Per anni abbiamo considerato il phishing un problema aziendale. Un rischio da affrontare quando una persona entra nel mondo del lavoro, attraverso corsi di formazione obbligatori, simulazioni di attacco e campagne di sensibilizzazione. Oggi questa impostazione non è più sufficiente.
L’intelligenza artificiale sta cambiando radicalmente il modo in cui i cybercriminali costruiscono le proprie campagne di phishing e social engineering. Le email fraudolente non sono più facilmente riconoscibili da errori grammaticali, traduzioni approssimative o richieste palesemente sospette. Al contrario, sono sempre più credibili, personalizzate e coerenti con il contesto della vittima. Sono in grado di citare progetti reali, utilizzare il tono di voce dell’azienda, fare riferimento a colleghi, clienti o fornitori realmente esistenti e adattarsi automaticamente al destinatario.
Indice degli argomenti
Il phishing con intelligenza artificiale cambia la formazione
In questo scenario non è soltanto la tecnologia difensiva a dover evolvere. Deve cambiare soprattutto il modo in cui prepariamo le persone a convivere con queste minacce.
Il nuovo Cybersecurity Hygiene Report 202611 di WatchGuard fotografa una situazione che dovrebbe far riflettere non solo i responsabili IT e i CISO, ma anche chi si occupa di istruzione e formazione.
Secondo la ricerca, il 23% dei lavoratori non ha mai ricevuto una formazione specifica sul phishing prima di trovarsi a gestire email aziendali, documenti condivisi e credenziali di accesso. È un dato che racconta molto più di una semplice carenza organizzativa: significa che quasi un lavoratore su quattro entra nel mondo professionale senza possedere gli strumenti minimi per riconoscere una delle minacce informatiche più diffuse.
I comportamenti che espongono lavoratori e aziende
I comportamenti osservati nella ricerca confermano questa vulnerabilità. Il 26% degli intervistati dichiara di aprire allegati o cliccare su link provenienti da mittenti sconosciuti, mentre soltanto il 25% verifica abitualmente l’autenticità di un collegamento prima di aprirlo. In altre parole, il comportamento prudente rappresenta ancora un’eccezione invece che la normalità.
La risposta delle aziende, negli ultimi anni, è stata quella di investire nella formazione continua. Ma anche qui emergono alcuni limiti. Quasi la metà dei dipendenti riceve corsi di awareness una volta all’anno, mentre meno di un terzo partecipa a sessioni mensili.
Fino a pochi anni fa questa frequenza poteva essere considerata sufficiente. Oggi il contesto è completamente diverso.
Perché le campagne di phishing generate con AI sono più efficaci
L’intelligenza artificiale generativa sta abbattendo una delle principali difese che avevamo costruito negli anni: la capacità delle persone di riconoscere “a colpo d’occhio” un messaggio sospetto.
Secondo recenti analisi, le campagne di phishing generate con il supporto dell’intelligenza artificiale possono raggiungere un tasso di clic del 54%, contro il 12% delle campagne tradizionali. Non perché gli utenti siano diventati meno attenti, ma perché gli attaccanti sono diventati enormemente più efficaci nel costruire messaggi credibili, contestualizzati e privi di quegli elementi che per anni abbiamo insegnato a riconoscere, come errori grammaticali o formattazioni approssimative.
Questo cambia profondamente anche il concetto stesso di formazione.
Per anni abbiamo insegnato alle persone a individuare gli “indizi” del phishing. Ma se questi indizi scompaiono, non basta più mostrare esempi di email palesemente fraudolente. Occorre sviluppare un approccio molto più critico, basato sulla capacità di verificare le informazioni, mettere in discussione richieste inattese, comprendere il valore delle identità digitali e applicare procedure corrette anche quando tutto sembra autentico.
Dalla formazione aziendale alla sicurezza digitale di cittadinanza
In altre parole, non serve soltanto insegnare come riconoscere un’email falsa. Serve educare le persone a prendere decisioni sicure in un ambiente digitale dove vero e falso sono sempre più difficili da distinguere. È qui che la riflessione esce dai confini dell’azienda.
Se oggi chiediamo alle imprese di colmare queste lacune attraverso programmi di awareness sempre più sofisticati, forse stiamo intervenendo troppo tardi.
La trasformazione digitale ha ormai reso ogni cittadino un utilizzatore quotidiano di servizi online. Studenti, insegnanti e famiglie gestiscono identità digitali, SPID, fascicoli sanitari elettronici, home banking, piattaforme scolastiche, strumenti di collaborazione e, sempre più spesso, sistemi basati sull’intelligenza artificiale.
La cybersecurity non è quindi più una competenza riservata agli specialisti IT. È diventata una competenza di cittadinanza. Così come la scuola insegna educazione civica, sicurezza stradale o sostenibilità ambientale, dovrebbe iniziare a considerare anche la sicurezza digitale come una componente strutturale del percorso formativo.
Cosa significa insegnare cybersecurity a scuola
Non significa trasformare ogni studente in un esperto di cybersecurity. Significa fornire gli strumenti per riconoscere una manipolazione, proteggere le proprie credenziali, comprendere i rischi della condivisione dei dati personali, verificare l’identità di chi richiede informazioni e sviluppare quello spirito critico che oggi rappresenta la prima linea di difesa contro il social engineering.
Le imprese continuerebbero naturalmente a svolgere un ruolo fondamentale nella formazione dei propri dipendenti, ma partirebbero da una base completamente diversa. Anziché insegnare da zero i concetti fondamentali, potrebbero concentrarsi sulle minacce specifiche del proprio settore, sulle procedure aziendali e sull’evoluzione degli attacchi.
Questa prospettiva potrebbe diventare anche un’opportunità per il sistema educativo italiano. L’introduzione di percorsi dedicati alla cybersecurity nelle scuole superiori e nelle università non risponderebbe soltanto alle esigenze del mercato del lavoro, ma contribuirebbe a formare cittadini più consapevoli, capaci di muoversi in sicurezza in una società sempre più digitale.
L’alfabetizzazione digitale del futuro non potrà limitarsi all’utilizzo degli strumenti tecnologici o dell’intelligenza artificiale. Dovrà necessariamente includere la capacità di riconoscere i tentativi di manipolazione, comprendere il valore della propria identità digitale e adottare comportamenti sicuri ogni giorno.
La prima barriera contro il phishing resta il senso critico
Nell’era dell’intelligenza artificiale, la prima barriera contro il phishing non sarà più soltanto un filtro antispam o un software di sicurezza. Sarà la capacità delle persone di esercitare senso critico, verificare ciò che ricevono e riconoscere quando qualcosa, anche se perfettamente credibile, merita un controllo in più.
Ed è una competenza che non dovrebbe iniziare con il primo giorno di lavoro, ma molto prima: tra i banchi di scuola.
1 Cybersecurity Hygiene Report 2026 – I risultati si basano su un’indagine online indipendente condotta nell’aprile 2026 su 684 dipendenti di organizzazioni SMB e mid-market (tra 50 e 500 dipendenti) a livello globale.
Partecipa alla community