--- id: CP-002 slug: spear-phishing-email-mirate-osint lang: it title: "Spear-phishing: l'attacco mirato" description: Lo spear-phishing è un'email personalizzata con informazioni pubbliche su di Lei e sulla Sua azienda. Come riconoscerlo. canonical_url: https://startbrain.io/cyberpedia/it/articles/spear-phishing-email-mirate-osint/ markdown_url: https://startbrain.io/cyberpedia/it/articles/spear-phishing-email-mirate-osint.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: "Brain, «Spear-phishing: l'attacco mirato», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/spear-phishing-email-mirate-osint/ (CC BY 4.0)" wing: 1 theme: detect_phishing reflex: cr-002 schema: G1 updated: "2026-11-03" translations: it: https://startbrain.io/cyberpedia/it/articles/spear-phishing-email-mirate-osint/ fr: https://startbrain.io/cyberpedia/fr/articles/spear-phishing-harponnage-cible-osint/ en: https://startbrain.io/cyberpedia/en/articles/spear-phishing-osint-targeted-emails/ de: https://startbrain.io/cyberpedia/de/articles/spear-phishing-gezielte-e-mails-osint/ es: https://startbrain.io/cyberpedia/es/articles/spear-phishing-correos-dirigidos-osint/ nl: https://startbrain.io/cyberpedia/nl/articles/spear-phishing-gerichte-e-mails-osint/ sources: - "n": 1 title: Phishing, Technique T1566 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/ accessed: "2026-11-03" - "n": 2 title: "Phishing attacks: defending your organisation" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/guidance/phishing published: "2018-02-05" accessed: "2026-11-03" - "n": 3 title: Avoiding Social Engineering and Phishing Attacks | CISA publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" - "n": 4 title: Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1598/ accessed: "2026-11-03" - "n": 5 title: "Phishing: Spearphishing Attachment, Sub-technique T1566.001 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/001/ accessed: "2026-11-03" - "n": 6 title: "Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/002/ accessed: "2026-11-03" - "n": 7 title: "Phishing: Spearphishing via Service, Sub-technique T1566.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/003/ accessed: "2026-11-03" - "n": 8 title: APT28, IRON TWILIGHT, SNAKEMACKEREL, Swallowtail, Group 74, Sednit, Sofacy, Pawn Storm, Fancy Bear, STRONTIUM, Tsar Team, Threat Group-4127, TG-4127, Forest Blizzard, FROZENLAKE, GruesomeLarch, Group G0007 | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/groups/G0007/ accessed: "2026-11-03" - "n": 9 title: NSA and CISA Red and Blue Teams Share Top Ten Cybersecurity Misconfigurations | CISA publisher: CISA url: https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-278a published: "2023-10-05" accessed: "2026-11-03" - "n": 10 title: SVR Cyber Actors Adapt Tactics for Initial Cloud Access | CISA publisher: CISA url: https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-057a published: "2024-02-26" accessed: "2026-11-03" --- # Spear-phishing: l'attacco mirato Lo spear-phishing, o phishing mirato, è un'email trappola indirizzata a una persona, a un'azienda o a un settore precisi, e non inviata a milioni di caselle a caso [1][2]. L'attaccante usa ciò che sa di Lei o della Sua azienda per rendere il messaggio più persuasivo e più realistico [2]. Un messaggio di questo tipo può citare il Suo ruolo, un fornitore reale o un collega. Non somiglia quindi alle email di massa che si impara a riconoscere. ## In 30 secondi - Dove accade: nella posta elettronica aziendale, ma anche attraverso i social network [1][2]. - Cosa vuole l'attaccante: più spesso far eseguire codice malevolo sul Suo computer [1], oppure ottenere una password, dati o un pagamento [2]. - Il riflesso: per ogni richiesta insolita (pagamento, password, file), confermarla attraverso un canale diverso dall'email, ad esempio una telefonata o una conversazione di persona [2]. - Se l'ha già fatto: avvisare subito le persone competenti dell'organizzazione, anche dopo un clic. Un dipendente che teme dei rimproveri segnala più lentamente [2]. ## Domande dirette ### Che cosa distingue lo spear-phishing dal phishing classico? La mira. MITRE descrive lo spear-phishing come una variante in cui è preso di mira un individuo, un'azienda o un settore precisi, in contrasto con le campagne di spam malevolo non mirate [1]. L'NCSC britannico precisa che l'attaccante si serve di informazioni sui dipendenti o sull'azienda [2]. ### Come fa l'attaccante a conoscermi? Legge ciò che è pubblico. Secondo l'NCSC, sfrutta le informazioni liberamente disponibili sul sito dell'azienda e sui social network (l'«impronta digitale») per rendere i suoi messaggi più convincenti [2]. L'NCSC aggiunge che anche partner, appaltatori e fornitori possono rivelare online informazioni su un'organizzazione [2]. ### Perché è più difficile da riconoscere? I segni abituali del phishing sono un saluto generico come «Dear Valued Customer», una firma senza recapiti, errori di ortografia o un'impaginazione incoerente [3]. Un messaggio scritto per Lei può evitare tutto questo. L'NCSC scrive che riconoscere tutte le email di phishing è difficile e che gli attacchi di spear-phishing sono ancora più difficili da individuare [2]. ### I dirigenti sono presi di mira in via prioritaria? Sono un bersaglio a sé. L'NCSC chiama «whaling» una forma di spear-phishing che punta a un «big phish», ad esempio un membro del consiglio di amministrazione che ha accesso a beni di valore [2]. Tra i profili di interesse elenca anche le persone autorizzate ad accedere a informazioni sensibili, a gestire fondi o ad amministrare i sistemi informatici [2]. ### Che cosa fare se ho cliccato o risposto? CISA consiglia di segnalare la situazione alle persone competenti dell'organizzazione, compresi gli amministratori di rete, che potranno monitorare qualsiasi attività insolita. Occorre anche cambiare senza attendere le password divulgate, e quelle degli altri account se vi era usata la stessa password [3]. ## Nei panni dell'attaccante MITRE classifica questa fase nella ricognizione: il phishing per ottenere informazioni mira a far divulgare credenziali o altri dati sfruttabili, e non a eseguire codice malevolo [4]. L'attaccante può anche dialogare direttamente per email o messaggistica istantanea, fingendosi una fonte che ha una ragione per chiedere, oppure inviando più messaggi dall'aria urgente [4]. MITRE cita esempi di gruppi. Kimsuky ha inviato email su misura per raccogliere informazioni sulle vittime, tra cui elenchi di contatti usati per individuare altri bersagli [4]. ZIRCONIUM ha preso di mira collaboratori di una campagna presidenziale con email di raccolta di credenziali [4]. Scattered Spider ha combinato phishing di credenziali e ingegneria sociale per carpire codici monouso (OTP) [4]. L'NCSC descrive ciò che l'attaccante può sfruttare nel funzionamento interno: se i metodi di lavoro sono noti (ad esempio come vengono effettuati i pagamenti), può imitarli per ottenere una password o un pagamento non autorizzato [2]. ## Cosa si vede sullo schermo Le fonti citate qui descrivono più forme. Con un allegato, l'attaccante unisce un file all'email e conta in genere sull'esecuzione da parte dell'utente, fingendosi una fonte attendibile [5]. Il gruppo APT28 ha inviato email contenenti allegati Microsoft Office e RAR malevoli [8]. Con un link, evita le difese che ispezionano gli allegati [6]. I link possono sembrare innocui ma imitare un sito legittimo grazie a caratteri speciali (attacco detto «IDN homograph»), oppure nascondere il proprio indirizzo sfruttando particolarità della sintassi degli URL [6]. Un link può anche richiedere un'autorizzazione OAuth 2.0: se l'utente accetta, un'applicazione malevola ottiene diritti di accesso all'account e può agire a nome dell'utente [6]. Tramite un servizio terzo, il messaggio arriva fuori dalla posta aziendale: social network, posta web personale. MITRE osserva che questi servizi hanno più spesso una politica di sicurezza meno rigida di quella di un'azienda [7]. L'attaccante crea account falsi e propone, ad esempio, un'offerta di lavoro [7]. Questo gli offre un motivo plausibile per fare domande sui software utilizzati [7]. Può anche guadagnarsi la fiducia del bersaglio e poi inviare un file alla posta personale che questi consulta dal computer di lavoro [7]. Quel file aggira così le restrizioni dell'account professionale [7]. Altre varianti: l'attaccante si inserisce in una discussione già in corso («thread hijacking») [1], oppure il messaggio invita a chiamare un numero in cui la vittima viene guidata verso un URL malevolo, un malware o uno strumento di amministrazione remota [1]. CISA segnala inoltre indirizzi del mittente che somigliano a quelli di un'azienda nota modificando o omettendo qualche carattere, e link il cui testo visualizzato non corrisponde alla destinazione quando vi si passa sopra [3]. Illustrazione neutralizzata, senza link reale: ```text Da: [nome di un collega o di un fornitore noto] Oggetto: [cita un progetto reale del Suo reparto] Corpo: [richiesta di rileggere un documento; parafrasi] Link: hxxps://accesso-societa[.]invalid/[pagina di accesso imitata] ``` ## Sotto il cofano Falsificazione del mittente: l'attaccante può falsificare l'identità del mittente per ingannare sia il destinatario sia gli strumenti di sicurezza automatici [1]. Le contromisure citate sono SPF (validità del dominio del mittente), DKIM (integrità del messaggio) e DMARC, che permette all'organizzazione di far applicare questi controlli [1]. L'NCSC aggiunge che DMARC impedisce ai criminali del phishing di falsificare il dominio di un'organizzazione e che le email legittime di quest'ultima hanno più probabilità di raggiungere le caselle di posta [2]. Dominio sosia: le fonti parlano di indirizzi vicini all'originale (caratteri modificati o omessi) [3] e di caratteri speciali che imitano un sito legittimo [6]. Un indirizzo che sembra corretto a occhio può quindi non esserlo. Raccolta: la pagina trappola serve a recuperare credenziali, l'allegato o il link a installare codice [1][4]. Durante un test, un team di valutazione di CISA e NSA è entrato tramite phishing su un account di utente finale dotato di diritti di amministratore e ha compromesso un dominio in meno di un giorno lavorativo [9]. Aggiramento dell'autenticazione a due fattori: in un altro test, il team conosceva le credenziali di un utente, ma l'autenticazione a più fattori bloccava i suoi accessi. Si è finto il supporto informatico e ha ottenuto il codice per telefono [9]. Alcune forme di autenticazione a più fattori sono vulnerabili al phishing e al «push bombing» [9]. ## Autopsie ### 2016: il Comitato nazionale democratico statunitense APT28 avrebbe compromesso nel 2016 la campagna di Hillary Clinton, il Comitato nazionale democratico (DNC) e il Comitato di campagna democratico per il Congresso (DCCC), per tentare di influenzare l'elezione presidenziale statunitense [8]. Secondo MITRE, il gruppo ha usato credenziali rubate tramite un'email di spear-phishing per accedere alla rete del DCCC, poi si è servito di quell'accesso per compromettere quella del DNC [8]. ### Febbraio 2024: gli accessi al cloud del gruppo APT29 Un avviso pubblicato il 26 febbraio 2024 dall'NCSC britannico e dai suoi partner descrive i metodi del gruppo APT29, valutato come quasi certamente parte dell'SVR russo [10]. L'avviso non tratta dello spear-phishing in sé, ma della fase successiva, quando una password è già nota: descrive un aggiramento dell'autenticazione a più fattori tramite «MFA bombing» o «MFA fatigue», in cui l'attore invia richieste ripetute finché la vittima non accetta [10]. Raccomanda di limitare la durata delle sessioni e di consentire l'enrollment solo di dispositivi autorizzati [10]. ## Fonti 1. MITRE ATT&CK, «Phishing, Technique T1566 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/ (consultato il 3 novembre 2026) 2. NCSC (Royaume-Uni), «Phishing attacks: defending your organisation», 5 febbraio 2018. https://www.ncsc.gov.uk/guidance/phishing (consultato il 3 novembre 2026) 3. CISA, «Avoiding Social Engineering and Phishing Attacks | CISA», 1 febbraio 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultato il 3 novembre 2026) 4. MITRE ATT&CK, «Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1598/ (consultato il 3 novembre 2026) 5. MITRE ATT&CK, «Phishing: Spearphishing Attachment, Sub-technique T1566.001 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/001/ (consultato il 3 novembre 2026) 6. MITRE ATT&CK, «Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/002/ (consultato il 3 novembre 2026) 7. MITRE ATT&CK, «Phishing: Spearphishing via Service, Sub-technique T1566.003 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/003/ (consultato il 3 novembre 2026) 8. MITRE ATT&CK, «APT28, IRON TWILIGHT, SNAKEMACKEREL, Swallowtail, Group 74, Sednit, Sofacy, Pawn Storm, Fancy Bear, STRONTIUM, Tsar Team, Threat Group-4127, TG-4127, Forest Blizzard, FROZENLAKE, GruesomeLarch, Group G0007 | MITRE ATT&CK®». https://attack.mitre.org/groups/G0007/ (consultato il 3 novembre 2026) 9. CISA, «NSA and CISA Red and Blue Teams Share Top Ten Cybersecurity Misconfigurations | CISA», 5 ottobre 2023. https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-278a (consultato il 3 novembre 2026) 10. CISA, «SVR Cyber Actors Adapt Tactics for Initial Cloud Access | CISA», 26 febbraio 2024. https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-057a (consultato il 3 novembre 2026) --- Fonte originale: Cyberpedia, l'enciclopedia pubblica di cybersicurezza e IA pubblicata da Brain. Versione canonica: https://startbrain.io/cyberpedia/it/articles/spear-phishing-email-mirate-osint/ Puoi riutilizzare liberamente questo testo con licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), a condizione di citare «Brain, Cyberpedia» con un link all'indirizzo qui sopra.