Che cos’è lo «spear phishing»?
Lo «spear phishing» è una forma mirata di phishing: invece di inviare in massa e-mail fraudolente identiche, i criminali prendono di mira una persona specifica. L’obiettivo è indurre la vittima a rivelare dati sensibili, a effettuare un pagamento o a installare malware. L’elevato grado di personalizzazione rende più difficile riconoscere tali attacchi rispetto al classico phishing di massa.
Gli attacchi di phishing rivolti a persone ai vertici della gerarchia vengono chiamati anche «whaling». Quando il phishing è diretto a dirigenti o figure chiave che prendono le decisioni, si parla anche di «executive phishing». Negli attacchi di phishing indirizzati ai dipendenti, i malfattori ricorrono spesso a e-mail aziendali falsificate («business email compromise», BEC) o mettono in atto la «frode del CEO». Quest’ultima è una truffa perpetrata spacciandosi per il CEO.
Secondo l’Ufficio federale della cibersicurezza (UFCS), nel phishing si osserva una tendenza all’esecuzione di attacchi sofisticati articolati su più fasi e attraverso diversi canali. In questo contesto gli aggressori combinano spesso attacchi di phishing generici di massa con attacchi di «spear phishing» mirati. I seguenti elementi espandibili contengono esempi reali di «spear phishing» e phishing di massa tramite e-mail, SMS, telefonate e codici QR.
Esempio di attacco di «spear phishing» a una ditta tramite SharePoint (febbraio 2026): un impiegato di una fiduciaria zurighese riceve da un partner commerciale a lui noto un invito reale ad aprire un documento condiviso tramite SharePoint. Dopo il login e l’inserimento del codice monouso corretto appare sulla piattaforma un secondo link che rimanda a una pagina di phishing. Le credenziali di Microsoft e il secondo fattore immessi vengono carpiti in tempo reale. I truffatori hanno ricercato le relazioni tra impresa e dipendente su siti web aziendali pubblici o hanno utilizzato un account Microsoft precedentemente hackerato.
Esempio di attacco di «spear phishing» ai danni di una persona privata tramite la piattaforma Ricardo (marzo 2026): una persona privata inserisce per la prima volta un articolo sulla piattaforma di vendita Ricardo. Poco dopo riceve un’e-mail con il logo ufficiale di Ricardo che richiede i dati di accesso adducendo come pretesto una presunta misura di sicurezza. Secondo l’UFCS, su Ricardo vengono ripetutamente attaccati in modo mirato gli utenti che pubblicano il loro primo annuncio tramite e-mail di phishing scritte in modo impeccabile e dall’aspetto molto credibile. Maggiori informazioni sulle truffe su Twint perpetrate tramite piattaforme di vendita
Esempio di attacco di phishing di massa rivolto ad aziende perpetrato sfruttando il nome di bexio (maggio 2026): in tutta la Svizzera più di 100 000 clienti aziendali del fornitore di software bexio ricevono e-mail di phishing da truffatori che si spacciano per bexio. Le e-mail fanno riferimento a una presunta fattura non pagata. Un link reindirizza i destinatari a una pagina di login duplicata, volta a carpire i loro dati di accesso. Le e-mail di phishing sono state inviate in modo indiscriminato, gli indirizzi utilizzati per diffonderle non provenivano da bexio e non sono trapelati dati dei clienti dell’azienda.
Esempio di «business email compromise» tramite hacking di account bexio (BEC; maggio 2026): dopo aver hackerato degli account bexio (vedi esempio precedente), i criminali modificano i codici IBAN dei beneficiari riportati nelle fatture per deviare i pagamenti. Per i dipendenti delle aziende il cui account bexio è stato compromesso, questa truffa è particolarmente difficile da riconoscere, poiché le fatture vengono inviate direttamente dal proprio sistema. Queste presentano intestazioni corrette, riportano gli indirizzi esatti del mittente e appaiono familiari.
Esempio di attacco di «spear phishing» tramite SMS rivolto a persone private in relazione a una multa di parcheggio (agosto 2026): nel Cantone di San Gallo una donna riceve una multa di parcheggio legittima. Due giorni dopo la vittima riceve un SMS di phishing fraudolento con una richiesta di pagamento da un numero marocchino.
Esempio di frode del CEO tramite WhatsApp (gennaio 2026): con l’aiuto dell’intelligenza artificiale, i truffatori imitano lo stile di scrittura del superiore in svizzero tedesco ed escogitano un pretesto per chiedere ai propri collaboratori un pagamento urgente esercitando una certa pressione psicologica. Pretesti tipici sono il pagamento a un fornitore estero o l’acquisto di buoni regalo.
Esempio di attacco di phishing di massa tramite «SMS blaster» diretto a persone private (ottobre 2025): nei cantoni di Basilea Città, Basilea Campagna e Zurigo, un uomo invia in massa SMS di phishing ai cellulari nelle vicinanze tramite un SMS blaster spacciandosi per la Posta, UBS, Migros o un’autorità. La polizia non fornisce alcuna informazione sulla somma complessiva dei danni. In un caso simile verificatosi nell’estate del 2025 a Ginevra i cyber criminali sono riusciti a sottrarre circa 1,9 milioni di franchi.
Esempio di «spear phishing» tramite chiamata rivolto a una ditta (frode del CEO, gennaio 2026): nel Cantone di Svitto, un imprenditore riceve una chiamata da una persona che ha la voce familiare del suo partner commerciale e che gli richiede di effettuare un pagamento urgente e confidenziale. Diversi milioni di franchi vengono così trasferiti su un conto asiatico. La voce del partner commerciale era stata falsificata con l’aiuto dell’intelligenza artificiale.
Esempio di phishing di massa tramite telefonate a persone private (febbraio 2026): numerose persone ricevono una chiamata inaspettata da un presunto collaboratore dell’Ufficio federale della cibersicurezza (UFCS). Adducendo come pretesto un’emergenza relativa alla sicurezza, il truffatore cerca di indurre le sue vittime a installare un software di assistenza remota per poi saccheggiare i loro conti tramite l’e-banking.
Dirottamento dell’account WhatsApp tramite codice QR (maggio 2026): i malfattori utilizzano l’account WhatsApp hackerato di un conoscente per chiedere alle vittime di votare per il figlio in occasione di un presunto concorso. Il link rimanda però a un sito web fraudolento. Dopo aver inserito un codice di verifica o scansionato un codice QR, gli utenti perdono l’accesso al proprio account WhatsApp.
Esempio di phishing di massa tramite codice QR (febbraio 2026): nella città di Zugo, dei truffatori incollano codici QR di phishing sui parchimetri. Questi rimandano a una pagina di pagamento clonata, volta a carpire i dati di pagamento degli utenti.
Maggiori informazioni sul «phishing tramite codice QR» o «quishing»
Sempre al sicuro con la cyber assicurazione della Mobiliare
La cyber assicurazione della Mobiliare è a fianco di chi è vittima di spear phishing. Calcolare subito e senza impegno il premio assicurativo e decidere in seguito in tutta tranquillità.
Come riconoscere ed evitare lo «spear phishing»?
Raccomandiamo di diffidare di richieste inaspettate, che esercitano pressione psicologica e che devono essere evase in modo urgente e confidenziale. È bene verificare con particolare attenzione i messaggi che a prima vista sembrano «troppo perfetti»: conoscono il nome del destinatario e del suo capo e il progetto in corso. Questi messaggi sono infatti tipici dello «spear phishing».
Utilizzare un secondo canale abituale per chiedere conferma alla persona responsabile in caso di ordini di pagamento inaspettati o modifiche impreviste del beneficiario di un pagamento (ad esempio un IBAN diverso). Si consiglia di disporre il pagamento solo dopo questa ulteriore verifica.
Impostare l’autenticazione a due fattori per tutti gli account online. Così, anche se l’utente fornisce per errore le proprie credenziali, gli hacker non potranno accedere senza il secondo fattore. Come regola generale consigliamo di non condividere mai il secondo fattore e i codici di verifica a terzi. Questo vale in particolare se la richiesta proviene da un presunto contatto o da una persona al telefono.
Adottare in tutta l’azienda e su tutti i dispositivi privati un password manager per assicurarsi di utilizzare sempre password sicure generate automaticamente per ogni account online. Un password manager di questo tipo è compreso nella cyber assicurazione della Mobiliare.
Misure
- Controllare attentamente l’indirizzo e-mail del mittente e fare attenzione a discrepanze anche minime, come errori di battitura o estensioni diverse.
- Passare con il mouse sui link per verificare l’URL di destinazione. Non aprire allegati provenienti da mittenti sconosciuti.
- Verificare le richieste delicate attraverso un altro canale abituale. Il fatto che l’interlocutore scriva perfettamente, magari anche in dialetto, non garantisce l’autenticità della richiesta, poiché potrebbe trattarsi di un testo generato tramite IA.
Attenzione
- Anche le e-mail provenienti da mittenti noti possono essere contraffatte poiché gli account di posta elettronica da cui provengono potrebbero essere stati hackerati.
- Lo stesso vale per le e-mail dall’aspetto affidabile riguardanti eventi reali, come ad esempio ordini nei negozi online o iscrizioni a piattaforme di compravendita.
Misure
- Non cliccare mai su link contenuti in SMS inaspettati, soprattutto in caso di presunti invii di pacchi, multe, comunicazioni da parte di banche o autorità.
- Tracciare le spedizioni direttamente nell’app ufficiale del fornitore e non tramite un link ricevuto via SMS.
Attenzione
- Gli SMS contraffatti possono apparire nella cronologia reale delle conversazioni con le organizzazioni.
- I messaggi provenienti dai propri contatti possono essere falsi, ad esempio se l’account WhatsApp di un contatto viene hackerato.
- Anche gli SMS relativi a eventi reali, come ad esempio una multa di parcheggio giustificata, possono essere falsificati.
- Gli SMS blaster possono raggiungere i cellulari nelle immediate vicinanze senza conoscerne i numeri.
Misure
- Non lasciarsi mettere sotto pressione o cedere a ricatti psicologici.
- In caso di richieste di pagamento o di dati, si consiglia in linea di principio di riagganciare e di richiamare il numero abituale del richiedente.
- Concordare in famiglia o in azienda una parola in codice o un processo fisso di verifica con richiamata.
Attenzione
- Una voce che suona familiare può essere stata contraffatta con l’aiuto dell’IA.
- Messaggi shock, ad esempio relativi alle condizioni di una persona cara, sono una tecnica frequente nei tentativi di truffa.
- In linea generale le autorità, le banche o l’UFCS non chiamano di propria iniziativa per verificare transazioni o richiedere codici e password. In questi casi è bene riagganciare.
Misure
- In linea di principio, non scansionare codici QR presenti in e-mail, lettere o SMS inaspettati.
- Verificare per esempio presso i parchimetri o le colonnine di ricarica se il codice reale è coperto da un adesivo.
- Dopo la scansione, visualizzare l’URL di destinazione e controllarlo prima di aprirlo.
- Non inserire mai dati di login o di pagamento nelle pagine aperte tramite un codice QR.
- Per pagare, utilizzare un’app ufficiale o un sito web noto invece del codice stampato.
Attenzione
- Scansionare il codice QR di Twint solo tramite l’app Twint.
- Se un presunto codice QR di Twint non funziona durante la scansione con l’app Twint, è molto probabile che sia falso.
Domande e risposte
1. Bloccare il servizio interessato.
A. Carta di credito: bloccare immediatamente la carta utilizzando il numero di emergenza riportato sul retro della carta stessa.
B. E-banking: bloccare subito il conto tramite la hotline della propria banca.
C. Twint: bloccare immediatamente il conto Twint tramite la hotline della banca collegata a Twint.
D. Malware: scollegare immediatamente il dispositivo da Internet. Far rimuovere il malware da un esperto IT.
E. Account online: cambiare la password e attivare l’autenticazione a due fattori. Se non si riesce più ad accedere al proprio account, contattare il supporto dell’organizzazione.
2. Segnalare l’accaduto all’Ufficio federale della cibersicurezza (UFCS).
3. In caso di danno finanziario denunciare l’accaduto alla polizia.
4. Notificare eventualmente il sinistro alla propria cyber assicurazione. Notifica di sinistro per persone private; Notifica di sinistro per imprese
Per le PMI è possibile stabilire individualmente somma assicurata e franchigia a seconda delle dimensioni e del settore (vedi polizza assicurativa). Nell’ambito della somma assicurata, la cyber assicurazione della Mobiliare copre, tra l’altro, le spese per:
- informatica forense
- ripristino di dati e sistemi
- danni da interruzione d’esercizio
- danni a terzi (responsabilità civile)
- gestione crisi/PR
- trattative sul riscatto
Cyber assicurazione per persone private
Se si verifica un danno finanziario assicurato, la protezione giuridica tenta dapprima di recuperare il denaro. In caso di esito negativo, la cyber assicurazione della Mobiliare valuta un’indennità fino a un massimo di 20 000 franchi.
Importante: il danno è coperto soltanto se i cyber criminali hanno ottenuto il denaro in modo illecito. Se, ad esempio, si è autorizzato un bonifico perché raggirati, il danno nella maggior parte dei casi non è coperto.
Phishing è un termine generico che designa i cyber attacchi volti a carpire dati sensibili o a diffondere malware. Se inizialmente per phishing si intendevano attacchi di massa su ampia scala, lo «spear phishing» si riferisce a tentativi di inganno mirati e personalizzati.
«Social engineering» è un termine generico che indica metodi di attacco volti alla manipolazione di persone e non allo sfruttamento di falle di sicurezza nei sistemi tecnici. Lo «spear phishing», invece, è uno dei tanti metodi di attacco utilizzati nel social engineering.
Lo «spear phishing» è un metodo di attacco personalizzato o una tecnica fraudolenta per carpire dati sensibili e appropriarsi di denaro oppure per diffondere malware. Lo «spoofing», invece, è un mezzo tecnico per simulare un’identità falsa, spesso utilizzato negli attacchi di «spear phishing».
Esempi tipici di «spoofing» sono e-mail o SMS con mittenti falsi, chiamate con numeri visualizzati falsificati o siti web contraffatti.
