Phishing tradizionale e l’emergere di una nuova minaccia

Il phishing rimane una delle più grandi minacce informatiche a livello globale. Le classiche email di phishing inducono le persone a cliccare su link, aprire allegati o fornire dati sensibili, ma il fenomeno si è esteso anche a SMS e messaggi su WhatsApp. Il Data Breach Investigations Report 2026, pubblicato da Verizon, ha analizzato più di 31 000 incidenti di sicurezza e oltre 22 000 violazioni confermate in 145 paesi, rilevando che il phishing è stato il vettore di ingresso iniziale nel 16 % dei casi.

Con l’adozione crescente di assistenti intelligenti per la gestione della posta elettronica – ad esempio per riassumere messaggi o priorizzare la posta in arrivo – i criminali stanno ora puntando anche agli agenti IA. Secondo gli esperti di Barracuda, gli attaccanti manipolano contemporaneamente gli utenti umani e i loro assistenti virtuali usando la stessa email, combinando tecniche di social engineering con la prompt‑injection per sovrascrivere o annullare le istruzioni precedenti dell’agente.

Una campagna di phishing a doppio livello

Una delle campagne analizzate da Barracuda dimostra come il classico social engineering venga integrato con la prompt‑injection. L’email appare innocua: mittente e destinatario coincidono, il messaggio presenta un alto punteggio di affidabilità spam e proviene da un dominio del settore pubblico, superando così i filtri basati sulla reputazione.

Nonostante l’aspetto legittimo, l’email contiene due livelli distinti:

Livello 1 – Social engineering: il contenuto visibile include testo e immagini che invitano l’utente ad aprire un allegato o a cliccare su un link, rischiando il furto di credenziali o l’installazione di malware.
Livello 2 – Prompt‑injection: nascosti nel corpo del messaggio vi sono comandi destinati all’agente IA, progettati per far classificare l’email come “urgente” o “legittima” e per far aprire automaticamente gli allegati.

Se l’utente ignora o elimina l’email, l’attacco rimane comunque pericoloso: l’agente IA, manipolato, può eseguire azioni non autorizzate, come l’apertura di file sospetti o la modifica di priorità di risposta.

Le quattro tecniche di nascondimento dei comandi

Barracuda ha identificato quattro metodi principali con cui gli aggressori inseriscono istruzioni invisibili per gli agenti IA:

Commenti nel codice sorgente: le istruzioni sono inserite in tag di commento HTML o MIME che non vengono visualizzati dal client di posta, ma che l’IA legge durante l’elaborazione del messaggio grezzo.
Testo con dimensione nulla o colore bianco: il testo è reso invisibile all’occhio umano (font a 0 px o colore #FFFFFF), ma rimane leggibile dal modello di linguaggio.
Blocchi codificati: i comandi sono inseriti in stringhe di dati, ad esempio in una sequenza di caratteri base64 incorporata in un’immagine o in un allegato, che una pipeline di decodifica può trasformare in istruzioni eseguibili.
Caratteri Unicode invisibili: vengono sovrapposti a testo normale caratteri di controllo o zero‑width joiner, creando una “steganografia” testuale che l’IA interpreta ma l’utente non percepisce.

Un esempio pratico mostrato nella ricerca riguarda una fattura inviata via email. Un blocco di testo nascosto contiene l’istruzione per l’agente IA di aggiungere una “azione di priorità” falsificata, modificando così i dettagli di pagamento e indirizzando il denaro verso un conto fraudolento.

Perché la minaccia è così pericolosa

Il rapporto di Barracuda sottolinea che il fattore più preoccupante è la normale apparenza delle email. Una singola comunicazione può ora lanciare due attacchi distinti: uno mirato a ingannare l’utente umano e l’altro a compromettere i sistemi di IA che elaborano la posta. Questo duplice vettore aumenta drasticamente la superficie di attacco e rende più difficile la difesa tradizionale basata solo su filtri anti‑spam.

Gli esperti raccomandano di trattare tutti i contenuti esterni – immagini, allegati, link – come dati grezzi da separare dalle istruzioni operative. In pratica, ciò significa isolare l’input dell’utente da quello generato dall’IA, evitando che comandi nascosti vengano eseguiti automaticamente.

Strategie di difesa per utenti e organizzazioni

Formazione continua: educare i dipendenti a riconoscere non solo le tipiche truffe di phishing, ma anche segnali di manipolazione IA, come email con formattazione strana o contenuti invisibili.
Validazione a più fattori: richiedere conferme aggiuntive per azioni critiche (es. trasferimenti di denaro) anche quando l’IA suggerisce che siano legittime.
Sandbox per gli agenti IA: eseguire le analisi delle email in ambienti isolati, filtrando prompt‑injection prima che raggiungano il modello.
Controlli di integrità del codice: ispezionare i messaggi in formato RAW per individuare commenti, tag invisibili o sequenze di caratteri Unicode sospetti.
Aggiornamento dei filtri anti‑spam: includere regole specifiche per rilevare dimensioni di font anomale, colori di testo non standard e pattern di codifica base64 non giustificati.

Implementare queste misure riduce il rischio che un agente IA venga ingannato e che le conseguenze di un attacco di phishing si amplifichino.

Prospettive future e conclusioni

Con l’evoluzione delle capacità generative delle IA, gli attacchi di phishing stanno diventando sempre più sofisticati. La combinazione di ingegneria sociale e prompt‑injection rappresenta una nuova frontiera della cyber‑criminalità, in cui la distinzione tra “utente umano” e “agente digitale” si sfuma.

Le organizzazioni dovranno adottare un approccio di difesa a più livelli, integrando tecnologie di analisi del linguaggio naturale con controlli tradizionali di sicurezza. Solo così sarà possibile mitigare la doppia minaccia rappresentata dalle email manipolate e proteggere sia gli individui sia gli assistenti IA che gestiscono quotidianamente la nostra corrispondenza elettronica.