Phishing nella C-Suite: come i dirigenti diventano la falla nella sicurezza

Cosa cambia l'IA negli attacchi

IBM ha rilevato che gli attacchi guidati dall'IA rappresentano ora più di una violazione dolosa su quattro, con un aumento del 56% rispetto all'anno precedente, aggiungendo circa 1 milione di dollari al costo medio di una violazione. I dati di Hoxhunt mostrano quanto rapidamente sia avvenuto il cambiamento: le email di phishing generate dall'IA si sono attestate sull'1-4% di tutte le minacce segnalate fino a dicembre 2025, quando sono balzate al 56%, per poi stabilizzarsi al 40% nel gennaio 2026. I messaggi che un tempo si tradivano con frasi goffe ora arrivano personalizzati, contestualmente accurati e difficili da distinguere dalla corrispondenza legittima.

Anche la voce è diventata un canale altrettanto critico. Gli strumenti di clonazione vocale, liberamente disponibili, richiedono solo un breve campione audio, come un messaggio di segreteria telefonica o una clip tratta da una conferenza, per produrre un'imitazione convincente di un alto dirigente. I dati del 2026 di IBM quantificano questo fenomeno: le violazioni iniziate tramite phishing vocale o via SMS hanno registrato il costo medio più elevato tra tutti i punti di ingresso, pari a 5,29 milioni di dollari. Il callback phishing, in cui un'e-mail spinge il destinatario a chiamare un numero controllato dall'attaccante, estende la stessa tattica, e Hoxhunt riporta che il 27% delle e-mail di callback analizzate impersonava fornitori di servizi finanziari.

Il phishing tramite codice QR sposta l'attacco interamente al di fuori del computer aziendale. Un codice incorporato in un'e-mail o in un PDF reindirizza la vittima verso un browser mobile, dove l'ispezione degli URL è meno efficace e i gateway di posta elettronica aziendali hanno una visibilità limitata.

I deepfake video sono già passati dalla teoria a perdite documentate. All'inizio del 2024, un dipendente dell'ufficio finanziario della società di ingegneria Arup a Hong Kong ha trasferito circa 25,6 milioni di dollari (200 milioni di HK$) dopo una videochiamata in cui il CFO e diversi colleghi si sono rivelati essere dei deepfake. Il caso è istruttivo per i consigli di amministrazione, poiché il dipendente aveva inizialmente sospettato che la richiesta fosse un tentativo di phishing, ed è stata proprio la videochiamata a fugare ogni dubbio.

I dirigenti che operano sotto costante urgenza e con un elevato volume di informazioni rimangono particolarmente vulnerabili a tattiche basate sulla fiducia e sull'autorità. Il consiglio tradizionale di cercare errori di ortografia non è più valido, poiché il phishing generato dall'IA è grammaticalmente corretto, consapevole del contesto e personalizzato per il destinatario.

Quanto costa un attacco riuscito

I costi delle violazioni stanno tornando a salire dopo un breve calo. Il rapporto 2026 di IBM fissa il costo medio globale di una violazione dei dati a un livello record di 4,99 milioni di dollari, con un aumento del 12% su base annua, mentre la media statunitense ha raggiunto gli 11,5 milioni di dollari. Per i settori regolamentati la tendenza è ancora più marcata: la violazione media nei servizi finanziari è costata 6,29 milioni di dollari, rispetto ai 5,56 milioni dell'anno precedente, posizionando il settore subito dopo quello sanitario, che rimane il più costoso con 6,64 milioni di dollari. IBM segnala inoltre che il tempo medio per identificare e contenere una violazione è salito a 247 giorni, il primo aumento in cinque anni, un dato rilevante poiché la durata è uno dei principali fattori che determinano il costo totale.

La compromissione delle e-mail aziendali (BEC) rimane l'indicatore più chiaro del costo delle frodi mirate ai dirigenti. L'Internet Crime Report 2025 dell'FBI, pubblicato nell'aprile 2026, ha registrato 24.768 reclami per BEC con perdite segnalate di circa 3,05 miliardi di dollari, in aumento rispetto ai 2,77 miliardi del 2024. Lo stesso rapporto ha tracciato per la prima volta i reclami legati all'IA come categoria separata, registrando circa 22.000 reclami e 893 milioni di dollari di perdite. Entrambe le cifre coprono solo gli incidenti segnalati all'FBI, pertanto le perdite reali sono quasi certamente superiori.

Il ransomware continua a seguire il phishing come porta d'accesso. IBM ha rilevato che gli incidenti ransomware sono aumentati rispetto all'anno precedente e che gli aggressori si stanno orientando verso l'estorsione a più livelli: il 41% delle organizzazioni colpite ha segnalato minacce alla reputazione del proprio marchio, la tattica di pressione più comune emersa dallo studio.

Queste cifre riflettono solo i costi diretti. L'impatto complessivo include anche i tempi di inattività operativa, gli sforzi di ripristino, il danno reputazionale, la perdita di clienti e le potenziali conseguenze normative ai sensi di NIS2, DORA, la Legge federale svizzera sulla protezione dei dati rivista o altri regimi nazionali.

Come costruire la resilienza

Le seguenti misure rendono notevolmente più difficile l'esecuzione di frodi ai danni del CEO, spear-phishing e whaling.

1. Formazione e simulazioni specifiche per il ruolo dei dirigenti. La formazione generica annuale sulla consapevolezza non prepara i leader agli attacchi che devono effettivamente affrontare. I programmi efficaci utilizzano simulazioni realistiche di chiamate deepfake, esche di richiamo, phishing tramite codici QR e scenari BEC, erogate frequentemente e in piccole dosi che riflettono le reali responsabilità di ciascun dirigente.
2. Contrastare la trappola dell'eccessiva sicurezza. La convinzione di saper riconoscere con certezza un'email di phishing è di per sé una vulnerabilità, che tende a essere più marcata tra il personale senior. I risultati misurati delle simulazioni, comunicati in modo trasparente al team di leadership, aiutano a colmare il divario tra la suscettibilità percepita e quella reale.
3. Controlli tecnici basati sul comportamento. L'analisi del comportamento di utenti ed entità (UEBA) può segnalare anomalie negli account dei dirigenti, mentre gli strumenti di rilevamento post-consegna che analizzano il comportamento anziché le firme statiche sono più adatti a contrastare i messaggi generati dall'IA che superano i filtri perimetrali. Il rapporto 2026 di IBM ha rilevato che le organizzazioni che fanno ampio uso di IA e automazione per la sicurezza hanno ridotto i costi medi delle violazioni di 1,93 milioni di dollari e accorciato il ciclo di vita delle violazioni di 65 giorni.
4. Salvaguardie più forti specifiche per il BEC. Richiedere un'autenticazione a più fattori resistente al phishing, come passkey o chiavi di sicurezza hardware, per gli account dei dirigenti e del settore finanziario. Rendere obbligatoria la verifica fuori banda, come una richiamata a un numero già in archivio, per ogni bonifico o modifica ai dettagli di pagamento, ed estendere la stessa regola alle richieste effettuate tramite video o voce.
5. Supervisione a livello di consiglio di amministrazione. Il rischio informatico deve rientrare nell'agenda di governance al pari del rischio finanziario e operativo. Quando il team esecutivo segue visibilmente le stesse regole di verifica richieste al personale, tali regole diventano molto più facili da far rispettare in tutta l'organizzazione.
6. Audit esterni e allineamento alla conformità. Valutazioni indipendenti regolari e l'allineamento a NIS2, DORA o ai quadri normativi nazionali applicabili sono ormai un requisito di base per i settori regolamentati. Queste misure riducono l'esposizione normativa e forniscono le prove documentali sempre più richieste da revisori, autorità di regolamentazione e assicuratori informatici.
7. Preparazione al ransomware invece del pagamento del riscatto. Investire nella pianificazione della risposta agli incidenti, in backup testati e segmentati, in assicurazioni informatiche e in procedure di ripristino documentate. La velocità di ripristino, più della volontà di pagare, determina il costo totale di un incidente.