Spear phishing: cos’è, come funziona e come un’azienda può proteggersi

Lo spear phishing è un attacco informatico mirato in cui il mittente fraudolento costruisce un messaggio personalizzato, basato su informazioni specifiche sull’organizzazione bersaglio, per indurre un destinatario selezionato a cedere credenziali, autorizzare pagamenti o modificare coordinate bancarie. A differenza del phishing generico, che opera per volume, l’attacco spear phishing ha un grado di verosimiglianza elevato perché sfrutta dati reali sull’azienda, sui colleghi e sui processi interni.
Secondo il Verizon Data Breach Investigations Report 2025, il phishing è il vettore di accesso iniziale nel 16% di tutte le violazioni di dati confermate, con il 60% degli incidenti che coinvolge un’azione umana (fonte: Verizon DBIR, aprile 2025). Il costo medio di un incidente originato da phishing è stimato in 4,8 milioni di dollari (fonte: IBM Cost of a Data Breach Report 2025). In Italia, il Rapporto Clusit 2026 documenta un incremento del 66% degli attacchi basati su phishing e social engineering nel 2025, con l’intelligenza artificiale generativa tra i principali fattori di crescita (fonte: Clusit, marzo 2026).
In breve:

  • Lo spear phishing è la variante mirata del phishing: costruita su informazioni specifiche sull’azienda e sui destinatari, ha tassi di efficacia significativamente superiori al phishing generico.
  • La differenza tra phishing e spear phishing risiede nel livello di personalizzazione: il primo opera per volume e messaggi standardizzati, il secondo per targeting selettivo e contenuto su misura.
  • Il deceptive phishing è la forma base di phishing che inganna attraverso la simulazione di un mittente legittimo, distinto dallo spear phishing per l’assenza di personalizzazione specifica sul target.
  • Nei flussi aziendali, lo spear phishing serve frequentemente come vettore d’ingresso per attacchi BEC (Business Email Compromise) e CEO fraud, con impatto diretto sui bonifici aziendali.
  • L’intelligenza artificiale generativa ha eliminato gli indicatori tradizionali di riconoscimento (errori grammaticali, incongruenze stilistiche), rendendo i messaggi fraudolenti indistinguibili da quelli legittimi.
  • La prevenzione efficace combina controlli automatici sulle coordinate bancarie, procedure di verifica a doppio canale e formazione specifica per le funzioni finance e tesoreria.

Cosa significa spear phishing?

Lo spear phishing è una tecnica di ingegneria sociale in cui l’attaccante costruisce un messaggio fraudolento altamente personalizzato per colpire un individuo o un’organizzazione specifici. Il termine richiama l’immagine della pesca con la lancia: al contrario del phishing con la rete a strascico, che cattura chiunque abbocchi, lo spear phishing prende di mira un soggetto preciso con un amo costruito su misura.
In ambito aziendale, la personalizzazione si ottiene attraverso attività di ricognizione OSINT (Open Source Intelligence): analisi dei profili LinkedIn dei dirigenti, consultazione dei comunicati stampa, lettura dei bilanci pubblici, mappatura delle relazioni commerciali. Il risultato è un messaggio che contiene riferimenti verificabili a progetti reali, nomi di colleghi, fornitori effettivi e processi interni, eliminando le incongruenze che consentirebbero al destinatario di riconoscere la frode.
Per un CFO o un responsabile della tesoreria, questo implica che la superficie di attacco include qualsiasi informazione pubblica sull’
organizzazione. La riduzione della visibilità online dei processi finanziari e dell’organigramma è pertanto una misura preventiva diretta.

Qual è la differenza tra phishing e spear phishing?

La differenza tra phishing e spear phishing è strutturale e riguarda il modello operativo dell’attaccante. Il phishing tradizionale è un attacco di volume: messaggi standardizzati, mittenti simulati generici (istituti bancari, servizi di posta, operatori telefonici), distribuiti a milioni di destinatari con l’obiettivo di ottenere un tasso di risposta anche minimo. Il tasso di successo individuale è basso, ma la scala compensa.
Lo spear phishing inverte questa logica: il volume dei messaggi è basso, la personalizzazione è alta e il target è selezionato in anticipo in funzione del potenziale valore dell’attacco. Questa distinzione ha conseguenze operative dirette:

  • Il phishing generico può essere contrastato in larga parte con filtri antispam, blocco di URL malevoli e sensibilizzazione di base.
  • Lo spear phishing supera più frequentemente i filtri tecnici perché i messaggi provengono da domini legittimi compromessi o altamente verosimili, non contengono payload noti e sono calibrati sul comportamento atteso del destinatario.
Dimensione Phishing generico Spear phishing
Volume messaggi Elevato Basso (selettivo)
Personalizzazione Minima Elevata (OSINT su target)
Tasso di efficacia Basso per singolo target Significativamente più alto
Rilevamento tecnico Più efficace (pattern noti) Più difficile (assenza di indicatori standard)
Vettore tipico in azienda Sottrazione credenziali CEO fraud, BEC, modifica IBAN

Qual è la differenza tra deceptive phishing e spear phishing?

Il deceptive phishing è la forma più diffusa di phishing: l’attaccante impersona un’entità legittima nota (una banca, un servizio cloud, un ente fiscale) per convincere il destinatario a inserire le proprie credenziali su una pagina falsa o ad aprire un allegato malevolo. L’inganno si basa sulla simulazione grafica e sul nome del mittente, non su informazioni specifiche sul destinatario.
Lo spear phishing contiene gli stessi elementi di inganno del deceptive phishing, ma li integra con dati contestuali sul target. Un messaggio di deceptive phishing simula la comunicazione di una banca generica; un messaggio di spear phishing simula la comunicazione del CFO dell’azienda del destinatario, menzionando un fornitore reale e un’operazione in corso. La distinzione è rilevante sul piano operativo: le contromisure contro il deceptive phishing (blocco di URL malevoli, filtri antispam su pattern noti) sono insufficienti contro lo spear phishing, che richiede presidio procedurale sui processi di pagamento.

Come si svolge un attacco di spear phishing?

Un attacco spear phishing in ambito aziendale si articola tipicamente in quattro fasi sequenziali, con una finestra temporale tra la ricognizione e l’esecuzione che può estendersi da settimane a mesi.

Come si svolge?

L’attaccante raccoglie informazioni sull’organizzazione target attraverso fonti pubbliche: organigramma disponibile sul sito aziendale o su LinkedIn, comunicati stampa che rivelano acquisizioni o cambi di fornitore, bilanci che indicano il volume delle transazioni, eventi di settore che mappano le relazioni commerciali. Questa fase non richiede accesso ai sistemi aziendali e non è rilevabile.

Il messaggio fraudolento viene costruito integrando le informazioni raccolte. L’indirizzo del mittente è falsificato (spoofing) o proviene da un dominio lookalike (differente dal legittimo di pochi caratteri). Il contenuto replica lo stile comunicativo del soggetto impersonato e contiene riferimenti verificabili che aumentano la credibilità. L’intelligenza artificiale generativa consente oggi di automatizzare questa fase e di replicare lo stile individuale del mittente simulato con precisione elevata.

L’obiettivo immediato è l’accesso a una casella email aziendale, a un sistema ERP o a credenziali bancarie. Il messaggio di spear phishing induce il destinatario a cliccare su un link verso una pagina di autenticazione fraudolenta, ad aprire un allegato con payload, o a rispondere fornendo informazioni operative. La compromissione di una casella email diventa poi la base per un attacco BEC.

Con accesso alla casella email compromessa, l’attaccante monitora le conversazioni in corso, identifica i flussi di pagamento attivi e interviene al momento opportuno: modifica l’IBAN in una fattura in transito, invia una richiesta di bonifico urgente simulando il dirigente apicale, o aggiorna le coordinate bancarie di un fornitore prima di un pagamento programmato Il Verizon DBIR 2026 conferma che i fattori umani, tra cui social engineering e phishing, rimangono tra le cause principali delle violazioni di dati confermate (fonte: Verizon DBIR, maggio 2026).

Lo spear phishing come vettore di BEC e CEO fraud

Nei flussi finanziari aziendali, lo spear phishing è raramente un attacco concluso in sé: è il vettore d’accesso che abilita operazioni di maggiore portata economica. Le forme più rilevanti sono la Business Email Compromise (BEC) e la CEO fraud.
Nella BEC, l’attaccante compromette o falsifica un indirizzo email aziendale per inviare richieste fraudolente di pagamento o di modifica delle coordinate bancarie di un fornitore. Nella CEO fraud, il soggetto impersonato è specificamente l’amministratore delegato o un dirigente apicale: la leva dell’autorità gerarchica induce un addetto della tesoreria a eseguire un bonifico urgente verso un conto controllato dal frodatore, bypassando le procedure di autorizzazione standard.
Secondo i dati dell’FBI IC3 Annual Report 2025, le perdite da BEC hanno raggiunto 3,04 miliardi di dollari, con una perdita media per singolo incidente superiore a 122.000 dollari (fonte: FBI IC3, aprile 2026). Il 63% delle organizzazioni a livello globale ha subito un attacco BEC nel 2024 (fonte: AFP Fraud and Control Survey, 2025).
Il collegamento tra spear phishing e BEC è strutturale: la compromissione della casella email, ottenuta attraverso lo spear phishing, fornisce all’attaccante le informazioni sullo stile comunicativo, le relazioni in corso e i processi di pagamento necessari per costruire una richiesta fraudolenta convincente.

Come difendersi dallo spear phishing nei processi di pagamento?

La difesa dallo spear phishing nei processi di pagamento aziendali richiede un approccio stratificato che non si esaurisca nei controlli tecnici email, insufficienti contro attacchi basati su domini lookalike e caselle compromesse. I livelli di presidio efficaci sono tre.

1. Controlli automatici sulle coordinate bancarie

L’integrazione di soluzioni di verifica IBAN e del beneficiario nei processi Procure-to-Pay rappresenta il presidio più rilevante contro l’esito economico di un attacco spear phishing: anche quando l’attacco ha già compromesso una casella email o convinto un operatore, il controllo automatico sulle coordinate bancarie blocca il pagamento verso un conto fraudolento prima dell’esecuzione.
Dal 9 ottobre 2025, il Regolamento UE 2024/886 sui bonifici istantanei obbliga i prestatori di servizi di pagamento a implementare la Verification of Payee (VoP) per i bonifici in euro, introducendo un presidio normativo strutturale sulla corrispondenza tra IBAN e intestatario. Per le aziende, l’adozione di sistemi analoghi sui propri processi interni, integrati con ERP e TMS, estende questa protezione a tutte le transazioni, non solo a quelle istantanee.

2. Procedure operative e separazione dei ruoli

Nessuna modifica delle coordinate bancarie di un fornitore deve essere eseguibile a seguito di una sola comunicazione email, indipendentemente dal mittente apparente. Le misure procedurali essenziali includono:

  • Verifica a doppio canale su numero certificato preesistente per qualsiasi richiesta di modifica delle anagrafiche bancarie.
  • Doppia autorizzazione per bonifici fuori dai flussi standard o di importo superiore a soglie predefinite.
  • Separazione rigorosa tra chi modifica un’anagrafica fornitore, chi autorizza il pagamento e chi lo esegue.
  • Tracciabilità completa di ogni modifica alle coordinate bancarie per finalità di audit interno.

3. Configurazioni tecniche di base

Sul piano dell’infrastruttura email, le misure minime includono l’implementazione di DMARC, DKIM e SPF sul dominio aziendale, che rendono tecnicamente più difficile lo spoofing del mittente. L’autenticazione multi-fattore (MFA) su tutti gli accessi ai sistemi critici riduce il rischio di sfruttamento delle credenziali sottratte attraverso lo spear phishing. I metodi MFA basati su OTP via SMS sono vulnerabili a SIM-swap e andrebbero sostituiti con autenticatori app o chiavi hardware

Formazione specifica per le funzioni esposte

La formazione sullo spear phishing deve essere specifica per ruolo operativo, non generica. Le funzioni con maggiore esposizione sono tesoreria, contabilità fornitori e HR. Il Verizon DBIR 2025 indica che il tasso mediano di click su simulazioni di phishing si attesta intorno all’1,5%, un livello raggiungibile ma che richiede programmi continuativi e non episodici (fonte: Verizon DBIR, aprile 2025). L’assenza di errori grammaticali non è più un indicatore affidabile di legittimità: l’AI generativa produce messaggi stilisticamente corretti e personalizzati senza intervento manuale.

Obblighi normativi per le aziende in relazione allo spear phishing

Lo spear phishing rileva sul piano normativo come vettore di frode informatica ai sensi dell’articolo 640-ter del Codice Penale e come rischio cyber ai sensi delle principali normative europee di sicurezza.
Il D.Lgs. 138/2024, che recepisce la Direttiva NIS2, obbliga i soggetti rientranti nel perimetro a implementare misure di gestione dei rischi cyber che includano formazione del personale, sicurezza della catena di approvvigionamento e gestione degli incidenti. Il Regolamento DORA (in vigore per il settore finanziario dal 17 gennaio 2025) estende questi obblighi alle entità finanziarie e ai loro fornitori di servizi ICT critici, includendo test di resilienza operativa digitale. Il GDPR (Regolamento UE 2016/679) richiede la notifica all’Autorità Garante entro 72 ore da qualsiasi violazione che comporti accesso non autorizzato a dati personali, categoria che include le compromissioni di caselle email aziendali.
Per le aziende, la mancata adozione di controlli adeguati contro attacchi di spear phishing può rilevare ai fini della responsabilità amministrativa ex D.Lgs. 231/2001, in caso di reati informatici commessi nell’interesse dell’organizzazione o che abbiano trovato condizioni favorevoli nell’assenza di presidi antifrode documentati.

Difendi la tua azienda dallo spear phishing con Sis ID

Lo spear phishing colpisce i processi di pagamento aziendali perché è progettato per superare i controlli umani: messaggi personalizzati, mittenti verosimili e riferimenti verificabili riducono la probabilità che un operatore rilevi la frode prima di eseguire il bonifico. Un sistema di verifica automatica dell’IBAN e del beneficiario, integrato nei flussi Procure-to-Pay, costituisce un presidio compensativo indipendente dal comportamento umano: anche quando un operatore è stato ingannato, il controllo sulle coordinate bancarie blocca il pagamento verso il conto del frodatore prima che venga disposto.
Sis ID offre la verifica IBAN e del beneficiario con copertura in area SEPA tramite il servizio Verification of Payee e validazione su giurisdizioni internazionali, integrata via API con ERP e TMS nei punti critici del ciclo: onboarding dei fornitori, modifica delle anagrafiche e autorizzazione dei bonifici.
Scopri la soluzione antifrode di Sis ID.

FAQ ?

Domande frequenti sullo spear phishing

Le funzioni con la massima esposizione operativa sono tesoreria e pagamenti, contabilità fornitori e HR. Il top management è esposto non solo come target diretto ma come soggetto impersonato in attacchi CEO fraud. In ordine di rischio economico, i profili più critici sono quelli con potere di modifica delle anagrafiche bancarie o di autorizzazione dei bonifici senza obbligo di doppia firma, perché il danno si concretizza prima che il processo di controllo ordinario possa intervenire.

La finestra temporale tra la fase di ricognizione e l’esecuzione dell’attacco spear phishing varia da pochi giorni a diversi mesi, a seconda della complessità del target e del valore atteso. Negli attacchi BEC più sofisticati, l’attaccante monitora la casella email compromessa per settimane prima di intervenire, identificando il momento operativo ottimale: un pagamento di importo elevato in fase di autorizzazione, una modifica di anagrafica fornitore già in lavorazione, o una sostituzione dirigenziale che giustifichi una richiesta fuori dal flusso ordinario.

Gli attacchi spear phishing che comportano l’accesso non autorizzato a sistemi informatici o la sottrazione di fondi rientrano nelle fattispecie dell’articolo 640-ter del Codice Penale (frode informatica) e, quando coinvolgono l’utilizzo indebito di identità digitali, nell’aggravante del terzo comma dello stesso articolo, procedibile d’ufficio. La denuncia si presenta alla Polizia Postale, anche tramite il portale online della Polizia di Stato. La tempestività è determinante per attivare il recall bancario dei fondi.

Scelgo la mia rete e la condivido!