Arriva una mail.
Sembra quella del presidente della società.
Chiede di effettuare un pagamento verso l’estero.
La dipendente che si occupa della contabilità esegue il bonifico.
Poi si scopre che quella mail non era vera.
È successo davvero.
La vicenda è arrivata fino alla Corte di Cassazione, che con l’ordinanza n. 3263 del 13 febbraio 2026 ha esaminato il caso di una lavoratrice addetta ai pagamenti aziendali che aveva disposto un bonifico di oltre 15.000 euro sulla base di una comunicazione fraudolenta apparentemente proveniente dal presidente della società.
È la cosiddetta CEO fraud, una forma di phishing aziendale molto semplice nel principio: qualcuno si presenta come una persona autorevole dell’azienda e chiede a un dipendente di compiere un’azione.
Spesso con urgenza.
Spesso chiedendo riservatezza.
E spesso utilizzando una mail costruita apposta per sembrare credibile.
Il punto debole non era un firewall
Quando si parla di sicurezza informatica pensiamo subito alla rete.
Firewall.
Antivirus.
Server.
Password.
Aggiornamenti.
Tutto importante.
Ma in questo caso non è stato necessario “sfondare” una porta informatica. È bastato convincere una persona ad aprirla. Ed è qui che la sicurezza informatica diventa molto più interessante.
Perché una rete può essere protetta tecnicamente e, allo stesso tempo, un dipendente può ricevere una mail apparentemente normale e fare esattamente quello che un attaccante spera che faccia.
“I nostri dipendenti sono stati informati”
Questa è una frase che sentiamo spesso.
Ed è certamente meglio aver fatto formazione che non averla fatta.
Ma c’è una domanda successiva.
Come sappiamo se, davanti a una mail realmente credibile, quella formazione funzionerebbe?
È un po’ come avere un piano antincendio. Puoi averlo scritto. Puoi averlo spiegato.
Ma una prova serve a capire cosa succede quando suona davvero l’allarme.
Con il phishing vale lo stesso principio.
Una cosa è spiegare che non bisogna cliccare sulle mail sospette.
Un’altra è ricevere una comunicazione costruita bene, coerente con il proprio lavoro, magari apparentemente inviata dal proprio responsabile, che chiede un’azione plausibile.
È lì che si misura la reale capacità dell’azienda di reagire.
Il Soft Penetration Test
AmicoHacker nasce come sistema di controllo continuo della sicurezza informatica.
Esegue test continui e non invasivi sulla rete aziendale per cercare possibili punti deboli: servizi esposti, configurazioni deboli, dispositivi vulnerabili e altri elementi che potrebbero facilitare un accesso non autorizzato.
Ma esiste un secondo livello.
Il Soft Penetration Test.
Il suo obiettivo è capire quanto sarebbe realmente semplice, per un soggetto esterno o interno, trovare un varco non soltanto nella tecnologia, ma anche nei comportamenti delle persone.
Quando previsto, il servizio comprende infatti prove controllate di phishing avanzato rivolte ai dipendenti.
Non per “beccare chi sbaglia”.
Ma per misurare come reagisce l’organizzazione.
Non conta solo chi clicca
Questo è un punto importante.
Un test di phishing fatto bene non dovrebbe limitarsi a produrre una classifica di chi ha cliccato.
Perché il comportamento corretto non è soltanto “non cliccare”.
È anche riconoscere qualcosa di strano.
Segnalarlo.
Chiedere una verifica.
Avvisare chi deve intervenire.
Per questo, nel Soft Penetration Test di AmicoHacker, i risultati vengono valutati considerando anche chi segnala il messaggio e quanto fosse credibile la simulazione, così da ottenere una fotografia più realistica dell’esposizione aziendale.
È una differenza importante.
Perché un dipendente che riceve una mail sospetta e la segnala può diventare un elemento attivo della sicurezza dell’azienda.
La domanda non è “potrebbero cascarci?”
La domanda più utile è: cosa succederebbe oggi se arrivasse davvero una mail costruita per ingannare la nostra azienda?
Qualcuno cliccherebbe?
Qualcuno inserirebbe le proprie credenziali?
Una richiesta urgente di pagamento verrebbe verificata con un secondo canale?
La mail verrebbe segnalata?
La direzione ne verrebbe informata?
Sono domande alle quali è difficile rispondere con un documento.
Un test controllato può dare una risposta molto più concreta.
La sicurezza ha due porte
Una è tecnologica.
L’altra è umana.
La prima può essere rappresentata da un servizio esposto, una configurazione sbagliata o un dispositivo vulnerabile.
La seconda può essere una mail scritta bene al momento giusto.
Per questo AmicoHacker affianca al controllo continuo della rete il Soft Penetration Test, che permette di valutare sia le vulnerabilità tecniche realmente sfruttabili sia i comportamenti che possono aumentare il rischio di accesso non autorizzato.
Al termine viene restituito anche un indice sintetico di penetrabilità, accompagnato da una spiegazione chiara di ciò che è stato verificato, delle criticità emerse e delle priorità sulle quali intervenire.
Perché sapere di avere un firewall è importante. Sapere se qualcuno riuscirebbe comunque a entrare lo è ancora di più.
Quanto sarebbe facile entrare nella tua azienda?
Il caso arrivato in Cassazione dimostra una cosa molto semplice. Un attacco informatico non deve necessariamente iniziare con un codice complicato.
Può iniziare con una mail.
Ed è proprio per questo che non basta controllare soltanto la rete.
Bisogna mettere alla prova anche il modo in cui l’azienda reagisce quando qualcuno prova a superare l’attenzione delle persone.
