Passkey al Telefono: la Truffa che Entra in

Executive Summary

Gli hacker ora chiamano i tuoi dipendenti al telefono.

Non mandano email sospette. Non usano link malevoli. Chiamano direttamente, si spacciano per l'ufficio IT e convincono il personale a registrare un "passkey" sul propio account Microsoft 365. Risultato: accesso completo alla casella email, ai documenti, a Teams, a tutto.

Il passkey è la nuova tecnologia che sostituisce le password. Peccato che in questo attacco gli hacker ne creano uno fasullo che loro controllano, non il dipendente.

So what? Se un dipendente cade in questa trappola, l'attaccante entra nel account Microsoft 365 senza bisogno di password, senza MFA da inserire, senza alcuna barriera. È l'equivalente di dare le chiavi dell'azienda a un estraneo.

Il costo medio di un account Microsoft 365 compromesso in Italia? Tra i 50.000 e i 250.000 euro, considerando furto dati, riscatto, danni reputazionali e sanzioni GDPR.

La protezione esiste. Costa meno di un caffè al mese per casella email.

---

Il Quadro: Numeri che Contano

Partiamo dai numeri, perché i numeri non mentono mai.

Il vishing — ossia il phishing vocale, la truffa via telefono — è cresciuto del 142% nel 2025 secondo i principali report di settore. Non è più una minaccia teorica: è il metodo preferito degli hacker per colpire le aziende che hanno già imparato a riconoscere le email sospette.

Microsoft 365 è il bersaglio preferito. Oltre il 60% delle aziende italiane con più di 10 dipendenti usa Microsoft 365. Per gli hacker, è il jackpot: un account compromesso significa accesso a email, documenti condivisi, contatti clienti, dati finanziari, conversazioni riservate.

Il passkey — o "chiave d'accesso" in italiano — è la nuova frontiera dell'autenticazione. Microsoft lo sta spingendo forte come sostituto delle password. Il problema? Come ogni nuova tecnologia, genera confusione. E gli hacker adorano la confusione.

I numeri che contano per te:

Il dato che devi tenere a mente: 197 giorni. In media, un attacco del genere resta scoperto per oltre sei mesi. Sei mesi in cui l'hacker legge le tue email, scarica i tuoi documenti, studia le tue trattative commerciali.

---

Scenario A vs B

Mettiamo due scenari uno di fronte all'altro. È il modo migliore per capire la differenza tra proteggersi e non farlo.

Scenario A: Senza Protezione Dedicata

Il tuo antispam attuale blocca le email sospette. Il tuo Microsoft Defender fa il suo lavoro sui malware classici. Ma questo attacco passa da un'altra porta: il telefono.

Nessun filtro email lo vede. Nessun antivirus lo blocca. È un essere umano che chiama un altro essere umano.

Cosa succede:

1. Un dipendente riceve una chiamata da un numero che sembra interno. La voce è professionale, sicura.
2. "Sono Marco dell'IT, stiamo migrando tutti i dipendenti ai passkey per la sicurezza. Ti manderò un codice sul telefono, dimmelo e completiamo la registrazione."
3. Il dipendente riceve un codice Microsoft sul proprio smartphone. Lo legge alla voce.
4. L'hacker ha ora un passkey registrato sul proprio dispositivo, associato all'account del dipendente.
5. Accesso completo. Password non necessaria. MFA già superata.

Il risultato economico:

Scenario B: Con Protezione Email Intelligente

Qui entrano in gioco due fattori: la formazione del personale e una protezione email che analizza il comportamento, non solo i contenuti.

Una soluzione antispam con intelligenza artificiale semantica non blocca le chiamate — quelle le gestisci tu con la formazione — ma può:

• Rilevare tentativi anomali di enrollment passkey da device non riconosciuti
• Alertare l'IT quando un account Microsoft 365 mostra attività anomala
• Integrare avvisi di sicurezza che rendono il dipendente consapevole del rischio

E soprattutto: ti permette di simulare questi attacchi, testando se i tuoi dipendenti cascano nel tranello. È l'unico modo per scoprirlo prima degli hacker.

Il confronto economico:

La differenza? Nel primo caso paghi dopo l'attacco. Nel secondo paghi prima, e dormi sonni tranquilli.

---

Il Costo del Non Fare Nulla

Facciamo due conti. Letteralmente.

Il costo medio di un attacco ransomware in Italia nel 2026? Circa €210.000 per le PMI, secondo le stime più recenti. Ma qui parliamo di qualcosa di diverso: non un virus che blocca i file, ma un accesso silenzioso che ruba informazioni per mesi.

I costi diretti:

• Furto di dati: documenti riservati, contratti, listini, dati clienti. Valore stimato: decine di migliaia di euro.
• Riscatto: se gli hacker trovano dati sensibili, chiedono pagamenti in criptovaluta. Mediamente tra €50.000 e €200.000.
• Sanzioni GDPR: se i dati rubati sono di clienti o fornitori, l'autorità può multarti fino al 4% del fatturato globale.

I costi indiretti:

• Tempo del personale: il tuo IT dovrà indagare, bonificare, ripristinare. Settimane di lavoro.
• Danno reputazionale: un cliente che scopre che i suoi dati sono stati rubati attraverso la tua email? Non è un cliente che ritorna.
• Interruzione attività: mentre l'IT bonifica, il lavoro si ferma. O rallenta. E il tempo è denaro.

Il rapporto è semplice:

Spendere €1.500 all'anno per proteggere le email significa investire 1 euro per prevenire 100 euro di danno. Non conosci nessun altro investimento con questo rapporto.

E il bello? Stai proteggendo non solo le email, ma tutto l'ecosistema Microsoft 365: Teams, SharePoint, OneDrive, i documenti condivisi.

---

Piano d'Azione in 3 Mosse

Ora parliamo di cosa puoi fare concretamente. Non è complicato. Non serve un team di 10 persone. Servono tre mosse.

Mossa 1: Formazione Immediata (Questa Settimana)

Chiedi al tuo IT di mandare una comunicazione a tutti i dipendenti:

> "Attenzione: nessuno dall'IT chiamerà mai chiedendovi codici di sicurezza o passkey. Se ricevete una chiamata del genere, riagganciate e segnalatelo."

Sembra banale? Funziona. La maggior parte delle vittime di vishing non aveva idea che fosse possibile.

Budget: €0. Tempo: 30 minuti.

Mossa 2: Test di Vulnerabilità (Entro 30 Giorni)

Simula un attacco vishing. Contratta con un fornitore specializzato — o usa la tua soluzione antispam se ha funzionalità di testing — per verificare quanti dipendenti cascano nel tranello.

Se su 50 dipendenti, 5 cascano, hai un problema. Se ne cascano 20, hai un grosso problema.

Budget: €500-€2.000 per un test professionale.

Mossa 3: Protezione Email Strutturata (Entro 60 Giorni)

Implementa una soluzione antispam che vada oltre il filtro classico. Cerchi:

• Intelligenza artificiale che capisce il contesto delle email, non solo le parole sospette
• Sandbox per gli allegati (li apre in un ambiente isolato prima di recapitarli)
• Analisi URL in tempo reale (se il link porta a un sito malevolo, lo blocca)
• Protezione Microsoft 365 inbound e outbound

Il costo? Partendo da €0,99/casella/mese per chi ha più di 100 caselle, fino a €1,50 per chi ne ha meno di 50. Per un'azienda con 30 dipendenti, parliamo di circa €540 all'anno.

Link diretto: MailSniper

---

Bottom Line

Un hacker che entra in Microsoft 365 attraverso un passkey registrato al telefono ha le stesse identiche accesso del tuo dipendente. Legge le sue email, vede i suoi documenti, accede ai suoi clienti.

La differenza tra fermarlo e non fermarlo costa 100 a 1. Proteggere le email della tua azienda costa meno di un caffè al mese per dipendente. Non farlo costa centinaia di migliaia di euro.

Il ritorno dell'investimento è chiaro. La domanda è: quando vuoi pagare?