Cyberpediadi Brain
ITDEENESFR

Spear-phishing: l'attacco mirato

Lo spear-phishing è un'email personalizzata con informazioni pubbliche su di Lei e sulla Sua azienda. Come riconoscerlo.

In 30 secondi

Dove accade
Nella posta elettronica aziendale, ma anche attraverso i social network12.
Cosa vuole l'attaccante
Più spesso far eseguire codice malevolo sul Suo computer1, oppure ottenere una password, dati o un pagamento2.
Il riflesso
Per ogni richiesta insolita (pagamento, password, file), confermarla attraverso un canale diverso dall'email, ad esempio una telefonata o una conversazione di persona2.
Se l'ha già fatto
Avvisare subito le persone competenti dell'organizzazione, anche dopo un clic. Un dipendente che teme dei rimproveri segnala più lentamente2.

Di cosa si tratta

Lo spear-phishing, o phishing mirato, è un'email trappola indirizzata a una persona, a un'azienda o a un settore precisi, e non inviata a milioni di caselle a caso12. L'attaccante usa ciò che sa di Lei o della Sua azienda per rendere il messaggio più persuasivo e più realistico2.

Un messaggio di questo tipo può citare il Suo ruolo, un fornitore reale o un collega. Non somiglia quindi alle email di massa che si impara a riconoscere.

Domande dirette

Che cosa distingue lo spear-phishing dal phishing classico?

La mira. MITRE descrive lo spear-phishing come una variante in cui è preso di mira un individuo, un'azienda o un settore precisi, in contrasto con le campagne di spam malevolo non mirate1. L'NCSC britannico precisa che l'attaccante si serve di informazioni sui dipendenti o sull'azienda2.

Come fa l'attaccante a conoscermi?

Legge ciò che è pubblico. Secondo l'NCSC, sfrutta le informazioni liberamente disponibili sul sito dell'azienda e sui social network (l'«impronta digitale») per rendere i suoi messaggi più convincenti2. L'NCSC aggiunge che anche partner, appaltatori e fornitori possono rivelare online informazioni su un'organizzazione2.

Perché è più difficile da riconoscere?

I segni abituali del phishing sono un saluto generico come «Dear Valued Customer», una firma senza recapiti, errori di ortografia o un'impaginazione incoerente3. Un messaggio scritto per Lei può evitare tutto questo. L'NCSC scrive che riconoscere tutte le email di phishing è difficile e che gli attacchi di spear-phishing sono ancora più difficili da individuare2.

I dirigenti sono presi di mira in via prioritaria?

Sono un bersaglio a sé. L'NCSC chiama «whaling» una forma di spear-phishing che punta a un «big phish», ad esempio un membro del consiglio di amministrazione che ha accesso a beni di valore2. Tra i profili di interesse elenca anche le persone autorizzate ad accedere a informazioni sensibili, a gestire fondi o ad amministrare i sistemi informatici2.

Che cosa fare se ho cliccato o risposto?

CISA consiglia di segnalare la situazione alle persone competenti dell'organizzazione, compresi gli amministratori di rete, che potranno monitorare qualsiasi attività insolita. Occorre anche cambiare senza attendere le password divulgate, e quelle degli altri account se vi era usata la stessa password3.

1Nei panni dell'attaccante1 min

MITRE classifica questa fase nella ricognizione: il phishing per ottenere informazioni mira a far divulgare credenziali o altri dati sfruttabili, e non a eseguire codice malevolo4. L'attaccante può anche dialogare direttamente per email o messaggistica istantanea, fingendosi una fonte che ha una ragione per chiedere, oppure inviando più messaggi dall'aria urgente4.

MITRE cita esempi di gruppi. Kimsuky ha inviato email su misura per raccogliere informazioni sulle vittime, tra cui elenchi di contatti usati per individuare altri bersagli4. ZIRCONIUM ha preso di mira collaboratori di una campagna presidenziale con email di raccolta di credenziali4. Scattered Spider ha combinato phishing di credenziali e ingegneria sociale per carpire codici monouso (OTP)4.

L'NCSC descrive ciò che l'attaccante può sfruttare nel funzionamento interno: se i metodi di lavoro sono noti (ad esempio come vengono effettuati i pagamenti), può imitarli per ottenere una password o un pagamento non autorizzato2.

2Cosa si vede sullo schermo2 min

Le fonti citate qui descrivono più forme.

Con un allegato, l'attaccante unisce un file all'email e conta in genere sull'esecuzione da parte dell'utente, fingendosi una fonte attendibile5. Il gruppo APT28 ha inviato email contenenti allegati Microsoft Office e RAR malevoli8.

Con un link, evita le difese che ispezionano gli allegati6. I link possono sembrare innocui ma imitare un sito legittimo grazie a caratteri speciali (attacco detto «IDN homograph»), oppure nascondere il proprio indirizzo sfruttando particolarità della sintassi degli URL6. Un link può anche richiedere un'autorizzazione OAuth 2.0: se l'utente accetta, un'applicazione malevola ottiene diritti di accesso all'account e può agire a nome dell'utente6.

Tramite un servizio terzo, il messaggio arriva fuori dalla posta aziendale: social network, posta web personale. MITRE osserva che questi servizi hanno più spesso una politica di sicurezza meno rigida di quella di un'azienda7. L'attaccante crea account falsi e propone, ad esempio, un'offerta di lavoro7. Questo gli offre un motivo plausibile per fare domande sui software utilizzati7. Può anche guadagnarsi la fiducia del bersaglio e poi inviare un file alla posta personale che questi consulta dal computer di lavoro7. Quel file aggira così le restrizioni dell'account professionale7.

Altre varianti: l'attaccante si inserisce in una discussione già in corso («thread hijacking»)1, oppure il messaggio invita a chiamare un numero in cui la vittima viene guidata verso un URL malevolo, un malware o uno strumento di amministrazione remota1. CISA segnala inoltre indirizzi del mittente che somigliano a quelli di un'azienda nota modificando o omettendo qualche carattere, e link il cui testo visualizzato non corrisponde alla destinazione quando vi si passa sopra3.

Illustrazione neutralizzata, senza link reale:

Estratto
Da: [nome di un collega o di un fornitore noto] <nome@societa-esempio[.]invalid>
Oggetto: [cita un progetto reale del Suo reparto]
Corpo: [richiesta di rileggere un documento; parafrasi]
Link: hxxps://accesso-societa[.]invalid/[pagina di accesso imitata]
3Sotto il cofanoTeam IT1 min

Falsificazione del mittente: l'attaccante può falsificare l'identità del mittente per ingannare sia il destinatario sia gli strumenti di sicurezza automatici1. Le contromisure citate sono SPF (validità del dominio del mittente), DKIM (integrità del messaggio) e DMARC, che permette all'organizzazione di far applicare questi controlli1. L'NCSC aggiunge che DMARC impedisce ai criminali del phishing di falsificare il dominio di un'organizzazione e che le email legittime di quest'ultima hanno più probabilità di raggiungere le caselle di posta2.

Dominio sosia: le fonti parlano di indirizzi vicini all'originale (caratteri modificati o omessi)3 e di caratteri speciali che imitano un sito legittimo6. Un indirizzo che sembra corretto a occhio può quindi non esserlo.

Raccolta: la pagina trappola serve a recuperare credenziali, l'allegato o il link a installare codice14. Durante un test, un team di valutazione di CISA e NSA è entrato tramite phishing su un account di utente finale dotato di diritti di amministratore e ha compromesso un dominio in meno di un giorno lavorativo9.

Aggiramento dell'autenticazione a due fattori: in un altro test, il team conosceva le credenziali di un utente, ma l'autenticazione a più fattori bloccava i suoi accessi. Si è finto il supporto informatico e ha ottenuto il codice per telefono9. Alcune forme di autenticazione a più fattori sono vulnerabili al phishing e al «push bombing»9.

4AutopsieCasi reali1 min

2016: il Comitato nazionale democratico statunitense

APT28 avrebbe compromesso nel 2016 la campagna di Hillary Clinton, il Comitato nazionale democratico (DNC) e il Comitato di campagna democratico per il Congresso (DCCC), per tentare di influenzare l'elezione presidenziale statunitense8. Secondo MITRE, il gruppo ha usato credenziali rubate tramite un'email di spear-phishing per accedere alla rete del DCCC, poi si è servito di quell'accesso per compromettere quella del DNC8.

Febbraio 2024: gli accessi al cloud del gruppo APT29

Un avviso pubblicato il 26 febbraio 2024 dall'NCSC britannico e dai suoi partner descrive i metodi del gruppo APT29, valutato come quasi certamente parte dell'SVR russo10. L'avviso non tratta dello spear-phishing in sé, ma della fase successiva, quando una password è già nota: descrive un aggiramento dell'autenticazione a più fattori tramite «MFA bombing» o «MFA fatigue», in cui l'attore invia richieste ripetute finché la vittima non accetta10. Raccomanda di limitare la durata delle sessioni e di consentire l'enrollment solo di dispositivi autorizzati10.

Scheda

Identificativo
CP-002
Ala
1. Attacchi e tecniche
Competenza Brain
Riconoscere il phishing (detect_phishing)
Riflesso Brain
cr-002
Schema
G1 · Catena d'attacco (Kill Chain)
Lingue
de, en, es, fr, it
Fonti
10 fonti verificate il 3 novembre 2026
Fonti10 fonti
  1. MITRE ATT&CK, «Phishing, Technique T1566 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/ (consultato il 3 novembre 2026)
  2. NCSC (Royaume-Uni), «Phishing attacks: defending your organisation», 5 febbraio 2018. https://www.ncsc.gov.uk/guidance/phishing (consultato il 3 novembre 2026)
  3. CISA, «Avoiding Social Engineering and Phishing Attacks | CISA», 1 febbraio 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultato il 3 novembre 2026)
  4. MITRE ATT&CK, «Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1598/ (consultato il 3 novembre 2026)
  5. MITRE ATT&CK, «Phishing: Spearphishing Attachment, Sub-technique T1566.001 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/001/ (consultato il 3 novembre 2026)
  6. MITRE ATT&CK, «Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/002/ (consultato il 3 novembre 2026)
  7. MITRE ATT&CK, «Phishing: Spearphishing via Service, Sub-technique T1566.003 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/003/ (consultato il 3 novembre 2026)
  8. MITRE ATT&CK, «APT28, IRON TWILIGHT, SNAKEMACKEREL, Swallowtail, Group 74, Sednit, Sofacy, Pawn Storm, Fancy Bear, STRONTIUM, Tsar Team, Threat Group-4127, TG-4127, Forest Blizzard, FROZENLAKE, GruesomeLarch, Group G0007 | MITRE ATT&CK®». https://attack.mitre.org/groups/G0007/ (consultato il 3 novembre 2026)
  9. CISA, «NSA and CISA Red and Blue Teams Share Top Ten Cybersecurity Misconfigurations | CISA», 5 ottobre 2023. https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-278a (consultato il 3 novembre 2026)
  10. CISA, «SVR Cyber Actors Adapt Tactics for Initial Cloud Access | CISA», 26 febbraio 2024. https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-057a (consultato il 3 novembre 2026)

Cita questo articolo

Brain, «Spear-phishing: l'attacco mirato», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/spear-phishing-email-mirate-osint/

BibTeX 
@misc{brain_cp002_it_2026,
  author = {Brain},
  title = {Spear-phishing: l'attacco mirato},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/it/articles/spear-phishing-email-mirate-osint/},
  note = {CC BY 4.0}
}
Licenza CC BY 4.0