E-mail di phishing generate dall'IA: come verificare le e-mail scritte dall'IA prima di fidarsi

L'intelligenza artificiale ha reso incredibilmente facile creare e-mail che sembrano curate, persuasive e scritte da una persona in carne e ossa. La maggior parte di esse è autentica. Alcune invece non lo sono – e le email di phishing basate sull’IA hanno silenziosamente eliminato quell’indizio che la maggior parte delle persone era stata addestrata a individuare.

Per anni, i corsi di formazione sulla sicurezza informatica hanno insegnato ai dipendenti a prestare attenzione a errori grammaticali, formulazioni insolite e formattazioni strane. Quel consiglio non è più valido. Un hacker che utilizza un modello linguistico è in grado di generare, in circa quattro secondi, un messaggio che sembra provenire dal vostro direttore finanziario, in qualsiasi lingua e in qualsiasi quantità.

Quindi, giudicare un’e-mail in base alla qualità della scrittura non è più un metodo valido. Ciò che funziona ancora è verificare due cose: cosa viene richiesto nel messaggio e se il mittente è effettivamente chi dice di essere.

Perché gli attacchi di phishing basati sull'intelligenza artificiale sono più difficili da individuare

Le tradizionali e-mail di phishing si sono tradite da sole. Traduzioni goffe, nomi di marchi scritti male, formattazione che andava a rotoli a metà del messaggio. Questi erano gli indizi che i team di sicurezza insegnavano a riconoscere e, per molto tempo, hanno funzionato abbastanza bene.

L’intelligenza artificiale le ha eliminate. Ha inoltre fornito agli aggressori tre capacità che prima non possedevano su larga scala.

Controllo del tono. Lo stesso strumento può scrivere nei panni di una banca, di un fornitore SaaS, di un coordinatore delle risorse umane o di un collega seduto due scrivanie più in là, adattando il registro e il vocabolario a ciascuno di essi.

Padronanza di ogni lingua. Le aree che in precedenza erano protette dalla barriera linguistica – poiché gli hacker semplicemente non erano in grado di scrivere in modo convincente in giapponese, polacco o finlandese – ora non lo sono più.

Personalizzazione su larga scala. Estrarre dati da un profilo LinkedIn, dal blog aziendale e da un comunicato stampa, per poi generare un messaggio che faccia riferimento a tutti e tre, era un tempo un lavoro manuale riservato a target di alto valore. Ora è un’operazione in batch. Il risultato sembra meno uno spam e più uno spear phishing – diffuso con la portata dello spam.

Phishing basato sull'intelligenza artificiale vs. phishing tradizionale

Quell'ultima riga rappresenta l'intero turno. Il segnale affidabile si è spostato dal contenuto all'origine.

La scrittura professionale non è garanzia di autenticità

Una buona scrittura riflette la qualità della lingua. Non dice nulla riguardo all’intento.

Un’e-mail di phishing generata dall’intelligenza artificiale può essere grammaticalmente perfetta, strutturata in modo logico, con un’immagine aziendale corretta e firmata con un blocco di firma realistico – eppure rappresentare comunque un tentativo di trasferire denaro su un conto sbagliato. Gli autori degli attacchi fanno leva proprio su questo: loghi familiari, richieste plausibili e il presupposto che ciò che sembra provenire da un’azienda sia effettivamente un’azienda.

Una richiesta di reimpostazione della password, di approvazione di una fattura o di conferma delle coordinate bancarie può sembrare del tutto normale, pur provenendo da un dominio che non ha nulla a che vedere con il proprio fornitore. È proprio questa apparenza a costituire la superficie di attacco.

Dove compaiono effettivamente le e-mail di phishing basate sull'intelligenza artificiale

Tre modelli spiegano la maggior parte dei fenomeni osservati dalle organizzazioni.

Compromissione delle e-mail aziendali e frodi nei pagamenti. Un messaggio che sembra provenire da un fornitore comunica nuove coordinate bancarie in vista della prossima fattura. Il messaggio riporta il contratto corretto, il nome del referente corretto e il ciclo di pagamento corretto. L’intelligenza artificiale rende il tono e i dettagli convincenti; la frode in sé rimane invariata.

Falsificazione dell'identità di fornitori e partner. Gli hacker non hanno più bisogno di compromettere il tuo dominio se riescono a imitarne uno di cui ti fidi. Un dominio simile con un carattere sostituito, abbinato a un testo scritto in modo fluido, è sufficiente per avviare una conversazione.

Raccolta di credenziali tramite e-mail di notifica convincenti. Avvisi di scadenza delle password, notifiche relative a documenti condivisi, richieste di re-registrazione per l'autenticazione a più fattori (MFA). Questi messaggi sono sempre esistiti; ciò che è cambiato è che ora sono talmente simili a quelli autentici che l'unica differenza rimasta è passare il mouse sul link.

Si sta delineando un quarto schema: un’e-mail redatta dall’intelligenza artificiale utilizzata come prima mossa in un attacco multicanale, seguita da una telefonata o da un messaggio vocale per aumentare la pressione. Se un’e-mail e una telefonata arrivano contemporaneamente per sollecitare la stessa richiesta urgente, quella combinazione è di per sé un segnale di allarme.

Come capire se un’e-mail è stata generata dall’intelligenza artificiale

Non c’è un unico indizio. Ma questi segnali, soprattutto se considerati nel loro insieme, meritano di essere presi in considerazione.

Linguaggio generico

L'intelligenza artificiale colma le lacune con contenuti di riempimento plausibili. Saluti generici, riferimenti vaghi alla “tua attività recente”, spiegazioni che potrebbero valere per qualsiasi cliente di qualsiasi azienda.

Urgenza artificiale

Scadenze, sospensioni degli account, “azione richiesta entro 24 ore”. L’urgenza di per sé non dimostra il coinvolgimento dell’IA, ma l’urgenza unita a una persuasione ben congegnata è una combinazione che merita di essere esaminata.

Manca il contesto personale

Le vere e-mail aziendali contengono informazioni storiche: il nome di un progetto, una conversazione precedente, un numero di fattura che corrisponde ai tuoi registri. Le e-mail di phishing generate dall’intelligenza artificiale sembrano convincenti, ma raramente contengono informazioni che solo il vero mittente potrebbe conoscere. Questo è il test più utile in assoluto: chiediti cosa sa questo messaggio che uno sconosciuto, utilizzando un motore di ricerca, non saprebbe.

Un tono innaturalmente uniforme

Molte e-mail legittime sono scritte bene. Solo pochissime sono uniformemente rifinita in modo uniforme dall’oggetto alla chiusura, senza espressioni colloquiali, abbreviazioni o tocchi personali. La perfezione può essere un segnale.

Piccole incongruenze

Nome visualizzato e indirizzo non corrispondenti. Una firma con una qualifica professionale errata. Un saluto che riporta il tuo nome completo, quando questa persona ti chiama per nome da tre anni. Istruzioni in contrasto con il modo in cui questo fornitore ti ha sempre fatturato. I dettagli che non tornano contano più del tono.

Una richiesta che non rispetta la procedura stabilita

Il segnale più evidente non è affatto di natura linguistica. I soggetti legittimi seguono le proprie procedure. Un messaggio che ti chiede di aggirarne una – approvare al di fuori del sistema, effettuare un pagamento su un nuovo conto senza documentazione, inviare un file al di fuori del canale abituale – è sospetto, indipendentemente da quanto sia ben scritto.

Come verificare un’e-mail scritta dall’intelligenza artificiale: sette passaggi

Combinare diversi metodi. Nessun controllo è sufficiente da solo.

1. Leggi l'indirizzo completo del mittente, non il nome visualizzato. I nomi visualizzati sono testo libero e possono essere facilmente falsificati. Espandi l'indirizzo e verifica che il dominio sia esattamente corretto, senza caratteri invertiti, trattini aggiuntivi o TLD diversi.
2. Controlla le intestazioni. Le intestazioni mostrano il percorso effettivo di invio e i risultati dell'autenticazione. Un strumento di analisi delle intestazioni e-mail ti dirà se il messaggio ha superato i controlli SPF e DKIM e se corrisponde al dominio indicato nell'indirizzo "Da" – che è la questione fondamentale.
3. Verifica il messaggio con uno strumento di controllo. Un strumento di verifica delle email di phishing valuta il messaggio nel suo complesso anziché un singolo attributo alla volta, il che è utile quando il tuo istinto ti dice che c'è qualcosa che non va ma non riesci a capire cosa.
4. Controlla i link prima di cliccarci sopra. Passa il mouse sopra per vedere la destinazione reale. Se un link di phishing , il testo visibile e l’URL effettivo non corrisponderanno. In caso di dubbio, verifica il link tramite un strumento di verifica dei link di phishing anziché aprirlo.
5. Considera gli allegati inaspettati come potenzialmente pericolosi fino a prova contraria. In particolare, tutto ciò che richiede di essere aperto immediatamente e tutto ciò che arriva accompagnato da una fattura o da un avviso di consegna che non ti aspettavi.
6. Conferma le richieste sensibili tramite un secondo canale. Modifiche ai pagamenti, richieste di credenziali e approvazioni urgenti vengono confermate tramite una telefonata a un numero già in vostro possesso, non a quello riportato nella firma dell’e-mail. Questa semplice abitudine è sufficiente a sventare la maggior parte degli attacchi di tipo Business Email Compromise, siano essi assistiti dall’intelligenza artificiale o meno.
7. Utilizza un rilevatore di IA come indicatore di supporto. Uno strumento di rilevamento dell’IA come quello di Copyleaks può indicare se è probabile che il testo sia stato generato da una macchina. Consideralo come uno dei tanti indizi, non come un verdetto definitivo. Anche i mittenti legittimi utilizzano l'IA per redigere le e-mail e i rilevatori producono risultati errati in entrambi i sensi.

Perché l'autenticazione delle e-mail è più importante che mai

I destinatari possono giudicare solo ciò che hanno davanti. L'autenticazione è ciò che consente ai server destinatari di prendere una decisione prima ancora che un essere umano veda il messaggio – ed è il livello su cui il testo generato dall'intelligenza artificiale non può influire.

SPF (Sender Policy Framework) consente al proprietario di un dominio di rendere noto quali server di posta sono autorizzati a inviare messaggi per suo conto, in modo che i destinatari possano identificare i mittenti non autorizzati.

DKIM (DomainKeys Identified Mail) appone una firma crittografica alla posta in uscita, consentendo ai destinatari di verificare che il messaggio non sia stato alterato durante il trasferimento e che provenga effettivamente da una fonte autorizzata.

DMARC (Domain-based Message Authentication, Reporting, and Conformance) si sovrappone a entrambi. Indica ai server di ricezione come gestire i messaggi che non superano l'autenticazione e fornisce rapporti che mostrano chi sta inviando messaggi a nome del proprio dominio. Scegliere la giusta politica DMARC – e arrivare infine all’applicazione delle regole anziché rimanere indefinitamente in modalità di monitoraggio – è ciò che trasforma quei controlli in una protezione effettiva.

Se non sei sicuro di quale sia lo stato del tuo dominio, un strumento di verifica dei record DMARC richiede circa dieci secondi, e la lettura dei tuoi report DMARC ti mostrerà quali servizi stanno inviando messaggi a tuo nome in questo momento. Se la posta non viene recapitata e non sai perché, inizia con capire perché il DMARC fallisce prima di allentare la politica.

Nessuna di queste analisi verifica se un’e-mail sia stata scritta da un’intelligenza artificiale. È proprio questo il punto. Verifica che il mittente sia chi dice di essere: una domanda ben più utile, alla quale nemmeno la prosa più fluida può rispondere.

Cosa dovrebbero cambiare le organizzazioni

La vigilanza individuale non è scalabile. Quattro cambiamenti, invece, sì.

Aggiornare la formazione sulla sensibilizzazione. Qualsiasi modulo che continui a insegnare a «cercare errori ortografici» sta attivamente fuorviando il personale. Sostituire gli indizi basati sul contenuto con quelli basati sul processo: verificare il mittente, verificare la richiesta, verificare tramite un secondo canale.

Pubblicare una procedura di verifica e renderla obbligatoria. Le modifiche alle coordinate bancarie, i nuovi beneficiari e le richieste di credenziali dovrebbero seguire un unico percorso documentato con un unico passaggio di conferma obbligatorio. Quando la procedura è messa per iscritto, un’e-mail in cui si chiede a qualcuno di aggirarla risulta palesemente errata, anziché semplicemente insolita.

Assicurati che il tuo dominio sia protetto. Ogni dominio di cui sei proprietario, compresi i domini parcheggiati e i sottodomini che non inviano mai e-mail, dovrebbe essere autenticato e coperto da una politica DMARC. I domini non protetti sono un facile bersaglio per l'usurpazione d'identità, e gli hacker preferiscono proprio quelli che nessuno tiene d'occhio.

Rendere la segnalazione semplice e priva di implicazioni negative. Il valore di una segnalazione di email sospetta diminuisce drasticamente con il passare del tempo. Se la segnalazione richiede tre clic o comporta un minimo di imbarazzo, il personale tenderà a cancellare l’email anziché inoltrarla. Se qualcuno dovesse cliccare, la risposta deve essere di contenimento – reimpostare le credenziali, verificare le regole di inoltro, avvisare l’ufficio finanziario se sono stati coinvolti dati di pagamento – e non una ricerca di chi sia stato il responsabile.

Conclusione: prendete l’abitudine di verificare

L'intelligenza artificiale continuerà a migliorare nella stesura delle e-mail. Ciò significa che la verifica dovrà essere articolata su più livelli, anziché basarsi su un unico indizio, e che il fatto che un messaggio “sembri professionale” non dovrà più essere considerato un motivo per fidarsi di esso.

L’abitudine che vale la pena acquisire è semplice: leggere il messaggio per comprenderne il contesto, verificare il mittente per accertarne l’autenticità, confermare qualsiasi elemento inaspettato su un canale scelto personalmente e assicurarsi che il proprio dominio sia autenticato, in modo che il proprio nome non venga utilizzato senza autorizzazione. Un rilevatore basato sull’intelligenza artificiale può fornire ulteriori indicazioni utili, e insieme a un’autenticazione forte e al giudizio umano costituisce una difesa efficace contro moderni attacchi di phishing.

Se si considera la sicurezza delle e-mail come un insieme di controlli tecnici e verifiche mirate, l’effetto ingannevole di un’e-mail di phishing generata dall’intelligenza artificiale smette di essere persuasivo.

FAQ

Cosa sono le e-mail di phishing basate sull’IA? Le e-mail di phishing basate sull'IA sono messaggi fraudolenti redatti o perfezionati da strumenti di IA generativa. Poiché il modello linguistico produce testi fluidi e ben strutturati, queste e-mail non presentano gli errori grammaticali e ortografici che tradizionalmente smascheravano i tentativi di phishing e possono essere personalizzate per imitare un marchio, un ruolo o uno stile di scrittura specifici.

Come si fa a capire se un'e-mail è generata dall'intelligenza artificiale? Presta attenzione a un linguaggio generico, alla mancanza di contesto personale, a un’urgenza artificiosa, a un tono innaturalmente uniforme, a piccole incongruenze nei fatti e a qualsiasi richiesta che ti inviti a bypassare una procedura consolidata. Nessuno di questi elementi è di per sé determinante: prima di prendere una decisione, abbinali alla verifica del mittente e dell’intestazione e, facoltativamente, all’uso di un rilevatore di IA.

SPF, DKIM e DMARC possono fermare le e-mail di phishing generate dall’intelligenza artificiale? Impediscono agli autori degli attacchi di inviare email che sembrano provenire esattamente dal vostro dominio, eliminando così la forma più convincente di furto d’identità. Tuttavia, non bloccano i domini simili né gli account di terze parti compromessi; pertanto, l’autenticazione deve affiancare le buone pratiche di verifica degli utenti e la protezione degli endpoint, non sostituirle.

I rilevatori basati sull'intelligenza artificiale sono affidabili per controllare le e-mail? Costituiscono un indicatore di supporto, non una prova. I rilevatori producono sia falsi positivi che falsi negativi, e i mittenti legittimi utilizzano sempre più spesso l'intelligenza artificiale per redigere le e-mail. L'autenticazione del mittente è il metodo di verifica più affidabile.

Cosa fare se hai già risposto a un'e-mail di phishing generata dall'IA? Agisci innanzitutto per contenere il danno. Modifica tutte le credenziali inserite o condivise, controlla la casella di posta per verificare la presenza di regole di inoltro o filtri non autorizzati, informa il tuo team di sicurezza e avvisa immediatamente l’ufficio finanziario se sono stati discussi dettagli relativi a pagamenti. Se è stato effettuato un pagamento, contatta la banca lo stesso giorno: i tempi per recuperare i fondi sono brevi.

• Informazioni su
• Ultimi messaggi

Ahona Rudra

Esperto di sicurezza dei domini e della posta elettronica presso PowerDMARC

Ahona è la Marketing Manager di PowerDMARC, con oltre 5 anni di esperienza nella scrittura di argomenti di cybersecurity, specializzata in sicurezza dei domini e delle e-mail. Ahona ha conseguito una laurea in Giornalismo e Comunicazione, consolidando la sua carriera nel settore della sicurezza dal 2019.

Ultimi messaggi di Ahona Rudra (vedi tutti)

• Email di phishing generate dall'IA: come verificare le email scritte dall'IA prima di fidarsene - 31 agosto 2026
• Il “debito di sicurezza delle e-mail”: l’indicatore di sicurezza informatica che nessuno misura - 31 agosto 2026
• PowerDMARC nominata leader nel settore dei software DMARC per il 13° trimestre consecutivo - 28 agosto 2026