Le nuove tecniche di phishing e social engineering nel 2025: deepfake, QRishing, MFA fatigue e attacchi multicanale. Come difendersi con un approccio offensivo.
Il phishing non è più l’e-mail mal fatta piena di errori grammaticali.
Nel 2025, gli attaccanti sfruttano AI, deepfake e tecniche psicologiche raffinate per colpire dipendenti e aziende in modo sempre più convincente.
La maggior parte dei controlli tradizionali come filtri antispam, formazione annuale, MFA non bastano più.
I criminali informatici sanno esattamente come superare queste barriere.
In questo articolo analizziamo le nuove tecniche di phishing avanzato ed il ruolo critico dell’approccio offensivo.
Perché il phishing oggi è così efficace
Gli attaccanti hanno perfezionato 3 elementi chiave:
1. Personalizzazione estrema
Grazie a informazioni pubbliche (social, conferenze, LinkedIn) e a dataset ottenuti da precedenti breach, i messaggi sono:
- credibili
- contestualizzati
- perfettamente coerenti con ruoli e responsabilità
Il risultato? I filtri non rilevano nulla e l’utente non sospetta.
2. Impiego massiccio di AI generativa
L’intelligenza artificiale viene usata per:
- scrivere e-mail impeccabili in qualsiasi lingua
- imitare stili di scrittura aziendali
- generare deepfake vocali per chiamate di spear-phishing
- creare documenti infetti che sembrano legittimi
3. Tecniche psicologiche ottimizzate
Gli attaccanti sfruttano bias cognitivi — urgenza, autorità, familiarità — con grande precisione.
Una richiesta “urgente” del CFO (via voce deepfake o email clonata) è un classico esempio.
Le nuove tecniche di phishing che bypassano i controlli
MFA Fatigue Attack
Gli aggressori bombardano l’utente con richieste di autenticazione finché non approva “per errore”.
Diffusissimo nel 2024–2025.
QRishing (QR-code phishing)
Un semplice QR porta su una pagina clonica perfettamente credibile.
Molti SOC non monitorano questo vettore.
Deepfake Voice Phishing
Chiamate vocali con voce clonata del CEO o del responsabile IT.
Utilizzate per richiedere:
- trasferimenti urgenti
- codici MFA
- accessi remoti
Browser-in-the-Browser Attack (BITB)
Finestra di login perfettamente identica a quella ufficiale, ma generata nel browser tramite CSS/JS. Ruba credenziali MFA e sessioni.
Session Hijacking tramite token rubati
L’attaccante non ruba la password, ma i token di sessione presenti nel browser.
La vittima non si accorge di nulla.
Phishing su piattaforme interne
Messaggi falsi su:
- Teams
- Slack
- Notion
- Google Drive
Gli utenti tendono a fidarsi più degli strumenti interni e verificano meno.
Perché la security awareness “classica” non funziona più
Molti programmi di awareness sono:
- teorici
- non aggiornati
- prevedibili
- basati su esempi vecchi di 5–10 anni
Gli utenti sanno riconoscere un’e-mail fasulla… ma non un QR malevolo o una richiesta vocale del CFO identica all’originale.
Serve un approccio più realistico, pratico e dinamico.
Come un team offensive-first anticipa queste minacce
L’approccio offensivo non si limita a “spiegare il phishing”, ma simula tecniche reali e misura la reazione dell’azienda.
Le attività includono:
1. Simulazioni di phishing avanzato
- deepfake vocali
- social engineering multicanale
- attacchi cloud-based
- scenari su Teams/Slack
- analisi di comportamento dell’utente
2. Sfruttamento controllato delle vulnerabilità umane
Riproduzione dei pattern reali usati dagli attaccanti.
3. Valutazione della detection del SOC
- quali attacchi vengono rilevati
- quali passano inosservati
- quali log mancano
- quali alert sono rumorosi o inutili
4. Remediation guidata
Non solo training per gli utenti, ma:
- hardening dei flussi aziendali
- miglioramento MFA
- protezione dei token di sessione
- monitoraggio anomalo del traffico
Gli utenti non sono l’anello debole, lo diventano quando i sistemi li lasciano soli
Il phishing moderno non è una questione di ingenuità: è progettato per ingannare anche personale esperto.
La difesa richiede strumenti migliori, processi più solidi e, soprattutto, simulazioni realistiche.
Con un approccio offensivo e controllato, le aziende possono scoprire i propri punti deboli prima che lo facciano gli attaccanti.
