L’intelligenza artificiale non sta cambiando soltanto il modo in cui lavoriamo. Sta modificando anche il modo in cui vengono preparati e condotti gli attacchi informatici. Negli ultimi giorni il tema è diventato particolarmente concreto: Reuters ha documentato un gruppo criminale russofono che avrebbe utilizzato un assistente di programmazione basato su IA per accelerare attività offensive contro almeno sette aziende, mentre oltre cento grandi imprese tecnologiche e finanziarie hanno chiesto di rafforzare rapidamente le difese contro gli attacchi potenziati dall’IA.
Per una PMI italiana il punto non è immaginare scenari futuristici. È capire quali attacchi possono diventare più veloci, credibili ed economici già oggi e quali contromisure conviene introdurre.
Come l’intelligenza artificiale sta cambiando gli attacchi informatici
L’IA non inventa necessariamente tecniche completamente nuove. Il vantaggio per un criminale è soprattutto la capacità di automatizzare attività che prima richiedevano più tempo e competenze: raccogliere informazioni su un’azienda, adattare un messaggio alla vittima, analizzare codice, individuare possibili vulnerabilità o produrre rapidamente molte varianti di un contenuto fraudolento.
Questo può abbassare la barriera d’ingresso e aumentare la velocità delle campagne. Un attaccante può quindi tentare più strade nello stesso intervallo di tempo e personalizzare meglio ciò che invia.
Phishing molto più credibile
Uno degli effetti più immediati riguarda email, SMS e messaggi fraudolenti. I vecchi tentativi di phishing erano spesso riconoscibili per errori grammaticali, traduzioni approssimative o testi poco naturali. I modelli generativi possono produrre messaggi corretti, coerenti con il settore dell’azienda e adattati al ruolo della persona contattata.
Il risultato è che la grammatica non può più essere considerata un filtro di sicurezza. Diventano più importanti la verifica del mittente, del dominio, del contesto della richiesta e soprattutto del canale attraverso cui viene chiesto di compiere un’azione.
Per approfondire le verifiche pratiche puoi leggere anche la guida EP Consulting su come difendersi dagli attacchi di phishing.
Deepfake vocali e video nelle frodi aziendali
La stessa evoluzione riguarda voce e immagini. Una telefonata apparentemente proveniente da un responsabile, un fornitore o un amministratore non dovrebbe essere considerata autentica soltanto perché la voce sembra corretta.
Il rischio aumenta nelle richieste urgenti: modifica di un IBAN, pagamento straordinario, invio di documenti, reset di credenziali o comunicazione di codici temporanei. In questi casi serve una procedura di verifica indipendente, per esempio richiamando un numero già conosciuto o chiedendo conferma attraverso un secondo canale.
IA usata anche per accelerare le attività tecniche
Il caso riportato da Reuters il 27 agosto 2026 mostra un altro aspetto del problema. Secondo l’indagine citata, un gruppo criminale avrebbe utilizzato un assistente di coding basato su IA durante operazioni contro diverse aziende, riuscendo a ottenere supporto su attività offensive presentandole come simulazioni di sicurezza.
Questo non significa che un chatbot possa automaticamente “hackerare un’azienda”. Significa però che strumenti nati per aumentare la produttività possono ridurre il tempo necessario per analizzare problemi, modificare script o organizzare alcune fasi di un attacco.
Perché le PMI possono essere particolarmente esposte
Una piccola o media impresa dispone spesso di meno personale dedicato alla sicurezza, ma utilizza gli stessi servizi cloud, account Microsoft o Google, VPN, applicazioni web e sistemi di posta delle organizzazioni più grandi. È quindi un bersaglio interessante soprattutto quando le credenziali ottenute permettono anche di raggiungere clienti o fornitori.
La protezione non richiede necessariamente tecnologie sofisticate. Molte intrusioni diventano molto più difficili quando sono presenti MFA resistente al phishing, patch tempestive, backup verificati, privilegi amministrativi limitati e monitoraggio degli accessi anomali.
Checklist: 7 controlli da fare in azienda
- Attiva l’autenticazione multifattore sugli account importanti, privilegiando metodi resistenti al phishing quando disponibili.
- Proteggi gli account amministrativi e non utilizzarli per le normali attività quotidiane.
- Aggiorna sistemi e applicazioni con una gestione strutturata delle patch.
- Verifica realmente i backup: avere una copia non basta se nessuno prova periodicamente il ripristino.
- Definisci una procedura per pagamenti e cambi IBAN che richieda una seconda verifica indipendente.
- Forma il personale sui nuovi segnali di rischio: un messaggio scritto perfettamente può comunque essere phishing.
- Monitora accessi e anomalie per individuare velocemente account compromessi e comportamenti insoliti.
Se vuoi partire dalle basi, trovi ulteriori indicazioni nella guida su come proteggere il business dagli attacchi informatici e nell’approfondimento EP Consulting sul ransomware e la protezione dei dati.
L’IA è anche uno strumento di difesa
La stessa tecnologia può aiutare chi difende le reti: correlazione di eventi, analisi di comportamenti anomali, classificazione degli alert e supporto agli analisti. La differenza, quindi, non sarà semplicemente tra chi usa l’IA e chi non la usa, ma tra organizzazioni che la inseriscono in processi controllati e organizzazioni che continuano ad affidarsi a verifiche informali.
Domande frequenti
L’intelligenza artificiale rende inutili antivirus e firewall?
No. Controlli tradizionali come protezione degli endpoint, firewall, segmentazione, patching e MFA rimangono fondamentali. L’IA cambia velocità e qualità di alcune fasi dell’attacco, non elimina la necessità di superare le difese tecniche.
Una PMI è davvero interessante per gli hacker?
Sì. Può avere dati, denaro, credenziali e collegamenti con altre aziende. Inoltre una struttura con difese meno mature può essere utilizzata come punto di ingresso nella supply chain.
Come riconosco un’email di phishing scritta con IA?
Non è sempre possibile riconoscerla dallo stile. Conviene verificare dominio, mittente, richiesta effettuata, eventuali link e soprattutto confermare separatamente le operazioni sensibili.