Immagine copertina generata con l’intelligenza artificiale
Le campagne di phishing stanno diventando sempre più difficili da riconoscere e bloccare. L’intelligenza artificiale permette infatti agli aggressori di creare email personalizzate, credibili e differenti tra loro, aumentando le probabilità che riescano a superare i sistemi di protezione tradizionali. Per gli MSP, quindi, la difesa non può più fermarsi alla casella di posta: identità, email ed endpoint devono essere monitorati insieme per individuare rapidamente i segnali di compromissione.
L’intelligenza artificiale rende il phishing più convincente
L’AI ha modificato profondamente il modo in cui vengono realizzate le campagne di phishing. Gli aggressori possono utilizzare grandi modelli linguistici e informazioni pubblicamente disponibili, ad esempio provenienti da LinkedIn e dai siti aziendali, per costruire in pochi minuti un profilo dettagliato della vittima.
Da questi dati possono nascere messaggi che sembrano provenire da colleghi, clienti o fornitori reali. Le email risultano personalizzate, contestualmente coerenti e prive degli errori grammaticali che in passato rappresentavano uno dei segnali più evidenti di una truffa.
Secondo l’Harvard Business Review, le campagne di spear phishing generate dall’AI hanno raggiunto un tasso di clic del 54%, paragonabile a quello ottenuto da esperti umani, ma con costi decisamente inferiori. L’intelligenza artificiale, inoltre, consente di modificare continuamente oggetto, contenuto, mittente e formattazione dei messaggi, rendendo più difficile il riconoscimento tramite indicatori conosciuti.
Perché i filtri tradizionali non sono più sufficienti
I sistemi email tradizionali si basano in larga parte su firme, reputazione dei mittenti e indicatori di compromissione già conosciuti. Il problema è che il phishing generato dall’AI può produrre una versione diversa praticamente per ogni destinatario, utilizzando anche servizi cloud affidabili, codici QR e catene di reindirizzamento.
Per questo il filtro della posta non può rappresentare l’unico livello di sicurezza. Se un utente apre un link malevolo o inserisce le proprie credenziali, l’attacco può rapidamente trasformarsi in una compromissione dell’account. Gli aggressori possono rubare token di sessione, creare regole nella casella di posta per nascondere le proprie attività e iniziare a muoversi all’interno dell’ambiente aziendale.
Il rapporto IBM Cost of a Data Breach 2024 indica il phishing come la principale causa di violazioni dei dati, responsabile del 16% degli incidenti e associato a un costo medio di 4,8 milioni di dollari per violazione.
Identità, email ed endpoint sotto osservazione
La risposta degli MSP deve quindi spostarsi dalla semplice prevenzione alla rilevazione del comportamento anomalo. Un elemento fondamentale è il monitoraggio delle identità. Accessi da località insolite, login incompatibili con gli spostamenti fisici e ripetute richieste di autenticazione multifattore non avviate dall’utente possono rappresentare segnali di compromissione.
Anche l’attività email deve essere analizzata. Una nuova regola di inoltro verso un indirizzo esterno, un improvviso aumento dei messaggi inviati o comportamenti mai osservati in precedenza possono fornire indicazioni importanti.
Lo stesso vale per gli endpoint. Un accesso apparentemente legittimo seguito dall’avvio di script PowerShell o da processi insoliti può indicare che l’attacco sta proseguendo oltre la posta elettronica. Correlare questi segnali tra identità, email e dispositivi permette di riconoscere più rapidamente una minaccia attiva e ridurre il numero di falsi allarmi.
Cosa possono fare subito gli MSP
La velocità di intervento diventa decisiva quando le credenziali sono già state compromesse. Gli MSP possono adottare sistemi capaci di segnalare automaticamente attività sospette, isolare gli endpoint compromessi e disabilitare account o sessioni prima che l’aggressore possa ampliare il proprio accesso.
Anche la formazione deve cambiare. Le simulazioni di phishing dovrebbero riprodurre le campagne realistiche e personalizzate prodotte dall’AI, invece dei vecchi messaggi pieni di errori e facilmente riconoscibili.
Per le richieste più rischiose, come modifiche ai pagamenti dei fornitori, trasferimenti di denaro o reimpostazioni delle credenziali, è inoltre utile imporre una verifica attraverso un canale separato. Infine, gli MSP dovrebbero misurare non soltanto il tempo necessario a risolvere un incidente, ma soprattutto quanto rapidamente riescono a individuarlo e contenerlo.
L’AI ha trasformato il phishing da un problema legato principalmente al filtraggio delle email in una questione di rilevazione e risposta. Per gli MSP, la capacità di osservare ciò che accade dopo la consegna di un messaggio può fare la differenza tra un semplice tentativo di frode e una violazione estesa dell’ambiente aziendale.
Fonte: BleepingComputer
