Un dipendente ha cliccato su un’email di phishing: cosa fare nei primi 30 minuti?

Risposta breve: se un collaboratore ha cliccato su un link di phishing o ha inserito le credenziali in una pagina falsa, nei primi 30 minuti bisogna cambiare la password dell’account coinvolto, chiudere tutte le sessioni attive, controllare che non siano state create regole di inoltro della posta, isolare il PC se è stato scaricato un file e avvisare il responsabile IT o il fornitore di assistenza. Media Assistance, partner IT delle PMI in tutta Italia, gestisce questi interventi ogni settimana per i clienti con contratto di assistenza: la rapidità delle prime azioni decide quasi sempre se l’episodio resta un falso allarme o diventa un incidente.

Quanto è diffuso il phishing nelle aziende nel 2026?

Molto più di un anno fa. Secondo il Microsoft Digital Defense Report 2026, pubblicato il 1° ottobre 2026 e basato sui dati da luglio 2025 a giugno 2026, il phishing è stato il punto di ingresso del 23% delle intrusioni analizzate, contro il 7% dell’anno precedente: più che triplicato. Altri numeri dello stesso report:

• il 95% degli allegati di phishing punta a rubare credenziali (era l’89%);
• le applicazioni esposte su internet (portali, VPN, server di posta) sono passate dal 15% al 24% degli accessi iniziali;
• tra la scoperta di una vulnerabilità e il suo sfruttamento passano ormai meno di 24 ore;
• le attivazioni di ransomware contro le aziende sono cresciute del 15,8% in un anno;
• Microsoft analizza 5,2 miliardi di email al giorno: il filtro da solo non basta, perché una parte delle email truffa arriva comunque in casella.

Il bersaglio non sono solo le grandi imprese. Una PMI con 20 caselle Microsoft 365 e un’amministrazione che paga fornitori è un obiettivo perfetto: pochi controlli, molti bonifici.

Come si riconosce un’email di phishing?

Le email truffa del 2026 sono scritte bene, spesso con l’aiuto dell’intelligenza artificiale, e imitano fornitori, corrieri, banche o la stessa Microsoft. I segnali che restano validi:

1. Urgenza e pressione: “la casella sarà bloccata entro oggi”, “fattura scaduta”, “il tuo pacco è fermo”.
2. Mittente simile ma non uguale: dominio con una lettera diversa, oppure nome visualizzato corretto e indirizzo reale diverso.
3. Richiesta di accedere a una pagina che chiede le credenziali Microsoft 365, spesso dopo un “documento condiviso” o un QR code da scansionare con il telefono.
4. Cambio di IBAN o di modalità di pagamento comunicato solo via email, senza telefonata di conferma.
5. Allegati inattesi: file HTML, PDF con link, archivi compressi protetti da password.

La regola pratica per i collaboratori è una sola: in dubbio, non cliccare e chiedere. Un messaggio in più all’IT costa pochi secondi.

Cosa fare nei primi 30 minuti dopo il clic

1. Non nascondere l’errore. Il collaboratore deve avvisare subito: il tempo è l’unico fattore che conta davvero.
2. Cambiare la password dell’account coinvolto e di tutti gli altri in cui era riutilizzata.
3. Revocare le sessioni attive da Microsoft 365 (o dal portale del servizio): cambiare la password non basta se l’attaccante ha già un token valido.
4. Controllare regole di inoltro, deleghe e app autorizzate nella casella: spesso il primo passo dell’attaccante è deviare o nascondere la posta per preparare una frode sui pagamenti.
5. Isolare il PC dalla rete se è stato aperto un allegato o scaricato un file, e farlo analizzare prima di rimetterlo in uso.
6. Verificare i log di accesso (Paese, orario, dispositivo) e avvisare l’amministrazione di non eseguire pagamenti richiesti via email finché l’analisi non è conclusa.

Se l’azienda ha un contratto di assistenza informatica con help desk, queste azioni le fa il fornitore con procedure già pronte; se non lo ha, è il momento di scrivere almeno una scheda con chi chiamare e cosa fare.

Come si previene il phishing in una PMI?

Tre livelli, in ordine di importanza:

• Identità: autenticazione a più fattori resistente al phishing (app Authenticator con corrispondenza numerica o passkey) su tutti gli account, accesso condizionale e password uniche con un gestore. Senza MFA, un clic sbagliato equivale a consegnare le chiavi.
• Perimetro e posta: firewall con filtro web e analisi del traffico, protezione avanzata della posta (link e allegati controllati all’apertura), applicazioni esposte aggiornate entro poche ore dalle patch critiche.
• Persone e procedure: formazione breve e ripetuta, simulazioni di phishing, doppia conferma telefonica per ogni cambio IBAN, backup provati e separati dalla rete per limitare i danni se il phishing porta a un ransomware.

Nel nostro servizio di cyber security per le aziende questi tre livelli sono gestiti insieme: identità Microsoft 365, firewall Fortinet e procedure, con un unico interlocutore.

Domande frequenti

Ho cliccato ma non ho inserito nessuna password: devo preoccuparmi?
Il rischio è minore ma non nullo: il link può aver scaricato un file o registrato che l’indirizzo è attivo. Avvisare l’IT e far controllare il PC è comunque la scelta giusta.

Basta cambiare la password dopo un phishing?
No. Bisogna anche chiudere le sessioni attive, controllare regole di inoltro e app autorizzate nella casella e verificare gli accessi recenti.

L’MFA protegge sempre dal phishing?
Protegge dalla maggior parte degli attacchi, ma i metodi via SMS o con semplice approvazione possono essere aggirati. Meglio Authenticator con corrispondenza numerica o passkey.

Il phishing va segnalato alle autorità?
Se ci sono stati pagamenti indebiti o furto di dati personali, sì: denuncia alla Polizia Postale e, in caso di violazione di dati personali, valutazione della notifica al Garante entro 72 ore secondo il GDPR.

Fonti: Microsoft Digital Defense Report 2026 (1/10/2026); Microsoft Security Blog, Insights from the 2026 Microsoft Digital Defense Report; Le Monde Informatique, 5/10/2026.