Il giorno in cui le password non bastavano

La telefonata alle 3 di notte

Marco Ferraris, responsabile IT di un'azienda manifatturiera brianzola, quella notte non riusciva a dormire. Aveva sentito qualcosa nel sonno — il telefono che vibrava, poi ещё, e ещё. Alle 3:17 si era deciso a controllare.

Diciassette alert da Microsoft Entra ID. Diciassette accessi daLocations mai viste prima: Russia, Brasile, Vietnam. Tutti con le credenziali di Antonio, il direttore commerciale.

«Ho chiamato Antonio», mi racconta Marco qualche giorno dopo, con la voce ancora un po' segnata. «Lui era in vacanza a Formentera. Mi ha detto che non aveva mai usato il telefono dell'hotel per controllare le email. E invece qualcuno l'aveva fatto. Per tre settimane.»

Quando Marco ha controllato i log, ha capito: il phishing aveva funzionato. Antonio aveva cliccato su un finto link di DHL — una cosa banale, una distrazione — e aveva inserito le sue credenziali su un sito identico a quello reale. Il giorno dopo, gli hacker avevano accesso completo alla sua casella. Per ventuno giorni avevano studiato le sue abitudini, identificato i fornitori,模仿 il suo stile nelle email.

Il danno? Quasi 180.000 euro di fatture pagate su un conto estero prima che qualcuno si accorgesse di qualcosa.

Questa storia — che potrebbe essere quella di qualsiasi azienda italiana — è esattamente il tipo di attacco che il National Institute of Standards and Technology vuole prevenire con le nuove linee guida SP 800-63-4.

Il NIST cambia le regole del gioco

Il NIST, per chi non lo conoscesse, è un po' come l'arbitro riconosciuto a livello mondiale per le regole sulla sicurezza informatica. Le sue linee guida le seguono governi, banche, aziende Fortune 500. Quando il NIST parla, il mondo ascolta.

Il 15 maggio scorso ha pubblicato la revisione delle sue linee guida per la gestione delle identità digitali — la SP 800-63-4 — e il messaggio è chiaro: le vecchie password non bastano più, e le aziende devono ripensare da zero come autenticano i propri dipendenti.

La novità più importante? Il NIST introduce il concetto di autenticazione «resistente al phishing». Significa che le organizzazioni devono adottare sistemi che rendono quasi impossibile per un attaccante usare credenziali rubate, anche se le ottiene con un attacco di phishing classico.

Come? Attraverso meccanismi come le passkey — le chiavi digitali che non vengono mai trasmesse al server — oppure sistemi di verifica continua del rischio che analizzano il comportamento dell'utente in tempo reale e bloccano immediatamente attività sospette.

È un cambio di paradigma enorme. Per anni, la sicurezza delle identità si è basata su qualcosa che sai (password) e qualcosa che hai (codice SMS). Ora il NIST dice che questo modello è obsoleto. Il futuro è « Zero Trust »: non fidarti mai di nessun utente, verific continuamente, limita i danni.

Perché il phishing è diventato un incubo

I numeri parlano chiaro. In Italia, gli attacchi di phishing sono cresciuti del 340% negli ultimi tre anni, secondo le rilevazioni del CLUSIT. Ma non è solo una questione di quantità — è una questione di qualità.

Il phishing del 2026 non è quello del 2016. Non sono più le email piene di errori grammaticali che promettono milioni dall'eredità di un principe nigeriano. Oggi gli attaccanti usano intelligenza artificiale per creare email perfettamente credibili, imitano il tono aziendale, aspettano il momento giusto — quando il CEO è in riunione, quando il commerciale è in trasferta — e colpiscono.

Gli attacchi Business Email Compromise — quelli in cui i criminali si fingono colleghi o fornitori — hanno causato perdite per miliardi di dollari a livello globale. Solo negli Stati Uniti, l'FBI ha registrato oltre 50 miliardi di dollari di perdite dal 2013 a oggi. In Italia, i numeri sono più difficili da tracciare, ma le stime parlano di centinaia di milioni di euro.

Il problema è che le difese tradizionali — il filtro antispam, il buon senso dei dipendenti — non bastano più. Il phishing è diventato un'industria. Gli attaccanti noleggiano infrastrutture, comprano kit ready-to-use, affittano competenze. È un mercato nero sofisticato.

Cosa prevede il NIST SP 800-63-4

Le nuove linee guida si articolano su tre pilastri.

Il primo è l'autenticazione forte e resistente al phishing. Il NIST raccomanda di abbandonare le password monouso via SMS — vulnerabili agli attacchi SIM-swap — e di adottare meccanismi crittografici moderni. Le passkey, basate sullo standard FIDO2, sono la soluzione preferita: la chiave privata resta sul dispositivo dell'utente, non viene mai trasmessa, e anche se un phisher riesce a rubare la password, non può fare nulla senza la chiave fisica.

Il secondo pilastro è la verifica continua del rischio. Non basta controllare l'identità all'accesso. Il NIST dice che le organizzazioni devono monitorare il comportamento dell'utente durante tutta la sessione: da dove si connette, a che ora, quali risorse accede, quanto tempo ci passa. Se qualcosa non torna — un accesso da un paese straniero mezz'ora dopo che l'utente era in ufficio a Milano — il sistema deve bloccare tutto automaticamente.

Il terzo pilastro è il principio Zero Trust applicato alle identità. Significa che ogni richiesta di accesso deve essere verificata, indipendentemente dal fatto che l'utente sia dentro o fuori dalla rete aziendale. Non c'è più un «dentro» sicuro e un «fuori» pericoloso. Ogni richiesta è potenzialmente compromessa.

Per le aziende italiane, queste regole non sono ancora obbligatorie per legge — il NIST è un ente americano, le sue linee guida sono recommandations — ma stanno diventando lo standard de facto. I fornitori di servizi cloud come Microsoft e Google le stanno già implementando. E la normativa europea NIS2, pur non menzionando esplicitamente SP 800-63-4, va nella stessa direzione: sicurezza delle identità, verifica continua, principio di minima autorizzazione.

Le conseguenze per chi non si adegua

Torniamo alla storia di Marco e della sua azienda. Dopo l'incidente, hanno dovuto fare i conti con conseguenze che vanno ben oltre i 180.000 euro di furto.

Primo: il danno reputazionale. Un fornitore storico ha chiesto spiegazioni. I rapporti sono tesi.

Secondo: il danno legale. Sotto NIS2, la società avrebbe obblighi di notifica entro 72 ore. Non l'hanno fatto — non sapevano nemmeno di doverlo fare.

Terzo: il danno operativo. Per due settimane, il team IT ha dovuto ricostruire tutto — chiudere gli account compromessi, ripristinare le configurazioni, formare i dipendenti. Tempo che è costato cari.

E tutto questo per un clic su un link di phishing. Un clic che sarebbe stato molto più difficile con un sistema di autenticazione progettato per resistere al phishing.

Cosa possono fare le aziende italiane

Adottare le nuove linee guida NIST non significa necessariamente spendere cifre folli. Molte aziende possono iniziare con passi concreti e misurabili.

Primo: attivare l'MFA forte. Non il codice SMS — vulnerabile — ma le app di autenticazione o, meglio ancora, le passkey. Microsoft, Google e molti altri servizi le supportano già.

Secondo: implementare un sistema di monitoraggio delle identità. Strumenti come Microsoft Entra ID Protection analizzano i pattern di accesso e segnalano anomalie in tempo reale.

Terzo: formare i dipendenti, ma farlo bene. Non i soliti test di phishing una volta all'anno che tutti sanno come aggirare. Formazione continua, basata su scenari reali, che insegna a riconoscere i segnali di un attacco.

Quarto: dotarsi di una protezione email che vada oltre il filtro antispam. Servizi come MailSniper utilizzano intelligenza artificiale semantica per analizzare il contenuto delle email e identificare tentativi di phishing sofisticati che passano attraverso i filtri tradizionali.

Il punto è che il phishing non si ferma con un solo layer di difesa. Servono tanti piccoli muri che, messi insieme, rendono l'attacco troppo costoso per i criminali.

Il futuro dell'identità digitale

La domanda che le aziende italiane devono farsi è semplice: preferiscono investire nella prevenzione — adeguandosi alle nuove regole del NIST, implementando autenticazione forte, monitorando le identità — oppure preferiscono aspettare il prossimo attacco?

Marco Ferraris, per esempio, non ha più dubbi. «Dopo quello che è successo, abbiamo implementato le passkey per tutti. Abbiamo attivato i alert di rischio su Entra ID. Abbiamo fatto formazione seria. Costano meno di 180.000 euro, te lo assicuro.»

Le nuove linee guida NIST non sono un optionally — sono un anticipo di quello che diventerà lo standard nei prossimi anni. Le aziende che si adeguano ora avranno un vantaggio competitivo in termini di sicurezza. Quelle che aspettano rischiano di trovarsi un giorno a rispondere a una telefonata come quella di Marco: diciassette alert, tre settimane di accesso non autorizzato, centinaia di migliaia di euro di danni.

La prossima volta, la telefonata potrebbe essere la tua.