Phishing oggi: furto di sessione, MFA che non basta e passkey

Per anni il consiglio è stato: controlla gli errori di grammatica, non cliccare sui link strani, attiva l’autenticazione a più fattori. I primi due non reggono più. Un messaggio può essere scritto in un italiano perfetto, perché oggi lo scrive un software. E il terzo, da solo, protegge molto meno di quanto si creda: dipende da quale fattore usi.

Questa guida mette in ordine che cosa è cambiato, come funziona un attacco che aggira l’autenticazione comune, quali metodi resistono e come si risponde quando il danno è già fatto.

Che cosa dicono i dati, senza esagerare

Il rapporto 2026 di Verizon sulle violazioni di dati (periodo dal 1° novembre 2024 al 31 ottobre 2025, oltre 22.000 violazioni confermate in 145 paesi) segna una svolta: per la prima volta lo sfruttamento di vulnerabilità supera tutto il resto come primo punto d’ingresso, con il 31% dei casi contro il 20% dell’edizione precedente. Il phishing è al 16% e l’abuso di credenziali al 13%.

Vuol dire che il phishing non conta più? No. Vuol dire due cose: che aggiornare sistemi e apparati è diventato più urgente di quanto fosse (ne parliamo nella guida sulle dodici misure), e che il phishing continua a servire per quello che ha sempre fatto, cioè procurare credenziali, codici e sessioni da usare nei passi successivi. Il rapporto segnala anche che il tasso di successo mediano del phishing pensato per il telefono è più alto del 40% di quello via email.

Come si ruba una sessione, a livello di riconoscimento

Quando accedi a un servizio, il sito ti dà un «gettone» temporaneo, la sessione, così non devi reinserire la password a ogni clic. Chi possiede quel gettone entra come te, senza bisogno di password e di codici.

Nel furto di sessione chi attacca mette un intermediario tra te e il sito vero. Vedi una pagina identica a quella di accesso: in realtà ogni cosa che scrivi passa da lui e viene girata al servizio autentico. Il servizio risponde e ti chiede il secondo fattore, tu lo inserisci, l’intermediario lo inoltra, e a quel punto ottiene la sessione già autenticata. Microsoft ha descritto il meccanismo in dettaglio e sottolinea che non è un difetto dell’autenticazione a più fattori: il gettone rubato vale qualunque sia il metodo con cui ti sei autenticato.

La parte più istruttiva è quello che succede dopo. Nella campagna documentata da Microsoft, che ha tentato di colpire oltre 10.000 organizzazioni a partire da settembre 2021, chi attaccava usava il gettone rubato per aprire la posta nel giro di circa cinque minuti dalla prima connessione. Nei giorni seguenti cercava messaggi legati ai pagamenti, poi creava una regola che archiviava e segnava come lette le risposte provenienti dal dominio della vittima, per non farsi vedere. Rispondeva dentro conversazioni già esistenti per chiedere un pagamento e cancellava i propri messaggi inviati. È il collegamento diretto con la truffa del falso fornitore: il messaggio che chiede di cambiare IBAN parte da un account vero.

Quali metodi resistono, e quali no

CISA, l’agenzia statunitense per la sicurezza informatica, divide i metodi in due gruppi. Il criterio è semplice: un metodo resiste al phishing se non può essere «girato» a un intermediario.

NIST, l’ente statunitense per gli standard, nella versione 2025 delle sue linee guida sull’identità digitale (SP 800-63B-4) elenca allo stesso modo come non resistenti al phishing password, codici monouso e canali out-of-band, telefonici compresi. Non significa che questi metodi siano inutili: l’autenticazione a più fattori ferma ancora la maggior parte degli attacchi automatici con password rubate. Significa che, contro un attacco mirato con intermediario, non basta.

Che cosa sono le passkey

Una passkey è una credenziale crittografica che sostituisce la password. Sul tuo dispositivo resta una chiave privata; al sito arriva solo la parte pubblica. Secondo la FIDO Alliance, che ha definito lo standard, il sistema è progettato in modo che non ci siano segreti condivisi e che sul server non resti nulla di sensibile da rubare. Ogni passkey è unica per servizio, e secondo lo standard su cui si basa (WebAuthn, che CISA classifica come resistente al phishing) il dispositivo la usa solo sul sito per cui è stata creata. Se la pagina in cui sei capitato è un’imitazione, la passkey non viene proposta: non c’è nulla da dettare o da consegnare a chi ti sta ingannando.

Le passkey possono essere sincronizzate tra i tuoi dispositivi dal fornitore del sistema operativo oppure legate a un solo dispositivo, come nel caso delle chiavi hardware. NIST ammette quelle sincronizzabili fino al secondo livello di garanzia (AAL2) e le esclude dal terzo, che richiede una chiave non esportabile. Tradotto: vanno benissimo per quasi tutti, mentre per gli account che aprono la porta di un’intera azienda, come gli amministratori, la scelta migliore resta una chiave hardware dedicata.

Limiti da tenere presenti:

• La passkey sincronizzata è protetta dal tuo account del sistema operativo, quindi quell’account va protetto per primo.
• Se perdi tutti i dispositivi, la possibilità di rientrare passa dal recupero dell’account. È il punto debole che spiegano nella guida su password e recupero.
• Molti servizi permettono ancora di accedere con la vecchia password accanto alla passkey. Finché quella porta resta aperta, può essere ancora usata contro di te: dove possibile, disattivala.
• Non proteggono da un dispositivo già infettato o da chi ti convince a installare un programma di controllo remoto.

Dopo il clic: che cosa fare, in ordine

Se hai inserito le credenziali in una pagina sospetta, o se un collega lo ha fatto, il tempo vale più della perfezione.

1. Esci da tutte le sessioni. I principali servizi di posta e di account hanno una funzione per disconnettere tutti i dispositivi. Senza questo passaggio, il gettone rubato continua a valere anche dopo il cambio della password.
2. Cambia la password da un dispositivo pulito e, se puoi, passa a una passkey o a una chiave di sicurezza.
3. Controlla le regole di inoltro e i filtri della posta. Cerca regole che spostano messaggi, li segnano come letti o li inoltrano a un altro indirizzo. Microsoft indica la ricerca di regole create per scopi sospetti tra le attività da fare dopo un attacco di questo tipo.
4. Controlla le app collegate e i dispositivi autorizzati. Revoca quelli che non riconosci.
5. Controlla la posta inviata e quella eliminata per vedere se qualcuno ha scritto a tuo nome, e avvisa i contatti interessati.
6. Verifica i metodi di recupero (casella e numero di telefono alternativi): chi ha accesso a quelli rientra anche dopo il cambio della password.
7. In azienda, avvisa subito chi gestisce i sistemi. Meglio una segnalazione per un falso allarme che il silenzio per un vero attacco.

Riconoscere il phishing nel 2026

Gli errori di grammatica non sono più un segnale affidabile. Che cosa guardare, allora:

• Che cosa ti chiede. Accedere a un servizio, approvare una richiesta, scansionare un codice QR, aprire un «documento condiviso», confermare un pagamento. La richiesta conta più dell’aspetto.
• Da dove arriva il collegamento. Per gli accessi importanti usa i segnalibri o l’app ufficiale invece dei link nei messaggi.
• Il canale. I messaggi pensati per il telefono, come SMS e chat, sfuggono ai filtri della posta e, secondo il rapporto Verizon, riescono il 40% più spesso delle email.
• La fretta. Scadenze, blocchi dell’account, «attività insolita» sono il modo di impedirti di riflettere.
• Il comportamento della passkey. Se hai una passkey e sul sito non viene proposta, fermati: potresti non essere sul sito vero.

Per le aziende: priorità in ordine

1. Autenticazione resistente al phishing, cioè passkey o chiavi FIDO, per posta, accessi remoti e account amministrativi. Dove non è ancora possibile, almeno la notifica con numero da confermare, che CISA indica come opzione forte per le imprese piccole.
2. Criteri di accesso: consentire l’ingresso solo da dispositivi gestiti o da località attese, come suggerisce anche Microsoft.
3. Avvisi sulle nuove regole di inoltro e sulle connessioni insolite alla posta.
4. Un pulsante o un indirizzo per segnalare i messaggi sospetti, e una risposta rapida a chi segnala.
5. La procedura di richiamata per i pagamenti, descritta nella guida sul falso amico.
6. Aggiornamenti entro tempi stabiliti, perché le vulnerabilità sono il primo ingresso.
7. I fornitori contano: nel rapporto 2026 di Verizon, le violazioni con un terzo coinvolto sono il 48% del totale, e solo il 23% dei fornitori ha corretto del tutto l’assenza o l’errata configurazione dell’autenticazione a più fattori sui propri account cloud.

Domande frequenti

Fonti

• Verizon, Data Breach Investigations Report 2026
• SecurityWeek, Verizon DBIR 2026: vulnerability exploitation overtakes credential theft as top breach vector
• SC Media, Verizon DBIR 2026: vulnerability exploits top initial access as patching coverage falls
• CISA, Implementing Phishing-Resistant MFA (ottobre 2022)
• NIST, SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management
• FIDO Alliance, Passkeys
• Microsoft Security, From cookie theft to BEC: attackers use AiTM phishing sites as entry point to further financial fraud (12 luglio 2022)
• Racconti di chi lavora o ha lavorato in questi ambienti: testimonianze, riportate come tali.