L’intelligenza artificiale sta cambiando anche il modo in cui vengono progettati gli attacchi informatici. Email più credibili, messaggi personalizzati e campagne di social engineering più sofisticate rendono sempre più difficile affidarsi ai soli errori evidenti per riconoscere una minaccia. La difesa deve quindi evolvere: tecnologia, processi e consapevolezza delle persone devono lavorare insieme.
Immaginiamo di rientrare dalle ferie, la casella di posta è piena di messaggi: comunicazioni dei colleghi, richieste dei clienti, notifiche automatiche, documenti da verificare.
Tra queste email ce n’è una apparentemente normale, arriva da una persona che conosciamo, il tono è quello abituale, la richiesta è coerente con un’attività che effettivamente stiamo seguendo, non ci sono errori grammaticali evidenti e il messaggio non presenta i classici segnali che siamo abituati ad associare al phishing, eppure lo è.
Questo scenario è sempre meno difficile da costruire grazie all’evoluzione dell’intelligenza artificiale.
Il phishing è una delle tecniche di attacco più conosciute e continua a sfruttare un elemento fondamentale: la fiducia delle persone.
Tradizionalmente, molte campagne erano relativamente facili da riconoscere: messaggi scritti male, traduzioni automatiche, richieste generiche, indirizzi sospetti e link poco credibili potevano rappresentare segnali utili.
Oggi questi indicatori sono molto meno affidabili, l’intelligenza artificiale generativa può infatti aiutare a produrre contenuti più fluidi, coerenti e personalizzati, riducendo una delle debolezze storiche del phishing: la qualità del messaggio.
Il problema, quindi, non è che l’AI abbia inventato una nuova forma di phishing, è che può rendere più efficace una tecnica già esistente.
Cosa cambia con l’intelligenza artificiale?
L’AI può essere utilizzata per accelerare e automatizzare diverse fasi della preparazione di una campagna di social engineering, il malintenzionato può, ad esempio, utilizzare informazioni disponibili pubblicamente per costruire messaggi più contestualizzati e plausibili.
Il risultato può essere una comunicazione che contiene riferimenti a:
- persone e ruoli realmente presenti nell’organizzazione;
- progetti o attività aziendali;
- fornitori e clienti;
- eventi o scadenze;
- modalità di comunicazione interne;
- linguaggio e terminologia specifici dell’azienda.
La personalizzazione aumenta la probabilità che il destinatario consideri il messaggio credibile e la capacità dell’AI di generare rapidamente contenuti in lingue e stili differenti rende possibile adattare una stessa strategia a destinatari diversi.
Il problema non è più soltanto “l’email scritta male”
Per anni uno dei consigli più diffusi contro il phishing è stato: “Controlla se ci sono errori grammaticali.”
È ancora una buona pratica, ma non può più essere considerata una difesa sufficiente: un messaggio generato o perfezionato con strumenti di AI può essere perfettamente scritto: può avere una struttura professionale, utilizzare il tono corretto, può persino essere costruito per sembrare coerente con una conversazione già esistente.
Per questo la domanda dovrebbe cambiare.
Non:
“Questa email sembra scritta bene?”
Ma:
“Questa richiesta è coerente con ciò che normalmente questa persona mi chiederebbe?”
È una differenza importante.
La sicurezza si sposta dalla semplice analisi del testo alla valutazione del contesto e del comportamento.
Quando il phishing diventa social engineering
Il vero valore dell’AI per un attaccante non è necessariamente creare una singola email più convincente ma rendere più scalabile e personalizzato il social engineering.
L’obiettivo è portare la vittima a compiere un’azione:
- cliccare su un link;
- aprire un allegato;
- condividere una password;
- fornire informazioni riservate;
- autorizzare un accesso;
- effettuare un pagamento;
- modificare una procedura.
Il messaggio è soltanto il mezzo.
La vera vulnerabilità che l’attacco cerca di sfruttare è la fiducia.
Un esempio classico è il Business Email Compromise (BEC): un attaccante cerca di impersonare una figura aziendale, come un dirigente o un fornitore, per ottenere informazioni o spingere un dipendente a effettuare un’operazione.
In questi casi, anche una comunicazione perfettamente scritta non significa che la richiesta sia autentica.
Un esempio: “Puoi effettuare questo pagamento?”
Immaginiamo una situazione molto semplice: il responsabile amministrativo riceve una richiesta apparentemente proveniente dall’amministratore delegato.
Il messaggio contiene il nome corretto del progetto, utilizza il tono abituale e chiede di effettuare rapidamente un pagamento a un nuovo conto corrente, facendo sembrare la richiesta del tutto plausibile, ma c’è un problema: le coordinate bancarie sono state modificate dall’attaccante.
In questo scenario, sapere riconoscere una mail scritta male non serve, serve avere un processo: una procedura aziendale potrebbe prevedere, ad esempio, la verifica della richiesta attraverso un secondo canale prima di autorizzare modifiche alle coordinate bancarie o pagamenti particolarmente sensibili.
Questo è un punto fondamentale: la cybersecurity non può dipendere esclusivamente dalla capacità del singolo dipendente di riconoscere un attacco.
La difesa: persone, tecnologia e processi
Se gli attacchi diventano più credibili, anche la strategia di difesa deve evolvere, non esiste un singolo strumento capace di eliminare il rischio, la sicurezza deve essere costruita attraverso più livelli.
- Formazione e consapevolezza
Le persone devono sapere che un messaggio ben scritto non è necessariamente un messaggio autentico.
La formazione dovrebbe concentrarsi non soltanto sul riconoscimento delle email sospette, ma anche sui comportamenti da adottare quando una richiesta è anomala o particolarmente sensibile.
- Procedure di verifica
Le richieste che comportano pagamenti, modifica delle coordinate bancarie, accesso a dati sensibili o concessione di privilegi dovrebbero prevedere procedure di verifica indipendenti.
Un secondo canale di comunicazione può fare la differenza.
- Protezione delle identità
L’adozione di MFA (Multi-Factor Authentication) riduce il rischio che la compromissione di una singola password sia sufficiente per accedere a un sistema.
Ma anche le identità devono essere monitorate: un accesso legittimo effettuato da un account compromesso può essere molto più difficile da distinguere da un’attività normale.
- Sicurezza della posta elettronica
Filtri antispam, sistemi di rilevamento delle minacce, analisi degli allegati, protezione dei link e tecnologie di email security possono contribuire a bloccare o segnalare messaggi sospetti prima che raggiungano l’utente.
- Monitoraggio e risposta
Non tutti gli attacchi possono essere bloccati preventivamente.
Per questo è importante poter rilevare comportamenti anomali, comprendere rapidamente cosa è successo e intervenire prima che l’incidente produca conseguenze più gravi.
Cinque domande prima di cliccare
Quando una comunicazione sembra urgente o richiede un’azione particolare, fermarsi qualche secondo può essere sufficiente per evitare un errore.
Prima di cliccare, possiamo chiederci:
- Mi aspettavo questa richiesta?
- La persona che me la sta inviando avrebbe normalmente motivo di chiedermelo?
- Mi viene chiesto di effettuare un pagamento, condividere credenziali o accedere a un sistema?
- Posso verificare la richiesta attraverso un altro canale?
- C’è qualcosa di insolito nel comportamento richiesto, anche se il messaggio sembra perfettamente scritto?
Non sono domande complicate.
Ma introducono un passaggio fondamentale: non fidarsi soltanto dell’apparenza.
L’AI può essere anche parte della difesa
C’è però un altro lato della storia.
La stessa tecnologia che può essere utilizzata per rendere più sofisticati gli attacchi può essere utilizzata anche per migliorare le capacità di difesa.
L’intelligenza artificiale può supportare, ad esempio, l’analisi di grandi quantità di email ed eventi, l’identificazione di pattern anomali, la correlazione di segnali provenienti da sistemi diversi e l’individuazione di comportamenti che potrebbero indicare una compromissione.