Tattiche di phishing nel 2026: cosa osservare e come difenderti

Il panorama del phishing nel 2026

Il phishing non è più il semplice trucco di un link dannoso in un'email spam. Nel 2026 gli attaccanti mescolano tecnologie nuove con trucchi vecchi, rendendo più difficile distinguere un messaggio legittimo da una minaccia. L'obiettivo è sempre lo stesso: farti cliccare, copiare o scaricare qualcosa che dia all'attaccante un accesso.

Esche generate con l'AI

Una delle tendenze più recenti è l'uso di modelli linguistici di grandi dimensioni per scrivere email che sembrano scritte da un collega fidato o da un fornitore conosciuto. Questi messaggi possono riprodurre il tono abituale del mittente, la punteggiatura e persino le emoji che usa. Poiché il linguaggio suona familiare, il destinatario è più propenso a fidarsi del contenuto.

Domini sosia

Il typosquatting e lo spoofing di domini restano comuni. Gli attaccanti registrano nomi quasi identici a quelli dei marchi reali - - micros0ft-login.com

• gogle.com

Quando un utente clicca su un link che sembra una pagina di login familiare, l'attaccante può raccogliere credenziali o installare un modulo di phishing dall'aspetto reale. Il trucco è sottile; il dominio può differire di un solo carattere.

MFA fatigue

L'autenticazione a più fattori (MFA) resta una difesa solida, ma gli attaccanti sincronizzano le richieste per colpire gli utenti quando sono lontani dalla scrivania. Analizzando inviti al calendario o messaggi di stato, possono far comparire prompt MFA nei momenti in cui l'utente è più propenso ad approvare la richiesta senza riflettere. Questo fenomeno si chiama MFA fatigue.

Dirottamento delle catene di risposta

Una tecnica recente consiste nell'inserire un link dannoso nella firma di un'email legittima. Quando la vittima risponde, il link viaggia insieme al testo citato, quindi appare come parte della conversazione. Il link è nascosto dal corpo della nuova email e compare solo quando la discussione continua.

Trappole nascoste nelle email

Gli attaccanti nascondono link o file dannosi in diversi modi:

• Testo invisibile – un font bianco su sfondo bianco nasconde un secondo URL accanto a quello visibile.
• File con doppia estensione – nomi come invoice.pdf.exe sfruttano il fatto che gli utenti vedono solo la prima estensione.
• Pixel tracking – GIF 1x1 ospitate sul server email aziendale della vittima stessa fanno sembrare la richiesta interna.
• Subdomain takeover – GitHub Pages o bucket AWS S3 abbandonati vengono riconquistati e usati per ospitare pagine di phishing.
• Accorciatori di URL – gli accorciatori legittimi possono reindirizzare dopo un controllo di sicurezza, aggirando funzioni come Safe Links di Microsoft.

Difese pratiche

1. Verifica l'indirizzo del mittente – Cerca refusi sottili o suffissi di dominio insoliti.
2. Passa il mouse sopra i link – La maggior parte dei client email mostra l'URL di destinazione. Se differisce dal testo, non cliccare.
3. Usa un metodo secondario – Se un'email chiede dati sensibili, chiama l'organizzazione o usa un canale di contatto noto.
4. Tieni attiva la MFA – Anche se sospetti un MFA fatigue, la MFA aggiunge comunque un livello di protezione. Valuta l'uso di passkey o token FIDO2 che non dipendono dalle notifiche push.
5. Controlla le firme email – Un cambiamento improvviso nella firma o un link insolito può essere un segnale d'allarme.
6. Informarti sul testo invisibile – Alcuni client email permettono di attivare la visibilità del testo nascosto.
7. Attenzione ai file con doppia estensione – Molti sistemi operativi nascondono le estensioni note. Attiva l'opzione per mostrare tutte le estensioni.

Strumenti che possono aiutarti

ProtectMyMail è un plugin per browser che aggiunge crittografia end-to-end e mittenti verificati dal punto di vista crittografico alla casella che le persone usano già. Funziona con Gmail, Outlook e qualsiasi account IMAP, quindi non ti serve un nuovo indirizzo né una migrazione. Il plugin può aiutarti a capire se un'email proviene davvero dal mittente dichiarato e può segnalare link sospetti.

Anche se nessuno strumento può sostituire la vigilanza umana, un approccio a strati - ispezione attenta, MFA e un plugin di supporto - rende più difficile per gli attaccanti avere successo.

Resta informato

Le tattiche di phishing cambiano rapidamente. Segui blog sulla sicurezza, controlla gli aggiornamenti di sicurezza della tua organizzazione e mantieni il client email aggiornato. Più conosci gli ultimi trucchi, meglio puoi proteggerti.

In sintesi

Il phishing nel 2026 è più intelligente, ma è anche più visibile se sai cosa cercare. Restando attento al tono generato con l'AI, ai domini sosia, alla MFA fatigue, al dirottamento delle catene di risposta e alle trappole nascoste, puoi ridurre il rischio di cadere vittima di un attacco di phishing moderno.