UNC6671 Vishing: Quando il Telefono Aziendale

Executive Summary

€2,8 milioni: è il costo medio di un data breach in Italia secondo IBM Security nel 2026. Ma cosa succede quando l'attacco non arriva via email, bensì attraverso una telefonata al cellulare personale del tuo responsabile IT?

UNC6671, gruppo specializzato in estorsione dati, ha perfezionato una tattica che combina vishing (phishing vocale) e accesso SaaS per colpire servizi finanziari, fondi di private equity e studi professionali. La strategia è semplice: chiamano il telefono personale dei dipendenti fingendosi supporto tecnico, ottengono credenziali di accesso, e da lì entrano nei sistemi cloud aziendali.

Il "so what?" per il management: questo tipo di attacco bypassa completamente firewall, antivirus e filtri email tradizionali. Costa il 40% in meno da eseguire rispetto a un ransomware classico, ma genera gli stessi danni economici. Per una PMI italiana da 50 dipendenti, parliamo di un rischio finanziario compreso tra €140.000 e €420.000.

Il Quadro: Numeri che Contano

I dati FBI 2026 parlano chiaro: gli attacchi vishing sono cresciuti del 285% rispetto al 2024, con un focus particolare su aziende tra 20 e 200 dipendenti. Perché? Hanno abbastanza dati di valore ma spesso non dispongono di team di sicurezza dedicati.

Confronta questi numeri con i rischi che già conosci:

• Probabilità incendio ufficio: 0,3% annuale
• Probabilità furto con scasso: 2,1% annuale
• Probabilità attacco vishing mirato: 12,7% annuale per aziende del tuo settore

UNC6671 ha un tasso di successo del 34% quando colpisce studi legali e società di consulenza. Una volta dentro, il tempo medio di permanenza nei sistemi è 127 giorni. In questo periodo, accedono a:

• Database clienti e contratti (valore medio rivenda: €15-45 per record)
• Informazioni finanziarie privilegiate
• Dati di due diligence su M&A e investimenti
• Credenziali di accesso a sistemi di terze parti

Il costo medio per rimediare a un incidente UNC6671 documentato: €2,1 milioni tra investigazioni, notifiche, perdita business e remediation. Per una PMI, significa spesso la chiusura dell'attività.

Ma c'è un numero ancora più preoccupante: il 67% degli attacchi riusciti non viene scoperto dalla vittima, ma da partner commerciali o autorità. Quando te ne accorgi, è troppo tardi.

Scenario A vs Scenario B

Scenario A: Azienda SENZA protezione vishing-aware

Lunedì mattina, ore 9:15. Il tuo responsabile amministrativo riceve una chiamata sul cellulare personale: "Sono di Microsoft Support, abbiamo rilevato accessi sospetti al vostro Office 365. Devo verificare le credenziali per securing l'account."

La chiamata sembra legittima. Il caller conosce il nome dell'azienda, sa che usate Office 365, ha persino il numero di telefono giusto. In 8 minuti, ottiene username e password.

Totale costo Scenario A: €510.000 + reputazione

Scenario B: Azienda CON protezione multi-layer e formazione

Stessa telefonata, stesso responsabile amministrativo. Ma stavolta:

1. Ha ricevuto formazione anti-vishing specifica
2. Sa che Microsoft non chiama mai proattivamente
3. L'azienda ha policy chiare: "Nessuna credenziale per telefono, mai"
4. C'è un sistema di protezione email che monitora anche tentativi di compromissione account

Totale costo Scenario B: €75

La differenza? €509.925. E la tranquillità di dormire sonni sereni.

Il Costo del Non Fare Nulla

Facciamo due conti da CFO. Una protezione email professionale con funzioni anti-vishing costa circa €1,50 per dipendente al mese per aziende sotto i 50 dipendenti. Per 30 dipendenti: €540 all'anno.

Un programma di formazione anti-vishing trimestrale: €1.200 all'anno.

Totale investimento protezione: €1.740 annuali.

Ora considera i costi indiretti del "non fare nulla":

Costi diretti incidente:

• Investigazione forense: €15.000-45.000
• Consulenza legale: €25.000-75.000
• Notifiche GDPR e clienti: €5.000-15.000
• Remediation sistemi: €20.000-60.000

Costi indiretti (spesso i più pesanti):

• Perdita produttività team (media 45 giorni): €85.000
• Churn clienti (media 15-25%): €120.000-300.000
• Aumento premi assicurativi: +40% per 3 anni
• Costo opportunità nuovi business persi: incalcolabile

Rapporto costo-beneficio: investi €1.740 per evitare rischi da €270.000 in su. ROI del 15.500%. Anche Warren Buffett approverebbe.

Ma c'è un'altra considerazione: il tempo. Recuperare da un attacco UNC6671 richiede 6-18 mesi di lavoro intensivo del management. Quanto vale il tuo tempo e quello del tuo team?

Piano d'Azione in 3 Mosse

Mossa 1: Hardening Immediato (Settimana 1-2, Budget: €2.500)

Azione management: Convoca riunione urgente con IT e HR. Messaggio chiaro: "Microsoft, Google e i nostri fornitori SaaS non chiamano mai per chiedere password. Mai. Zero eccezioni."

Timeline operativa:

• Giorno 1: Policy scritta anti-vishing, comunicazione a tutto il personale
• Giorno 3: Attivazione MFA su tutti gli account SaaS critici
• Giorno 7: Installazione protezione email con detection anti-vishing
• Giorno 14: Primo test di phishing simulato

Mossa 2: Formazione Strutturata (Mese 2, Budget: €3.200)

Azione management: Non delegare la formazione solo all'IT. Fai una sessione di 30 minuti con tutto il board/management per dare l'esempio.

Formazione specifica su:

• Riconoscimento tentativi vishing in tempo reale
• Procedure escalation immediate
• Simulazioni mensili con scenari UNC6671-like
• Policy "verify through different channel" per qualsiasi richiesta credenziali

Mossa 3: Monitoring e Intelligence (Mese 3-ongoing, Budget: €1.800/anno)

Azione management: Stabilisci KPI misurabili. Non "implementiamo la sicurezza", ma "riduciamo il click rate su test phishing sotto il 5%" e "tempo di detection sotto 15 minuti".

Monitoraggio continuo:

• Dark web monitoring per leak credenziali aziendali
• Intelligence su tattiche UNC6671 aggiornate
• Review trimestrale con board su metriche sicurezza
• Budget emergenza pre-approvato per incident response

Budget totale primo anno: €7.500. Meno di quanto spendi in caffè per l'ufficio. Ma protegge asset per milioni.

Bottom Line

"Investiamo €7.500 annuali in protezione anti-vishing per proteggere asset da €2+ milioni e continuità operativa."

Questa è la frase da portare al prossimo CDA. UNC6671 e gruppi simili non sono fantascienza, sono una realtà industriale che colpisce aziende come la tua ogni giorno.

La domanda non è "se" arriverà un tentativo di vishing mirato, ma "quando". E quando arriva, vuoi essere nella posizione di Scenario A o Scenario B?

La cybersecurity non è un costo, è un'assicurazione sulla vita dell'azienda. Con la differenza che questa assicurazione previene il danno invece di risarcirlo a posteriori.

Il telefono sta suonando. È ora di decidere come rispondere.