Phishing e deepfake generati dall'IA: la nuova minaccia per le PMI italiane

Un 2025 da record, e il 2026 non rallenta

Secondo il Rapporto Clusit 2026, gli attacchi cyber gravi a livello globale sono cresciuti del 49% rispetto all'anno precedente, superando quota 5.200 incidenti censiti. In Italia l'incremento è stato del 42% sul 2024, con 507 attacchi gravi registrati contro i 357 dell'anno precedente. Il nostro Paese si conferma quindi un bersaglio sproporzionatamente attrattivo per il cybercrime rispetto al suo peso economico globale, e le piccole e medie imprese, spesso meno strutturate delle grandi aziende sul fronte della sicurezza, ne pagano il prezzo più alto.

L'intelligenza artificiale come moltiplicatore degli attacchi

Il dato più significativo del rapporto non riguarda solo il numero di attacchi, ma la loro qualità. L'IA non ha inventato nuove tipologie di minaccia: ha reso quelle già note più rapide, mirate e difficili da individuare. Il phishing potenziato dall'intelligenza artificiale genera oggi email e messaggi grammaticalmente perfetti, personalizzati sul destinatario e quasi indistinguibili da comunicazioni legittime, un fenomeno che ha contribuito a una crescita del phishing su scala globale stimata attorno al 75%. In Italia, il Rapporto Clusit registra una crescita del 66% degli episodi di phishing e social engineering nel solo 2025.

Le email più insidiose sono quelle costruite per sembrare ordini, fatture o solleciti di pagamento, pensate apposta per colpire chi lavora in contabilità, amministrazione o ufficio acquisti: reparti che gestiscono quotidianamente bonifici e conferme d'ordine, e che quindi abbassano più facilmente la guardia davanti a un messaggio verosimile.

Deepfake e CEO fraud: quando la voce del capo non basta più

Accanto al phishing testuale si sta diffondendo una minaccia ancora più insidiosa: i deepfake audio e video usati per impersonare dirigenti e autorizzare bonifici o accessi non autorizzati. Le tecniche di voice cloning oggi richiedono appena 2-3 minuti di audio pubblico (un'intervista, un video aziendale, un intervento a un convegno) per generare una voce clonata credibile; per il video bastano 20-30 secondi di filmato per costruire un avatar capace di sostenere una videochiamata di 10-15 minuti.

Il copione è ricorrente: il falso amministratore delegato contatta il responsabile finanziario o l'ufficio tesoreria con una richiesta urgente e riservata, spesso legata a un'operazione straordinaria o a un'acquisizione da tenere segreta, scegliendo di solito momenti di minore vigilanza organizzativa come il venerdì pomeriggio o la vigilia di una festività. In Italia il fenomeno non è teorico: un'azienda manifatturiera lombarda ha subito nel 2026 un tentativo di frode da 3,5 milioni di euro proprio durante la due diligence per un'acquisizione, con un deepfake vocale usato per simulare le comunicazioni di un dirigente.

Perché le PMI italiane sono particolarmente esposte

Diversi fattori rendono le piccole e medie imprese un bersaglio privilegiato:

• Solo il 23% delle aziende italiane ha implementato sistemi di rilevamento delle minacce basati sull'intelligenza artificiale, lasciando la maggior parte delle PMI a difendersi con filtri antispam tradizionali, ormai poco efficaci contro contenuti generati dall'IA;
• Le PMI spesso non hanno procedure formalizzate per le operazioni sensibili (bonifici straordinari, cambi di IBAN, accessi a sistemi critici), il che le rende vulnerabili a richieste urgenti provenienti da un presunto vertice aziendale;
• La minore disponibilità di personale dedicato alla sicurezza informatica riduce la capacità di riconoscere per tempo segnali di anomalia;
• La fiducia interpersonale tipica delle realtà di piccole dimensioni, un valore in altri contesti, diventa un punto debole quando un attaccante riesce a impersonare in modo credibile una figura di fiducia.

Come proteggersi: procedure, formazione e tecnologia

Contrastare attacchi sempre più sofisticati richiede un approccio su più livelli, che non si limita all'installazione di un software:

• Procedure di verifica a doppio canale: nessuna richiesta di bonifico, cambio di coordinate bancarie o accesso a sistemi critici dovrebbe essere eseguita sulla base di una sola comunicazione (email, telefonata o videochiamata), ma va sempre confermata tramite un canale diverso e già noto, ad esempio richiamando un numero verificato in rubrica;
• Formazione periodica del personale, in particolare di chi lavora in amministrazione, contabilità e tesoreria, con simulazioni pratiche di phishing e casi reali di deepfake, non solo corsi teorici occasionali;
• Sistemi di email security con rilevamento basato su intelligenza artificiale, capaci di individuare anomalie comportamentali e non solo pattern testuali noti, oggi indispensabili contro messaggi generati dall'IA;
• Autenticazione a più fattori su tutti gli accessi critici, così da limitare i danni anche quando le credenziali vengono sottratte;
• Un piano di risposta agli incidenti condiviso e testato, che stabilisca in anticipo chi fare cosa in caso di sospetta frode, riducendo i tempi di reazione nelle prime ore, quelle in cui un bonifico può ancora essere bloccato.

Nessuna di queste misure, da sola, è risolutiva: è la loro combinazione, unita a un aggiornamento costante man mano che le tecniche di attacco evolvono, a fare la differenza.

Un percorso da costruire con un partner competente

Di fronte a minacce che cambiano con la stessa velocità della tecnologia che le alimenta, affrontare da soli il tema della sicurezza informatica è sempre più complesso per una PMI. Affidarsi a un partner IT specializzato consente di valutare il livello di esposizione reale dell'azienda, introdurre strumenti di rilevamento avanzati e costruire procedure di verifica su misura, senza dover rincorrere ogni singola novità del settore. Hi-Keep affianca le imprese del territorio proprio in questo percorso, dalla valutazione dei rischi alla messa in sicurezza dei processi più esposti.