Che cos’è l’angler phishing? Tattiche, esempi e come proteggersi (2026)
di
Ultimo aggiornamento: 8 Tempo di lettura: 8 minuti
I social media sono stati creati per favorire la conversazione in tempo reale, e gli hacker lo sanno bene. Gli attacchi di phishing di tipo “Angler” sfruttano proprio questa rapidità, intercettando i reclami o le richieste dei tuoi clienti pochi minuti dopo la pubblicazione di un post, spacciandosi per il tuo team di assistenza.
Negli Stati Uniti, la FTC ha segnalato 1,9 miliardi di dollari di perdite dovute a truffe originate dai social media nel 2024, un aumento di quasi dieci volte rispetto alle perdite registrate nel 2019. L’“angler phishing” è uno dei vettori in più rapida crescita all’interno di tale cifra. A differenza degli attacchi di phishing tradizionali che rimangono nelle caselle di posta elettronica, l’“angler phishing” vive e si nutre delle piattaforme su cui il vostro marchio ha già una presenza pubblica, come X (Twitter), Facebook, Instagram e LinkedIn. La superficie di attacco è la vostra stessa reputazione.
Questa guida illustra in dettaglio il funzionamento del phishing di tipo “angler”, le tattiche utilizzate dagli autori degli attacchi nel periodo 2025–2026, esempi concreti e le misure di difesa a livello tecnico e umano che consentono di bloccarlo alla fonte.
I punti chiave da prendere in considerazione
- Il phishing "Angler" è un attacco tipico dei social media in cui i criminali informatici si spacciano per account del servizio clienti per intercettare reclami, rubare credenziali e installare malware.
- Gli autori degli attacchi sfruttano la natura immediata e pubblica dei social media per raggiungere le vittime prima che lo faccia il marchio vero e proprio, dando vita a una corsa contro il tempo tra i criminali e il team di assistenza ufficiale.
- Ricorrono a toni urgenti, account falsi e marchi simili a quelli originali per abbassare la guardia delle vittime nel giro di pochi secondi dalla pubblicazione di una denuncia pubblica.
- Gli strumenti basati sull'intelligenza artificiale del 2026 consentono ora agli hacker di clonare il tono di voce, imitare lo stile di scrittura e generare su larga scala profili social convincenti, rendendo le campagne di phishing di tipo "angler" molto più difficili da individuare.
- Tra le tattiche più comuni figurano l’usurpazione dell’identità del servizio clienti, i messaggi diretti che sfruttano il senso di urgenza, le truffe relative al recupero dell’account e la creazione di profili simili a quelli autentici.
- L'autenticazione delle e-mail a livello di marchio (DMARC, SPF, DKIM) elimina l'infrastruttura di spoofing su cui fanno affidamento gli aggressori quando portano avanti tentativi di phishing di tipo "angler" tramite e-mail, interrompendo la catena di attacco prima che si verifichino perdite finanziarie.
- Una strategia di difesa che combini aspetti tecnici e culturali — protocolli di autenticazione, formazione del personale e sensibilizzazione dei clienti — rappresenta la risposta minima necessaria nel 2026.
Che cos’è l’angler phishing?
Il phishing "Angler" è un tipo di attacco di ingegneria sociale in cui i criminali informatici creano profili falsi di assistenza clienti sulle piattaforme social per intercettare i reclami dei clienti reali. L'autore dell'attacco, o "angler", lancia l'esca rispondendo ai post pubblici prima che possa farlo il marchio legittimo, indirizzando le vittime verso link fraudolenti o portali di assistenza falsi, oppure indurle a rivelare informazioni sensibili relative al proprio account tramite messaggi diretti.
| Attributo | Dettaglio |
|---|---|
| Tipo di attacco | Sottotipo di ingegneria sociale / phishing |
| Piattaforma principale | X (Twitter), Facebook, Instagram, LinkedIn; ovunque i clienti pubblichino contenuti pubblicamente |
| Vettore di attacco | Account falso dell'assistenza clienti + messaggi diretti / link dannoso |
| Obiettivo primario | Furto di credenziali, diffusione di malware, frodi finanziarie, appropriazione indebita di account |
| Perché “angler”? | L'autore dell'attacco va a caccia delle vittime proprio nel momento in cui queste si fanno vedere, catturandole quando sono più frustrate e indifese |
| Si differenzia dal phishing standard | Il phishing standard è di tipo “push” (e-mail di massa). Il phishing “Angler” è invece di tipo “pull”, in cui è la denuncia pubblica della vittima a fungere da fattore scatenante. |
Come funziona un attacco di phishing anglosassone?
Un attacco di phishing di tipo “angler” si articola in cinque fasi: il cybercriminale individua innanzitutto le potenziali vittime, intercetta le catene di comunicazione spacciandosi per qualcun altro e poi inizia a manipolare il cliente affinché condivida informazioni, credenziali o apra link dannosi. Nelle ultime due fasi, l’autore dell’attacco sfrutta il successo del tentativo di phishing per scopi illeciti, come il BEC o il furto di identità. Comprendere questo ciclo di vita è il primo passo per difendersi da questo tipo di attacco.
| Fase | Azione dell'attaccante | Cosa prova la vittima |
|---|---|---|
| 1. Monitor | Imposta avvisi basati su parole chiave per il marchio di riferimento + espressioni relative a reclami | Il cliente pubblica un reclamo pubblico taggando il marchio |
| 2. Intercettazione | L'account falso risponde in pochi secondi, prima ancora che il marchio vero riesca a rispondere | La vittima vede un messaggio proveniente da quello che sembra essere l'account ufficiale dell'assistenza del marchio |
| 3. Manipolare | Crea un senso di urgenza, passa ai messaggi privati, richiede informazioni sensibili o invia un link dannoso | Grata per il rapido aiuto ricevuto, la vittima segue le istruzioni convinta di ricevere un’assistenza legittima |
| 4. Raccolta | Estrazione di credenziali, dati dell'account o dettagli di pagamento; installazione di malware tramite portali di assistenza fasulli | La vittima si rende conto che qualcosa non va, ma di solito solo dopo che le credenziali o i fondi sono già stati compromessi |
| 5. Segnalare il problema ai livelli superiori | Credenziali rubate utilizzate per furti d'identità, BEC o vendute sul dark web | L'organizzazione rischia di subire danni alla reputazione, costi di assistenza e rischi normativi |
Il momento cruciale è la fase 2. Le vittime sono emotivamente predisposte, frustrate o alla ricerca di una risposta, e la prima risposta utile che ricevono viene percepita come un sollievo. La rapidità di intervento è l’arma principale del predatore.
Quali sono le diverse tipologie di tattiche di phishing utilizzate dagli “angler”?
Le strategie di attacco si sono evolute in modo significativo. Nel 2026 è fondamentale comprendere cinque tattiche attualmente in uso, che comprendono l’usurpazione dell’identità del servizio clienti, le notifiche urgenti, l’assistenza per il recupero dell’account, l’usurpazione dell’identità tramite deepfake basati sull’intelligenza artificiale e la clonazione di dirigenti.
1. Usurpazione dell'identità del servizio clienti
La tattica più comune. Gli hacker creano un account sui social media utilizzando il logo e la combinazione di colori del marchio preso di mira, oltre a un nome utente abbastanza simile da ingannare un utente distratto (ad esempio @BrandSupport_Help invece del vero @BrandHelp). Rispondono pubblicamente ai reclami, per poi indurre le vittime a passare ai messaggi privati (DM) per “verificare” i dettagli dell’account.
Segnali di allarme: il nome utente differisce leggermente da quello dell'account ufficiale; assenza del badge di verifica; numero di follower molto basso; profilo creato di recente; e tono di urgenza nel primo contatto.
2. Notifiche attivate da situazioni di urgenza
Gli autori degli attacchi inviano messaggi diretti non richiesti o risposte ai commenti in cui avvertono di un’imminente sospensione dell’account, di problemi di fatturazione o di incidenti di sicurezza. L’obiettivo è quello di innescare una reazione di “lotta o fuga” prima che la vittima si fermi a verificare l’identità del mittente. Un link a un portale fasullo consente quindi di sottrarre credenziali o dati di pagamento.
3. Manipolazione del processo di recupero dell'account
Quando un utente dichiara pubblicamente di non riuscire più ad accedere al proprio account, gli hacker intervengono spacciandosi per il team di assistenza ufficiale della piattaforma e offrono un link per il recupero dell'account. La pagina di recupero fasulla raccoglie il nome utente, la password e, talvolta, i token 2FA, consentendo all'hacker di ottenere l'accesso completo all'account.
4. Impersonificazione tramite personaggi deepfake generati dall'intelligenza artificiale
Una variante più recente che si è diffusa su larga scala nel 2024. Gli autori degli attacchi utilizzano modelli linguistici di grandi dimensioni (LLM) per analizzare le conversazioni reali dell’assistenza di un marchio — tono, formulazione, uso delle emoji, tempi di risposta — e generare risposte praticamente indistinguibili da quelle del team reale. La clonazione vocale tramite IA è stata utilizzata anche nelle fasi di follow-up telefonico.
5. Profili social simili a quelli di dirigenti o influencer
Anziché fingersi il team di assistenza di un marchio, gli hacker clonano il profilo di un dirigente noto o di un ambasciatore del marchio, contattando i follower con opportunità di investimento, offerte esclusive o richieste “personali” urgenti. Queste tecniche sono particolarmente efficaci su LinkedIn, che ha rappresentato il il 18% di tutti gli attacchi ai social media nel 2025.
Esempi concreti di phishing "Angler"
Nessun marchio né settore ne è immune. Rafforzeremo questa affermazione con i seguenti esempi che coinvolgono aziende ben note come Domino’s ed easyJet, e vedremo come si svolge nella pratica il phishing di tipo “angler”.
Domino’s Pizza: X – L’impostore
Nel corso di una campagna ampiamente riportata dai media, i criminali informatici hanno creato account su X che imitavano quello ufficiale di Domino’s Pizza, riproducendo la tipografia, il logo e il tono utilizzato dal servizio clienti del marchio. Quando i clienti si lamentavano pubblicamente degli ordini, gli account falsi rispondevano con messaggi comprensivi e link a un portale fraudolento di “risoluzione degli ordini”, dove le vittime inserivano i dati di pagamento o le credenziali dell’account.
L'attacco ha avuto successo proprio perché Domino's era attiva sui social media e i clienti si aspettavano di ricevere assistenza tramite quel canale. Gli autori dell'attacco hanno sfruttato la fiducia nel marchio che il vero team aveva costruito nel corso del tempo.
easyJet: una situazione sfruttata
Nel 2023, quando easyJet ha cancellato 1.700 voli in partenza dall’aeroporto di Gatwick, i truffatori sono entrati in azione poche ore dopo l’annuncio. Su piattaforme social come X e Facebook hanno cominciato a comparire falsi account del servizio clienti che indirizzavano i passeggeri bloccati verso siti web di phishing o addirittura intercettavano le conversazioni già in corso tra i passeggeri e l’account di assistenza ufficiale di easyJet, rispondendo prima che la compagnia aerea potesse farlo.
Ai passeggeri coinvolti sono stati richiesti i numeri di conferma della prenotazione, i numeri di telefono e le coordinate bancarie, oppure sono stati inviati dei link per raccogliere i dati di pagamento. La tempistica è stata l’arma più efficace dell’attacco. I passeggeri erano già arrabbiati, cercavano qualcuno a cui rivolgersi ed erano abituati ad aspettarsi aiuto sui social media. Un account falso che rispondeva rapidamente e in tono di scuse aveva tutto ciò che gli serviva.
Navigare nel panorama delle minacce in continua evoluzione
Il phishing di tipo “angler” non è una minaccia statica. Sta aumentando in termini di volume, sofisticazione e superficie di attacco.
Nel 2025 sono stati compromessi 429 milioni di account sui social media, con circa 1 utente su 3 coinvolto. Si prevede che il numero raggiunga i 580 milioni entro la fine del 2026.
Fonte: Statistiche di StationX sull'hacking dei social media, 2026
Nel 2025, i reati informatici legati ai social media hanno causato perdite globali pari a 3,5 miliardi di dollari.
Fonte: Statistiche di StationX sull'hacking dei social media, 2026
Nel 2025 i social media sono stati il settore più preso di mira dal phishing, a pari merito con il SaaS.
Fonte: Tendenze relative alle attività di phishing dell'APWG, quarto trimestre 2025
Nel 2026, sono tre le tendenze che stanno amplificando la minaccia rappresentata dal phishing di tipo “angler”:
- Attacchi accelerati dall’intelligenza artificiale. Gli strumenti LLM sono in grado di generare profili di supporto convincenti, replicare il tono di voce del marchio e rispondere contemporaneamente a più reclami, eliminando così il collo di bottiglia umano che in precedenza limitava la portata degli attacchi.
- Follow-up multicanale. Il phishing di tipo “angler” si accompagna sempre più spesso a un follow-up tramite e-mail. Dopo aver ottenuto un nome utente sui social o un indirizzo e-mail, gli aggressori inviano un’e-mail contraffatta a nome del marchio preso di mira per rendere la truffa più credibile. È proprio in questo contesto che l’autenticazione delle e-mail del proprio dominio diventa fondamentale.
- Diminuzione del badge di verifica. Le modifiche apportate ai sistemi di verifica su X e Meta hanno reso più difficile per gli utenti distinguere gli account autenticati da quelli falsi, eliminando un importante segnale visivo di affidabilità.
Per orientarsi in questo contesto, le organizzazioni devono adottare un approccio su più livelli: controlli tecnici a livello di posta elettronica e di dominio, team addestrati alla gestione delle risposte sui social media e clienti sensibilizzati a verificare le informazioni prima di condividerle.
In che modo DMARC aiuta a difendersi dal phishing di tipo “Angler”
DMARC è un meccanismo di controllo a livello di posta elettronica che protegge dalla catena di attacchi in più fasi del phishing di tipo “angler”. È importante comprenderne il funzionamento per le organizzazioni che gestiscono una presenza sui social media.
Il problema del follow-up via e-mail
Dopo aver portato a termine con successo un attacco di phishing di tipo “angler”, gli autori dell’attacco inviano spesso un’e-mail di follow-up all’indirizzo della vittima che sono riusciti a ottenere. Senza l’applicazione del protocollo DMARC, il tuo dominio può essere utilizzato liberamente per inviare queste e-mail contraffatte, offrendo all’autore dell’attacco un ulteriore modo per prendere di mira la vittima e conferendo credibilità all’intera truffa.
Con una politica DMARC impostata su p=reject, le e-mail contraffatte che fingono di provenire dal proprio dominio vengono bloccate dal server di posta in arrivo prima ancora di raggiungere la casella di posta in arrivo, interrompendo così efficacemente la catena di attacchi di phishing di tipo “angler”.
Scopri come SPF, DKIM e DMARC interagiscono tra loro per autenticare le tue fonti di invio e prevenire lo spoofing del dominio in ogni fase di un attacco.
Fiducia nel marchio e BIMI
La funzionalità Hosted BIMI di PowerDMARC consente alle organizzazioni di visualizzare il logo verificato del proprio marchio direttamente nella casella di posta del destinatario, un segnale visivo di affidabilità indipendente dai badge di verifica dei social media. Quando i clienti riconoscono il vostro logo in un’e-mail, sono maggiormente in grado di mettere in discussione qualsiasi account sui social media che affermi di rappresentare il vostro marchio senza disporre della stessa verifica.
Scopri come il BIMI ospitato può estendere l'autenticazione del tuo marchio alla posta in arrivo e rafforzare la fiducia dei clienti.
Lista di controllo per la difesa dal phishing per gli appassionati di pesca
Utilizzate questa lista di controllo di riferimento rapido per valutare le misure di protezione della vostra organizzazione, sia a livello tecnico che a livello di personale.
| Controllo | Perché è importante |
|---|---|
| Implementare DMARC con p=reject | Blocca le e-mail di follow-up contraffatte provenienti dal tuo dominio, utilizzate per amplificare gli attacchi sui social media |
| Configurare SPF e DKIM per tutte le fonti di invio | Garantisce che solo i mittenti autorizzati possano superare i controlli di autenticazione sul tuo dominio |
| Monitorare continuamente i rapporti DMARC | Rileva picchi nei fallimenti di autenticazione che potrebbero indicare un abuso attivo del dominio |
| Richiedi nomi utente verificati su tutte le principali piattaforme | Impedisce agli hacker di registrare nomi simili al nome del tuo marchio |
| Imposta il monitoraggio dei social media per individuare le menzioni del marchio | Individuazione tempestiva degli account falsi che si spacciano per il tuo team di assistenza |
| Formare i team addetti alla gestione dei social media affinché rispondano entro 5 minuti | Chiude la finestra "first responder" che gli hacker sfruttano per intercettare i reclami |
| Aggiungere la dicitura "account ufficiale" a tutte le comunicazioni dell'assistenza | Aiuta i clienti a riconoscere l'account ufficiale su tutte le piattaforme |
| Insegnate ai clienti a non condividere mai le password tramite messaggi diretti o link | Rimuove il meccanismo di estrazione primario a livello umano |
| Implementa BIMI per visualizzare il logo verificato nelle e-mail | Estende la fiducia visiva nel marchio alla casella di posta, sottolineando che i contatti legittimi del marchio sono verificabili |
| Eseguire regolarmente un'analisi della sicurezza del dominio | Individua in modo proattivo le vulnerabilità nel sistema di autenticazione delle e-mail prima che gli hacker possano sfruttarle |
Ecco alcune risorse utili per aiutarti a proteggere al meglio la tua attività:
- Comprendere le tipologie di phishing: Spoofing delle e-mail vs. phishing
- Il passo successivo più comune dopo il furto delle credenziali: Che cos’è il Business Email Compromise?
- Contestualizzare il rischio: Statistiche sul phishing via e-mail e sul DMARC 2026
Conclusione
Il phishing di tipo “angler” funziona perché sfrutta due aspetti che le organizzazioni non possono mai controllare appieno: la natura pubblica dei social media e la fiducia sincera che i clienti ripongono nei marchi con cui interagiscono. Gli autori degli attacchi sono più veloci, più astuti e sempre più supportati dall’intelligenza artificiale. La vostra difesa deve stare al passo con questa evoluzione.
La strategia più efficace combina controlli tecnici di autenticazione (DMARC, SPF, DKIM), procedure di risposta rapide e verificate sui social media e attività di sensibilizzazione dei clienti, affinché il tuo pubblico sappia che il tuo marchio non richiederà mai password o dati di pagamento tramite messaggi privati sui social media.
Noi di PowerDMARC aiutiamo le organizzazioni a creare il livello di autenticazione delle e-mail che costituisce parte integrante di tale difesa, offrendovi piena visibilità su chi invia e-mail per conto del vostro dominio, funzionalità di controllo che bloccano i messaggi contraffatti e l’implementazione di BIMI che rafforza l’identità verificabile del vostro marchio.
Inizia con una prova gratuita di 15 giorni, oppure prenota una demo individuale con i nostri esperti di sicurezza e-mail.
Domande frequenti
1. Che cos’è il phishing “angler”?
Il phishing di tipo “angler” è un tipo di attacco di ingegneria sociale in cui i criminali informatici creano profili falsi di assistenza clienti sui social media per intercettare i reclami pubblici e indurre le vittime a rivelare le proprie credenziali, a cliccare su link dannosi o a installare malware — il tutto con il pretesto di offrire aiuto.
2. In che modo il phishing "angler" differisce dal phishing tradizionale?
Il phishing tradizionale è di tipo “push”: gli hacker inviano in massa e-mail fraudolente sperando che qualcuno clicchi sul link. Il phishing “Angler” è invece di tipo “pull”: è proprio la denuncia pubblica della vittima stessa a fungere da esca. Ciò lo rende particolarmente efficace, poiché le vittime sono già predisposte ad accettare aiuto proprio dal marchio verso cui si stanno lamentando.
3. Quali sono le piattaforme social più prese di mira?
X (ex Twitter) rimane la piattaforma più diffusa grazie alla sua cultura delle denunce pubbliche in tempo reale. Secondo un rapporto pubblicato da StationX nel 2026, Instagram è la piattaforma più presa di mira, seguita da Facebook e LinkedIn.
4. Quali sono i segnali di allarme che indicano che l'account di un utente è stato vittima di un attacco di phishing?
Segnali di allarme principali: un nome utente leggermente diverso da quello dell’account ufficiale del marchio (trattini bassi o trattini aggiuntivi, oppure parole come “Support”); assenza del badge di verifica; un profilo creato di recente con pochissimi follower; richiesta di urgenza immediata al primo contatto; qualsiasi richiesta di cliccare su un link o di condividere informazioni personali tramite messaggio diretto.
5. Il DMARC può impedire il phishing di tipo “angler”?
DMARC non controlla direttamente gli account sui social media. Tuttavia, blocca la fase di amplificazione tramite e-mail del phishing di tipo “angler”, in cui gli aggressori inviano e-mail di follow-up contraffatte dal dominio dell’utente dopo aver acquisito i dati di contatto della vittima. Con una politica DMARC impostata su p=reject, tali e-mail contraffatte vengono bloccate dal server di posta ricevente prima di raggiungere la casella di posta in arrivo.
6. Cosa devo fare se penso di essere caduto vittima di un tentativo di phishing di tipo “angler”?
Agisci immediatamente: cambia la password dell'account compromesso da un dispositivo non infetto; revoca le sessioni attive; reimposta l'autenticazione a due fattori; avvisa la tua banca se sono stati divulgati dati finanziari; e segnala l'account falso alla piattaforma social. Contatta il marchio autentico tramite il suo sito web ufficiale per verificare se il tuo account è stato compromesso.
7. In che modo le organizzazioni possono proteggere i propri clienti dal phishing “angler”?
È necessaria una risposta su più livelli: (1) applicare DMARC, SPF e DKIM per bloccare gli attacchi successivi sferrati tramite e-mail; (2) rivendicare e verificare gli account ufficiali su tutte le principali piattaforme; (3) predisporre un sistema di monitoraggio dei social media per individuare gli account che si spacciano per altri; (4) formare i team di assistenza affinché rispondano ai reclami nel giro di pochi minuti; e (5) informare i clienti che il vostro team non richiederà mai le password tramite messaggi diretti.
8. Il fenomeno dell’“angler phishing” è in aumento nel periodo 2025–2026?
Sì. Nel 2025, le perdite causate dai crimini informatici sui social media hanno raggiunto i 3,5 miliardi di dollari a livello globale. I dati dell’APWG collocano costantemente i social media tra i primi tre settori più presi di mira dal phishing. Gli strumenti basati sull’intelligenza artificiale stanno accelerando la portata e la sofisticazione degli attacchi, generando profili di supporto convincenti con uno sforzo manuale di gran lunga inferiore rispetto a quanto richiesto in precedenza.
9. Come posso verificare se il mio dominio viene utilizzato in modo fraudolento in attacchi di phishing di tipo “angler”?
Usa il strumento gratuito di verifica DMARC per verificare il tuo record DMARC e individuare eventuali lacune che potrebbero essere sfruttate in successive e-mail di spoofing.
Esperto di sicurezza dei domini e della posta elettronica presso PowerDMARC
Ahona è la Marketing Manager di PowerDMARC, con oltre 5 anni di esperienza nella scrittura di argomenti di cybersecurity, specializzata in sicurezza dei domini e delle e-mail. Ahona ha conseguito una laurea in Giornalismo e Comunicazione, consolidando la sua carriera nel settore della sicurezza dal 2019.
Ultimi messaggi di Ahona Rudra (vedi tutti)
- PowerDMARC nominata leader nel settore dei software DMARC per il 13° trimestre consecutivo - 28 agosto 2026
- Quarantena di Microsoft: come individuare e sbloccare le e-mail in quarantena in Outlook - 22 agosto 2026
- Cosa succede quando i chatbot basati sull'intelligenza artificiale divulgano dati aziendali riservati? - 21 agosto 2026
