Phishing PMI: 10 esempi reali di email truffa
Il phishing nelle PMI usa email che imitano fornitori, banche, corrieri o autorità. Gli esempi più diffusi nel 2026 sono le false fatture via PEC, la truffa del falso fornitore con cambio IBAN, il falso CEO e le finte indagini Interpol. La regola è verificare sempre mittente e coordinate bancarie con un canale separato prima di agire.
Aggiornato a ottobre 2026
Le piccole e medie imprese italiane sono il bersaglio più colpito dal phishing perché spesso non hanno filtri antispam avanzati né procedure di verifica sui pagamenti. Nel 2026 il 37,8% delle PMI ha dichiarato almeno un attacco informatico nell'ultimo anno e il phishing resta la porta d'ingresso principale. Questa raccolta di phishing PMI esempi reali email truffa parte da casi documentati e mostra i dettagli che permettono di riconoscerli prima di cliccare.
Perché le PMI finiscono nel mirino del phishing
Una PMI con 10 dipendenti non ha un reparto IT dedicato e spesso la casella info@ è gestita da persone che si occupano anche di amministrazione, commerciale e acquisti. Gli attaccanti lo sanno e confezionano email che sembrano routine: una fattura, un sollecito, un aggiornamento di coordinate bancarie. Il phishing è responsabile del 35% degli incidenti informatici in Italia e colpisce in modo trasversale tutti i settori. Chi non ha un filtro email serio e una procedura scritta per i pagamenti parte già svantaggiato. Strumenti come gli antivirus aziendali per PMI aiutano, ma da soli non fermano un'email che chiede un bonifico.
10 esempi reali di email di phishing nelle PMI
Gli esempi che seguono sono tratti da campagne documentate nel 2025 e nel 2026 da CERT-AGID, Bitdefender e dalle Camere di Commercio. Non sono casi teorici: sono email che hanno già indotto imprenditori e dipendenti a pagare o a scaricare malware.
Esempio 1 — Falsa fattura via PEC con malware MintsLoader (esempi phishing fatture PMI)
La vittima riceve una PEC con oggetto "Fattura non pagata: richiesta immediato riscontro" o "Sollecito pagamento fattura scaduta". Il testo contiene un refuso ("relativa" al posto di "relativo") e un importo con la virgola spostata. L'allegato è un archivio ZIP da pochi kB: dentro c'è un file HTML che, aperto, scarica un JavaScript e installa il malware MintsLoader. La PEC sembra autentica perché arriva da caselle compromesse. Nessun fornitore serio chiede il pagamento di una fattura tramite un archivio ZIP con un file HTML dentro. Se la PEC arriva da un indirizzo che non riconosci, apri il portale del fornitore e verifica la fattura da lì.
Esempio 2 — Truffa del falso fornitore con cambio IBAN (truffa falso fornitore email)
Un'azienda vinicola sarda ha pagato un bonifico a un fornitore reale, ma su un IBAN diverso. I criminali avevano studiato il rapporto commerciale e inviato un'email apparentemente dal fornitore, chiedendo di aggiornare le coordinate bancarie per un pagamento imminente. La richiesta era credibile perché citava il numero di fattura e l'ordine. Il cambio IBAN via email è la frode più costosa per una PMI e non richiede alcun malware. La contromisura è una telefonata al fornitore usando il numero che hai già in archivio, non quello scritto nell'email.
Esempio 3 — Falso CEO che chiede un bonifico urgente (CEO fraud PMI)
Il titolare o l'amministratore riceve un'email da un indirizzo che sembra quello del CEO, con oggetto "Pagamento fornitore — urgente". Il tono è confidenziale, la firma è copiata, il logo c'è. La richiesta è di bonificare subito una somma a un fornitore estero, senza passare dalla procedura abituale. La CEO fraud sfrutta la gerarchia: chi riceve l'ordine non osa chiedere conferma. Una richiesta di pagamento urgente che arriva solo via email va sempre confermata a voce o di persona. Se il CEO è in viaggio o irreperibile, la procedura deve prevedere un secondo approvatore.
Esempio 4 — Finta indagine Interpol con link a Proton Drive (email Interpol ransomware PMI)
Bitdefender ha documentato una campagna che invia alle PMI un'email firmata "Interpol Cybercrime Investigation Unit". Il testo dice che gli investigatori hanno ottenuto video e informazioni sull'azienda e invita a visionare le prove tramite un link a Proton Drive. L'archivio è protetto da password, che è scritta nella stessa email. Dentro non c'è un video ma un malware che installa un ransomware. Le forze dell'ordine non inviano link a file protetti via Proton Drive per comunicare un'indagine. Se ricevi un messaggio così, non aprire nulla e contatta la Polizia Postale.
Esempio 5 — Falso avviso di sicurezza Microsoft o Apple
L'email avverte che l'account aziendale è stato compromesso o che la password scade oggi. Il mittente usa un dominio simile a quello ufficiale, ma non identico. Il link porta a una pagina di login identica a quella vera, dove vengono raccolte le credenziali. Microsoft e Apple non chiedono di verificare l'account tramite un link in un'email non richiesta. Apri il servizio digitando l'indirizzo nella barra del browser e controlla lo stato da lì.
Esempio 6 — Truffa del corriere con tracking falso
Una email informa che un pacco è in giacenza e che serve un pagamento di pochi euro per la consegna. Il link porta a una pagina che chiede i dati della carta di credito. L'importo basso abbassa la guardia, ma il vero obiettivo è ottenere i dati della carta. I corrieri non chiedono dati di pagamento via email per un pacco in giacenza. Vai sul sito ufficiale del corriere e inserisci il numero di spedizione, se esiste.
Esempio 7 — Finta offerta di lavoro o curriculum allegato
L'email propone una candidatura o un'offerta di collaborazione e allega un CV in formato Word o ZIP. Il file contiene un macro o un eseguibile camuffato. Queste campagne colpiscono gli uffici HR o il titolare che gestisce le assunzioni. Nessun candidato serio invia un curriculum come archivio eseguibile. Apri gli allegati solo dopo aver verificato il mittente con una telefonata o una videochiamata.
Esempio 8 — Phishing su SPID o firma digitale
L'email dice che il certificato digitale è scaduto o che c'è un accesso sospetto a SPID. Il link porta a una finta pagina di login dove vengono rubate le credenziali. Una volta dentro, l'attaccante può operare a nome dell'azienda su portali fiscali e camerali. SPID non invia email con link diretti alla pagina di accesso per "rinnovare" il certificato. Accedi sempre dal portale ufficiale e controlla le notifiche nell'app.
Esempio 9 — Falsa notifica dell'Agenzia delle Entrate
L'email segnala un'irregolarità fiscale o una fattura elettronica da scaricare. L'allegato è un archivio che contiene un file HTML o un eseguibile. L'Agenzia delle Entrate ha più volte pubblicato avvisi su queste campagne. Le comunicazioni ufficiali dell'Agenzia si leggono nell'area riservata del portale, non tramite allegati email. Non scaricare nulla: accedi al cassetto fiscale e verifica lì.
Esempio 10 — Finto avviso di accesso sospetto con richiesta di reset password
L'email avverte di un accesso da un dispositivo sconosciuto e invita a reimpostare subito la password tramite un pulsante. La pagina di reset è falsa e raccoglie la vecchia password e quella nuova. Un avviso di sicurezza che chiede di cliccare un link per cambiare la password è quasi sempre phishing. Apri il servizio dalla barra degli indirizzi e cambia la password dalle impostazioni di sicurezza.
Come riconoscere un'email di phishing in 5 controlli
- Controlla l'indirizzo del mittente, non solo il nome visualizzato: il dominio deve essere esattamente quello ufficiale.
- Passa il mouse sui link senza cliccare e leggi l'URL reale: se non corrisponde al dominio atteso, fermati.
- Se l'email chiede un pagamento, un cambio IBAN o le credenziali, verifica con una telefonata a un numero che hai già in archivio.
Il primo controllo è il mittente. Gli attaccanti usano domini che differiscono per una lettera o un trattino: "fornitore-it.com" invece di "fornitore.it". Il secondo è il link: il testo può mostrare un indirizzo, ma il collegamento punta altrove. Il terzo è il canale: nessuna richiesta urgente di denaro o password va gestita via email. Il quarto è l'allegato: diffida di ZIP, HTML ed eseguibili. Il quinto è il tono: urgenza, minacce legali e errori grammaticali sono segnali ricorrenti. Per gestire le credenziali in modo sicuro, conviene partire da un gestore di password aziendale e attivare l'autenticazione a due fattori su tutte le caselle.
Cosa fare se un dipendente ha già cliccato
Se qualcuno ha cliccato su un link o aperto un allegato, la prima cosa è isolare il computer dalla rete, senza spegnerlo, per non perdere tracce. Poi va cambiata la password dell'account coinvolto da un dispositivo pulito e va controllato se sono state create regole di inoltro automatico nella casella. Se è stato inserito un IBAN o autorizzato un pagamento, va contattata subito la banca per tentare il richiamo del bonifico. Le prime ore sono decisive: un bonifico può essere bloccato prima che i fondi vengano spostati su altri conti. Per limitare i danni su Mac e PC aziendali, una checklist di hardening per aziende aiuta a chiudere le configurazioni deboli prima che l'attaccante le sfrutti.
Formazione e procedure che riducono il rischio
La formazione dei dipendenti è utile solo se è ripetuta e legata a casi concreti come quelli elencati sopra. Una simulazione di phishing ogni sei mesi, con una breve sessione di debriefing, funziona meglio di un corso teorico una tantum. Sul piano delle procedure, servono tre regole scritte: nessun cambio IBAN via email senza telefonata di conferma; doppia approvazione per bonifici sopra una soglia definita; segnalazione obbligatoria di ogni email sospetta a un indirizzo interno dedicato. Una PMI con 20 dipendenti può ridurre la probabilità di cadere in una truffa BEC con due sole regole: verifica telefonica e doppia firma sui pagamenti. Per i dispositivi Apple, vale la pena leggere anche la guida su come proteggere il Mac da attacchi esterni, perché il phishing non è solo una questione di posta elettronica.
Tabella riepilogo
| Tipo di email | Canale tipico | Segnale d'allarme | Azione |
|---|---|---|---|
| Falsa fattura | PEC | ZIP con file HTML, refusi, importo anomalo | Verifica nel portale del fornitore |
| Falso fornitore | Email ordinaria | Cambio IBAN, urgenza, fattura citata | Telefonata al fornitore con numero in archivio |
| Falso CEO | Email o WhatsApp | Ordine di bonifico urgente e riservato | Conferma vocale e doppia approvazione |
| Finta autorità | Link a Proton Drive, minaccia legale | Non aprire, contattare Polizia Postale | |
| Falso avviso account | Link per reset password, dominio contraffatto | Accedi digitando l'URL ufficiale |
Domande frequenti
Qual è l'email di phishing più pericolosa per una PMI?
La truffa del falso fornitore con cambio IBAN è la più pericolosa perché non richiede malware e sfrutta un rapporto commerciale reale. L'attaccante studia le fatture e i fornitori dell'azienda, poi invia una richiesta di aggiornamento coordinate bancarie. Se il bonifico parte, recuperare i fondi è difficile.
Come si verifica se un'email è autentica?
Un'email è autentica quando il dominio del mittente corrisponde esattamente a quello ufficiale, il link punta allo stesso dominio e la richiesta non è urgente né insolita. La verifica definitiva si fa con un canale separato: una telefonata al numero già in archivio, non un'altra email.
Cosa fare se si è cliccato su un link di phishing?
Se si è cliccato su un link di phishing, bisogna isolare il dispositivo dalla rete, cambiare la password dell'account coinvolto da un altro dispositivo e controllare le regole di inoltro nella casella. Se sono stati inseriti dati bancari, va contattata subito la banca per bloccare eventuali operazioni.
Il phishing arriva solo via email?
Il phishing arriva sempre più spesso anche via SMS, WhatsApp e PEC. I canali cambiano, ma la logica resta la stessa: un messaggio che imita un'entità affidabile e chiede un'azione urgente. La verifica con un canale separato funziona su qualunque canale.
Quanto costa un attacco di phishing a una PMI?
Il costo di un attacco di phishing per una PMI varia dall'importo del bonifico perso al tempo di fermo degli account, fino alle spese di ripristino. Un singolo caso di BEC documentato nel 2026 ha superato i 380.000 euro. La prevenzione costa molto meno di un incidente gestito in emergenza.
Chiusura
Il phishing non si ferma con un filtro antispam. Si ferma con procedure noiose e ripetute: verificare il mittente, telefonare prima di pagare, non aprire allegati inattesi. Le PMI che scrivono queste regole e le fanno rispettare riducono drasticamente il rischio di trovarsi con un bonifico già partito e nessuna possibilità di recuperarlo.
Se vuoi approfondire, leggi la nostra guida definitiva alla sicurezza del Mac e adatta i controlli anche agli altri dispositivi dell'ufficio.
Fig. 1 — Le email di phishing nelle PMI imitano fatture, solleciti e comunicazioni di fornitori reali.
Fig. 2 — Il cambio IBAN richiesto via email è il segnale tipico della truffa del falso fornitore.