blocco predefinito delle macro nei documenti Office.
• MFA e accesso condizionale: imponi l’autenticazione a più fattori su tutti gli account e applica criteri di accesso condizionale più rigidi per dirigenti e personale dell’area finanziaria.
• Piattaforma di awareness e simulazione: organizza formazione periodica sulla sicurezza o simulazioni di phishing mensili e rendi semplice la segnalazione con un pulsante o un add-in per la posta attivabile con un clic.
• Modelli di ticket per le indagini: la raccolta standardizzata delle prove (intestazioni, URL, note del message trace) permette al tuo team di lavorare più in fretta e in modo più coerente.
• Monitoraggio delle regole di posta e delle autorizzazioni OAuth: crea avvisi o script di remediation automatizzata per i consensi applicativi malevoli.

Ripasso veloce: i tipi di attacchi di phishing

Prima di parlare di difese, ripassiamo con cosa hai a che fare. Ecco una rapida panoramica dei tipi di phishing più comuni che un MSP deve saper riconoscere:

Per una panoramica visiva veloce, guarda la nostra video guida Come difendersi da ogni tipo di attacco di phishing.

Rendere operativa la prevenzione degli attacchi di phishing

Passaggio 1: associa ogni variante a controlli specifici

Ogni tipo di phishing colpisce un punto debole diverso: la fiducia, l’identità o i processi. Abbinando a ciascuna variante misure di protezione chiare, tecniche e umane, un MSP può ridurre sensibilmente il rischio e rendere la prevenzione più ripetibile.

Spear phishing e whaling

I messaggi mirati a dirigenti o a personale strategico sembrano spesso del tutto legittimi, tranne per un dettaglio decisivo.

Come prevenire spear phishing e whaling:

• Applica DMARC, SPF e DKIM sui domini dei clienti per bloccare lo spoofing diretto.
• Attiva le etichette per i mittenti esterni e il rilevamento dei tentativi di impersonificazione dei VIP.
• Richiedi un’MFA resistente al phishing e applica criteri di accesso condizionale che segnalino accessi o posizioni insoliti.
• Verifica le regole delle caselle di posta ogni settimana e genera un avviso per ogni modifica nuova o sospetta.
• Aggiungi un passaggio di verifica telefonica di richiamo per le richieste sensibili.

Importante: fai attenzione alle email dei “dirigenti” inviate fuori orario, alle richieste di riservatezza o alle istruzioni di pagamento improvvise che saltano il processo abituale.

Suggerimento: gli account dei dirigenti richiedono un’MFA più rigida, limitazioni geografiche e scansioni periodiche delle regole di posta.

Clone phishing e furto di credenziali

Gli aggressori copiano un’email reale, per esempio una fattura o una comunicazione interna, e sostituiscono i link o gli allegati con versioni malevole.

Come prevenire clone phishing e furto di credenziali:

• Usa la scansione degli URL al momento del clic e il sandboxing degli allegati per intercettare i payload a scoppio ritardato.
• Blocca i file Office con macro e le estensioni ad alto rischio (per esempio .js, .exe).
• Insegna agli utenti ad aprire i link importanti dai portali salvati nei preferiti, non dalle email.
• Applica policy sui file sicuri e script di blocco delle macro tramite il tuo RMM o la tua piattaforma di gestione degli endpoint.

Importante: fai attenzione alle email identiche a quelle legittime ma con piccole variazioni nel dominio del mittente o con allegati inattesi.

Suggerimento: aggiungi una regola di flusso di posta che segnali qualsiasi messaggio che ricalca un’email legittima inviata di recente ma proviene dall’esterno del tenant. In questo modo i tentativi di “clonazione” vengono intercettati prima ancora che gli utenti li vedano.

Business Email Compromise (BEC) e frodi ai danni dei fornitori

Queste truffe inducono i team finanziari a effettuare bonifici o a modificare le coordinate bancarie.

Come prevenire BEC e frodi ai danni dei fornitori:

• Richiedi una doppia approvazione e una verifica telefonica di richiamo per ogni pagamento o aggiornamento bancario.
• Mantieni elenchi di fornitori autorizzati e segnala per la revisione i record nuovi o modificati.
• Metti in quarantena i messaggi con spoofing del dominio o del nome visualizzato tramite domini simili.
• Genera avvisi sulle regole di posta che nascondono o inoltrano le comunicazioni finanziarie.

Importante: fai attenzione alle richieste di “aggiornare subito le coordinate bancarie”, soprattutto se arrivano da nuovi indirizzi o da domini molto simili a quelli reali.

Suggerimento per gli MSP: prepara una semplice checklist di “verifica vocale” per i team finanziari.

Smishing e vishing

Gli aggressori usano SMS o telefonate per creare urgenza e sottrarre credenziali.

Come prevenire smishing e vishing:

• Insegna agli utenti a ignorare i contatti indicati in messaggi o telefonate e a usare invece i numeri aziendali ufficiali.
• Distribuisci un’MFA con corrispondenza numerica (per esempio Microsoft Authenticator) per evitare le approvazioni dovute alla “push fatigue”.
• Metti a disposizione un canale di segnalazione chiaro o una hotline per chiamate e messaggi sospetti.
• Esegui simulazioni telefoniche e via SMS ogni trimestre.

Importante: fai attenzione alle chiamate del “supporto” che dicono di arrivare dall’IT o dai fornitori e chiedono agli utenti di verificare i codici MFA.

Suggerimento: distribuisci policy di gestione dei dispositivi mobili (MDM) che blocchino le app di messaggistica installate da fonti esterne e registrino i link SMS aperti sui dispositivi gestiti. Così ottieni visibilità sui comportamenti rischiosi e un modo rapido per lanciare avvisi o isolare gli endpoint compromessi.

Phishing tramite codici QR (quishing)

I codici QR su poster, fatture o email possono nascondere link per il furto di credenziali.

Come prevenire il quishing:

• Tratta ogni codice QR come un URL sconosciuto.
• Disattiva gli accessi automatici tramite QR sui dispositivi condivisi o in modalità chiosco.
• Richiedi una nuova autenticazione MFA per le azioni ad alto rischio avviate dalla scansione di un QR.
• Blocca le landing page QR malevole già note e genera avvisi sui flussi di accesso insoliti.
• Includi simulazioni di phishing con codici QR nella formazione sulla sicurezza.

Importante: fai attenzione ai codici QR che compaiono in fatture, email o materiali stampati inattesi e portano a pagine di accesso.

Suggerimento: invita il personale a visualizzare l’anteprima della destinazione di un QR prima di effettuare la scansione.

Angler phishing e phishing sui social

Account falsi di assistenza clienti o di brand sulle piattaforme social si spacciano per organizzazioni legittime per raccogliere informazioni.

Come prevenire angler phishing e phishing sui social:

• Usa servizi di brand monitoring e di rimozione dei profili fraudolenti per individuare gli account che imitano i tuoi.
• Limita l’uso delle credenziali aziendali per gli accessi SSO ai social media.
• Forma il personale a verificare gli account ufficiali e i badge di verifica prima di interagire.
• Applica controlli DLP agli account di gestione dei social media.
• Proteggi i team a contatto con il pubblico con un’MFA solida e policy di sessione restrittive.

Importante: fai attenzione ai messaggi diretti di assistenza da account che “sembrano verificati” ed evitano del tutto l’email aziendale.

Suggerimento: imposta avvisi di brand monitoring sui social media e automatizza le richieste di rimozione all’interno del tuo processo di incident response. Integra questi avvisi nel tuo helpdesk o nel SIEM, così il team può reagire rapidamente quando compaiono account falsi ed evitare che i clienti interagiscano con chi li impersona.

Consigli di implementazione per gli MSP

• Standardizza per prima cosa: definisci una base comune (applicazione di DMARC, MFA, filtraggio degli URL) valida per tutti i clienti.
• Aggiungi i livelli gradualmente: quando le fondamenta sono uniformi, aggiungi il rilevamento delle impersonificazioni e il monitoraggio delle regole di posta.
• Automatizza i controlli: usa NinjaOne o il tuo RMM per individuare nuove regole di posta, concessioni OAuth rischiose o impostazioni delle macro non approvate.
• Rivedi ogni trimestre: aggiorna la tua matrice dei controlli man mano che emergono nuove tendenze del phishing.

Passaggio 2: forma comportamenti che cambiano i risultati

La differenza tra un piccolo spavento e una violazione grave sta quasi sempre nel comportamento degli utenti o, più semplicemente, in cosa succede quando qualcuno individua (o clicca) un messaggio sospetto.

Verifica su un altro canale

Insegna agli utenti una regola semplice: “Verifica prima di eseguire.” Se un messaggio riguarda denaro, credenziali o dati sensibili, conferma la richiesta su un altro canale – una telefonata diretta o un portale noto – prima di agire.

• Usa esercitazioni basate su scenari (per esempio una fattura falsa o il reset di una credenziale).
• Metti a disposizione elenchi di rapida consultazione con i numeri di richiamo verificati.
• Ribadisci che nessuna email “urgente” può scavalcare la regola della verifica telefonica.

Controlla prima di cliccare

Invita gli utenti a rallentare e a mettere in dubbio ciò che vedono. Gli aggressori contano sulla fretta e sulla distrazione.

• Insegna loro a passare il cursore (o a tenere premuto) per vedere l’anteprima degli URL prima di cliccare.
• Spiega l’aspetto tipico dei domini sospetti, invitando alla massima attenzione verso errori di battitura o estensioni insolite.
• Parla anche dei codici QR: invita gli utenti a scansionare solo materiali affidabili, non email o poster casuali.

Organizza brevi “micro-lezioni” settimanali o mensili che mostrino un esempio visivo alla volta.

Segnala e non interagire

Rendi la segnalazione semplice e istintiva. Prima gli utenti segnalano, prima puoi contenere la minaccia.

• Aggiungi un pulsante “Segnala phishing” nei client di posta.
• Ribadisci la regola “segnala ed elimina”. Mai inoltrare messaggi sospetti.
• Dai riconoscimento ai dipendenti che segnalano minacce reali, per rendere l’abitudine la norma.

Proteggi le richieste MFA

Oggi gli aggressori prendono di mira l’MFA stessa, con attacchi di affaticamento o finte chiamate del supporto.

• Insegna agli utenti a rifiutare qualsiasi richiesta MFA che non hanno avviato loro.
• Spiega che il personale IT legittimo non chiederà mai i codici MFA per telefono o in chat.
• Mostra l’MFA con corrispondenza numerica, così gli utenti sanno com’è fatta una richiesta legittima.

Incoraggia i clienti ad adottare un’MFA resistente al phishing (come le chiavi FIDO2) per gli account privilegiati e quelli dell’area finanziaria.

Usa portali e preferiti

Invita gli utenti ad accedere ai sistemi critici, come quello per le buste paga, tramite preferiti o portali ufficiali anziché dai link nelle email.

• Ribadisci che i servizi legittimi non richiedono mai di cliccare su un link per effettuare l’accesso.
• Usa promemoria mensili o esercitazioni simulate per consolidare il comportamento.
• Abbina questa abitudine a policy sul completamento automatico del browser e sui password manager, per non perdere in praticità.

Passaggio 3: standardizza un runbook di risposta scalabile

Un runbook chiaro e ripetibile elimina supposizioni e improvvisazione: restano solo contenimento rapido e documentazione.

La tua risposta al phishing in sintesi

Triage: raccogli prima le prove

Quando arriva una segnalazione di phishing, conserva tutto prima di eliminare qualsiasi cosa. Salva le intestazioni complete, gli URL e gli allegati, poi classifica la variante (per esempio spear, clone, BEC e così via). Una raccolta coerente delle prove rende indagini e reporting più rapidi su tutti i tenant e aiuta ad addestrare i tuoi strumenti di rilevamento.

Contenimento: interrompi l’accesso

Revoca immediatamente sessioni o token attivi, reimposta le password, rimuovi le regole di posta malevole e disattiva le concessioni OAuth rischiose. Metti in quarantena le email simili ancora presenti nelle caselle degli utenti, per fermare la diffusione prima che altri clicchino.

Ricerca: cerca le minacce correlate

Usa il message trace per trovare altre copie o oggetti simili, controlla i log di accesso e di audit alla ricerca di attività insolite ed elimina i messaggi o i file residui legati all’incidente. Questa fase conferma se la minaccia è stata contenuta o se è ancora attiva.

Notifica: comunica in modo chiaro

Informa gli utenti coinvolti e la dirigenza su cosa è successo, cosa è stato fatto e cosa fare adesso. Se si sospetta un’esposizione di dati o un impatto finanziario, coinvolgi subito il referente finanziario o legale del cliente. Mantieni le comunicazioni brevi e concrete all’interno del tuo team MSP.

Miglioramento: riporta le lezioni apprese nella prevenzione

Blocca i nuovi domini malevoli individuati, aggiungi regole aggiornate ai filtri e inserisci quello stile di esca nelle future simulazioni di phishing. Registra metriche come tempo di segnalazione, tempo di contenimento e tempo di remediation per mostrare i progressi durante le revisioni con i clienti.

Passaggio 4: mantieni metriche adeguate

Misurare i risultati trasforma la difesa dal phishing da esercizio a intuito a programma misurabile.

Per gli MSP, le metriche sono la prova che gli sforzi di prevenzione e risposta funzionano. Sono una risorsa preziosissima, che ti consente di mostrare ai clienti il tuo framework di difesa dal phishing in modo immediato.

Metriche di risultato: comportamento di utenti e processi

Concentrati su come si comportano le persone e i flussi di lavoro di fronte ai tentativi di phishing.

Metriche di controllo: stato di salute tecnico

Mostrano quanto bene funzionano i tuoi controlli preventivi dietro le quinte.

Frequenza e revisioni del programma

Rivedi queste metriche ogni mese con ciascun cliente e organizza un’esercitazione teorica trimestrale per provare il runbook di risposta. Tendenze che mostrano tassi di fallimento in calo e tassi di segnalazione in crescita sono la prova che comportamenti degli utenti e controlli lavorano insieme.

Suggerimento (per gli MSP): automatizza la raccolta dei dati ovunque sia possibile. Gli script NinjaOne possono registrare in modo automatico le modifiche alle regole di posta, le revoche delle concessioni OAuth o le statistiche di allineamento DMARC, alimentando le dashboard con dati in tempo reale e facendo risparmiare agli analisti ore ogni mese.

Come NinjaOne aiuta a prevenire gli attacchi di phishing

NinjaOne permette agli MSP di trasformare questo framework di prevenzione del phishing in operatività quotidiana grazie all’automazione.

• Distribuzione di policy e script: attiva controlli sulle regole di posta, impostazioni per link sicuri e macro e add-in per la segnalazione da parte degli utenti su tutti i tenant dei clienti da un’unica console.
• Rilevamento e gestione dei ticket: genera avvisi automatici su regole di posta sospette o concessioni OAuth rischiose, aprendo poi ticket con le prove raccolte per un triage più rapido.
• Supporto a simulazioni e awareness: pianifica promemoria periodici per le simulazioni di phishing e monitora i tassi di segnalazione per gruppi di utenti o dispositivi, per misurare l’efficacia della formazione.
• Reporting e dashboard: genera dashboard per singolo cliente che mostrano l’andamento di tasso di fallimento e tasso di segnalazione, i progressi nell’allineamento DMARC e le metriche di tempo di remediation.

Difendersi da ogni tipo di attacco di phishing

Questa guida ti aiuta a costruire un framework solido di difesa dal phishing, ma il suo valore sta nell’implementazione costante. Ti consigliamo vivamente di associare ogni tipo di phishing a controlli specifici e di consolidare le abitudini degli utenti con una formazione regolare. Così la prevenzione diventa parte integrante della tua cultura della sicurezza.

Argomenti correlati:

• Come creare un framework di formazione sulla consapevolezza della cybersecurity indipendente dal cliente per gli MSP
• Rilevare e gestire il furto di credenziali negli ambienti Microsoft 365
• 10 best practice per la sicurezza dei server di posta che devi conoscere