Il phishing scritto dall'AI convince quattro volte di più: cosa dice il report Microsoft 2026

Negli ultimi mesi, quando aiutiamo un cliente a leggere i log di una campagna di phishing simulato, notiamo sempre più spesso la stessa reazione: “ma questa mail sembrava scritta da un collega vero”. Non è un’impressione sbagliata. Il report appena pubblicato da Microsoft lo conferma con numeri precisi, e per una PMI, una scuola o un ente del terzo settore cambia parecchio il modo in cui va impostata la difesa.

Cosa dice il report

Il Digital Defense Report 2026 di Microsoft, pubblicato il 1° ottobre e basato sui dati raccolti tra luglio 2025 e giugno 2026, fotografa un salto netto nel modo in cui vengono condotti gli attacchi informatici. Il dato più concreto riguarda proprio il phishing: è stato il punto d’ingresso nel 23% delle intrusioni analizzate dagli esperti Microsoft, contro il 7% dell’anno precedente.

Il motivo, secondo il report, è l’uso sistematico dell’intelligenza artificiale generativa per scrivere le mail-esca. Quando il testo è prodotto con AI, il tasso di click arriva al 54%, contro circa il 12% delle campagne di phishing tradizionali: più di quattro volte tanto. Sparite le frasi tradotte male, gli errori grammaticali, il tono impersonale che per anni ci hanno insegnato a riconoscere come campanello d’allarme.

Microsoft segnala inoltre che il tempo medio tra la scoperta di una vulnerabilità e il suo sfruttamento concreto si è ridotto a meno di 24 ore, e cita il caso di un primo attacco ransomware condotto in modo quasi completamente autonomo da un sistema AI, osservato a luglio 2026. Sono episodi che riguardano soprattutto grandi organizzazioni, ma la tendenza di fondo — attacchi più veloci, più mirati, più credibili — si scarica inevitabilmente anche su realtà più piccole, spesso meno attrezzate per riconoscerli.

Perché riguarda anche chi non è un bersaglio “da prima pagina”

Un errore comune che vediamo in Security Smart è pensare che questi strumenti vengano usati solo contro grandi aziende o enti pubblici. In realtà l’AI generativa abbassa il costo di produrre un attacco credibile, e questo rende conveniente colpire anche realtà piccole: basta un indirizzo email pubblico sul sito e qualche informazione reperibile online (nome del fornitore, ruolo in azienda, linguaggio tipico del settore) per costruire una mail su misura in pochi minuti.

Il punto debole non è più “il testo sembra falso”: è il fatto che il messaggio arrivi nel momento giusto, dal mittente giusto apparente, con il tono giusto. Per questo le regole classiche (“controlla gli errori di ortografia”, “diffida di un tono troppo generico”) da sole non bastano più.

Cosa consiglia Microsoft, tradotto per una realtà piccola

Il report indica tre priorità difensive, che restano valide indipendentemente dalle dimensioni dell’organizzazione:

• autenticazione a più fattori resistente al phishing (chiavi di sicurezza o passkey, non solo codice via SMS o app);
• igiene degli accessi: sapere chi ha privilegi amministrativi e perché, e toglierli a chi non ne ha più bisogno;
• gestione separata degli account con permessi elevati, così che una singola mail cliccata non dia accesso a tutto il sistema.

Cosa fare, in pratica

• Passate, dove possibile, da SMS/app come secondo fattore a chiavi di sicurezza fisiche o passkey: resistono anche se l’utente clicca su un link di phishing sofisticato.
• Fate un censimento rapido di chi ha accesso da amministratore a email, gestionale e backup: spesso sono più persone di quanto si pensi, e non tutte ne hanno ancora bisogno.
• Aggiornate la formazione del personale: non basta più dire “controllate gli errori nella mail”, bisogna insegnare a verificare sempre il canale (una telefonata di conferma per richieste di pagamento o accesso, anche se la mail sembra perfetta).
• Segmentate i backup e tenete almeno una copia offline o immutabile: se il tempo tra violazione e danno si accorcia, la velocità con cui potete ripristinare diventa la vera differenza.
• Se non lo avete mai fatto, programmate una simulazione di phishing con testi generati in modo realistico: è l’unico modo per capire quanto il vostro team è davvero esposto a questo tipo di messaggi.

Matteo Gianniello — Consulente privacy e cyber security