Contro il phishing le migliori armi sono la consapevolezza dei rischi e la prevenzione, per evitare che l’attacco si trasformi in conversazione telefonica sotto il controllo di cyber criminali.

Check Point ha rilevato una nuova campagna che riesce a trasformare l’ansia economico-finanziaria in vettore di ingegneria sociale, portando l’attacco phishing, che parte dalla casella email, nelle interazioni telefoniche, in una “zona grigia” fuori dai controlli di sicurezza.

“Nel 2026 cadere ancora nel phishing non è sfortuna: è impreparazione.
Non servono più link strani o allegati infetti: basta un’e-mail scritta bene e qualcuno disposto a chiamare il numero indicato”, mette in guardia Sandro Sana, Ethical Hacker e membro Comitato Scientifico Cyber 4.0.

Ecco come funziona la nuova truffa e come mitigare i rischi.

Campagna phishing che fa leva sulle difficoltà economiche

Check Point ha identificato circa 24.700 email riferibili alla campagna, destinate ad appartenenti di più di 9.000 organizzazioni. Segno che il phishing cambia volto, andando oltre i link e gli allegati malevoli, per ottenere i risultati di sempre: credenziali, dati sensibili o svuotare conti.

La campagna su larga scala fa leva offerte truffaldine, sfruttando le difficoltà economiche delle vittime, arrivando a promettere la cancellazione dei debiti, per indurre i destinatari a telefonare a numeri controllati dagli attaccanti.

Il phishing non ha più necessità di link dannosi, allegati o mittenti falsificato per andare a segno, ma trasforma un semplice messaggio di posta elettronica in porta d’ingresso per ottenere conversazioni credibili e poi dirottare i destinatari fuori dal perimetro dei classici controlli.

Infatti “l’attaccante non viola il filtro antispam: aggira direttamente il cervello di chi legge e quando la conversazione passa al telefono, l’azienda perde visibilità, controllo e spesso anche i dati. Il phishing moderno non cerca più solo credenziali: costruisce fiducia, urgenza e paura”, avverte Sandro Sana.

Il numero di telefono è il percorso di conversione dell’attacco phishing

Comunicazioni all’apparenza legittime, riferite ad assistenza finanziaria o a ridurre i debiti, sembrano email informative per invitare i destinatari a godere del diritto a fasulle forme di supporto in caso di difficoltà economiche, fanta-programmi per consolidare i debiti, ridurre le rate o fraudolente iniziative di assistenza finanziaria, incoraggiandoli a telefonare a un numero (controllato dai truffatori) per ottenere maggiori informazioni.

Le persone cercano protezione in uno scenario economico difficile, con alti tassi d’inflazione e scarse possibilità di aumentare le entrate? Ecco che i cyber criminali fanno leva sull’ansia economico-finanziaria per indurre un senso di urgenza e incoraggiare il destinatario a conversare in tempo reale con finti assistenti dietro i quali si celano l’autore dell’attacco.

Una volta che la vittima passa alla conversazione telefonica, esce dal radar del cyber controllo. Infatti l’interazione per telefono sfugge ai tradizionali controlli di sicurezza.

Ma l’autore dell’attacco phishing ottenere informazioni personali o finanziarie sensibili, raccogliere dati di pagamento, instaurare un rapporto di fiducia in vista di successive frodi o spostare la vittima su un altro canale di comunicazione controllato dall’autore dell’attacco.

Come proteggersi

Campagne come questa dimostrano perché non sono più sufficienti i tradizionali controlli di sicurezza delle e-mail, creati sulla base di marcatori quali URL dannosi, malware riconosciuti, allegati sospetti, reputazione del dominio e autenticazione del mittente.

Se nella mail non c’è nessun indicatore sospetto, ma un messaggio di posta banale riporta solo un numero di telefono, rischia di sfuggire al monitoraggio anti-phishing.

L’attacco infatti prende il via dal messaggio in casella, ma porta la vittima fuori dai controlli di sicurezza, sul terrendo della conversazione telefonica. Fuori dai radar.

Il linguaggio può ispirarsi a quello sfruttato nel marketing finanziario comune. L’azione richiesta (chiamare un numero di telefono) appare una pratica legittima. Qui l’intervento di sicurezza può avvenire solo se si intuisce l’intento e il contesto del messaggio, senza identificare alcun oggetto malevolo conosciuto.

Un’analisi basata sull’intelligenza artificiale è in grado di cogliere l’intento malevolo, senza farsi sviare dall’assenza degli indicatori tradizionali.

Ma sappiamo che il senso di urgenza e soprattutto occasioni troppo ghiotte per essere vere sono il vero segnale da cogliere per alzare le antenne e metterci in allerta.

Per non cadere vittime del phishing sempre più sofisticato, bisogna imparare a rilevare il phishing grazie all’intelligenza artificiale, sfruttare l’intelligence globale sulle cyber minacce, affidarsi all’analisi comportamentale e adottare una protezione focalizzata sulla prevenzione, per individuare e bloccare gli attacchi prima che colpiscano gli utenti.

“Chi si limita a cercare URL malevoli sta ancora combattendo la guerra di ieri.
La tecnologia deve capire l’intento del messaggio, non soltanto analizzarne gli allegati, ma nessuna piattaforma potrà compensare l’ignoranza di chi, davanti a un’offerta sospetta, decide di chiamare“, conclude Sandro Sana che ci invita ad accendere sempre i nostri neuroni, a non abbassare mai la guardia e a sviluppare il senso critico.