Omni-phishing: cos’è e come riconoscere gli attacchi su più canali

Il phishing non è più un singolo attacco isolato, ma un’offensiva coordinata che colpisce su ogni canale: e-mail, SMS, social e app di messaggistica. Mentre l’intelligenza artificiale rende le trappole indistinguibili dalla realtà, l’ultimo report dell’Osservatorio Cyber di CRIF evidenzia un aumento critico della gravità delle minacce nel 2025.

Cresce il rischio di omni-phishing: dati CRIF

Nel 2026, il panorama della sicurezza informatica si trova ad affrontare l’omni-phishing: un modello di attacco fluido e ubiquo che non si limita più alla classica e-mail malformata. Gli attaccanti orchestrano oggi campagne simultanee che sfruttano ogni punto di contatto digitale (e-mail, SMS, social media, app di messaggistica e notifiche push) per circondare la vittima e abbatterne le difese psicologiche.

Questo approccio multi-touchpoint non è solo una teoria: i dati dell’Osservatorio Cyber di CRIF confermano un’escalation preoccupante. Nel corso del 2025, gli alert relativi a dati sottratti e scambiati nel dark web sono cresciuti del +5,8%, ma il dato più allarmante riguarda la gravità media di questi eventi, aumentata del +22%, che indica un aumento delle combinazioni dei dati a rischio. In particolare, nel 91,5% dei casi e-mail e password vengono trovate esposte insieme, un dato in crescita del +2,2% rispetto all’anno precedente: una combinazione estremamente pericolosa perché facilita tentativi di account takeover e accessi non autorizzati.

Cos’è l’omni-phishing e perché è così efficace

L’omni-phishing rappresenta l’evoluzione naturale della truffa digitale. Invece di affidarsi a un singolo tentativo, i criminali creano una narrazione coerente che segue l’utente su diversi dispositivi. La forza di questo modello si basa su tre elementi chiave:

I tre elementi chiave dell’attacco

• Pervasività: l’attacco arriva da più fonti, riducendo la capacità della vittima di riconoscere una potenziale truffa.
• Coerenza narrativa: grazie all’AI, i messaggi mantengono lo stesso stile e tono su ogni canale, simulando una comunicazione istituzionale o professionale autentica.
• Progressività: l’aggressione avviene per tappe (un primo messaggio informativo, un alert di sicurezza, una richiesta d’azione urgente), aumentando gradualmente la pressione sulla vittima.

Il ruolo dell’AI nei dati esposti

L’intelligenza artificiale funge da acceleratore, permettendo ai criminali di personalizzare i messaggi su scala massiva e in tempo reale. Questa capacità di manipolazione si riflette nella qualità dei dati esposti.

Secondo l’Osservatorio Cyber di CRIF, l’Italia è un bersaglio primario, posizionandosi al 6° posto a livello mondiale per numero di e-mail compromesse rilevate nel dark web. Oltre la metà degli utenti italiani (51,8%) ha ricevuto almeno un alert per l’esposizione dei propri dati personali sul web nel 2025.

Il dato che meglio fotografa il rischio “omni” è però un altro: il 7% degli utenti italiani ha ricevuto alert sia per l’indirizzo e-mail che per il numero di telefono e può essere considerato ad alto rischio di omni-phishing. Questa sovrapposizione permette ai criminali di incrociare i dati per lanciare attacchi combinati (ad esempio, un’e-mail fraudolenta seguita da un finto SMS di conferma), rendendo la trappola quasi indistinguibile da una comunicazione ufficiale.

La dimensione umana dell’omni-phishing

L’omni-phishing è, alla sua radice, una manipolazione comportamentale. Colpisce non solo il software, ma la psicologia umana: ricevere una notifica su uno smartphone seguita da un’e-mail di conferma crea un falso senso di legittimità.

La crescita della “gravità” citata nell’Osservatorio Cyber di CRIF indica che i criminali non si limitano più a rubare singole password, ma riescono a comporre profili completi delle vittime (combinando e-mail, numeri di telefono e codici fiscali), rendendo i tentativi di omni-phishing estremamente credibili e difficili da intercettare per i sistemi tradizionali.

Il rischio non è dunque solo tecnologico, ma umano. L’obiettivo dei criminali è occupare ogni spazio dell’ecosistema comunicativo della vittima, sfruttando la stanchezza digitale (la cosiddetta “digital fatigue“) e la difficoltà di distinguere un contatto legittimo da uno manipolato in un flusso continuo di informazioni e messaggi.

Come difendersi dall’omni-phishing

Contrastare questa minaccia richiede un cambio di paradigma nelle strategie di difesa:

Le tre strategie di difesa da adottare

1. Protezione dell’identità: è fondamentale monitorare costantemente l’esposizione dei propri dati sul web. Conoscere le proprie vulnerabilità e la gravità degli alert ricevuti è il primo passo per prevenire l’uso dei propri dati in campagne coordinate.
2. Analisi cross-channel: non bisogna mai valutare un messaggio in fretta e isolandolo dal contesto. Se un messaggio arriva via SMS o WhatsApp e richiede un’azione urgente su un altro canale, è necessario verificare l’autenticità tramite i canali ufficiali diretti.
3. Cultura digitale resiliente: la formazione deve adattarsi ai nuovi pattern. La consapevolezza che un attacco può arrivare da più direzioni contemporaneamente è l’arma più efficace per rompere la catena dell’inganno.

Perché l’omni-phishing è la forma più evoluta di truffa

L’omni-phishing non è solo un nuovo tipo di truffa: è la manifestazione più evoluta di un modello criminale che sfrutta l’AI e l’iper-connettività. In un mondo dove i confini tra vita privata e professionale sono sempre più sfumati, la difesa richiede di capire il contesto e proteggere l’identità digitale nel suo complesso. I dati dell’Osservatorio Cyber di CRIF ci ricordano che la minaccia è reale, frequente e sempre più pericolosa: la crescente precisione degli attacchi richiede una cultura digitale resiliente, capace di riconoscere che il pericolo non arriva più da una singola porta, ma da ogni finestra della nostra vita digitale.