Come il phishing potenziato dall'IA ha reso obsolete le blocklist

Le blocklist, per decenni pilastro della difesa contro il phishing, oggi non riescono più a tenere il passo. L'intelligenza artificiale ha compresso i tempi di vita di un dominio malevolo a poche ore, rendendo ogni lista di indicatori obsoleta prima ancora di essere distribuita.

Le blocklist non bastano più

Per molti anni, aggiungere un dominio sospetto a una lista nera sembrava una risposta ragionevole: bastava identificare un sito di phishing, segnalarlo e attendere che il filtro aggiornato proteggesse gli utenti.

Allo stato attuale quel modello non è più valido.

La vita breve di un dominio malevolo

I dati dei principali centri di ricerca mostrano un quadro inequivocabile: l'89% dei domini utilizzati per il phishing rimane attivo per meno di due giorni, solo il 6,5% supera le due settimane.

Nel momento in cui un dominio viene segnalato e inserito in una blocklist, la campagna si è già conclusa e l'infrastruttura è stata sostituita.

Gli aggressori non aspettano più di essere scoperti, bensì progettano ogni pagina come usa e getta fin dal primo istante ed abusano di piattaforme legittime, come Cloudflare Workers, Vercel, Microsoft Dynamics e Google Firebase, ereditando la reputazione di domini che nessuna blocklist oserebbe mai bloccare.

L'asimmetria numerica

Un aggressore può generare centinaia di domini in pochi minuti, mentre un team di sicurezza impiega ore o giorni per analizzarne uno solo.

Il risultato è una partita a battaglia navale in cui l'avversario cambia posizione a ogni turno, mentre il difensore spara sempre dove l'obiettivo era un attimo prima.

Come l'intelligenza artificiale ha accelerato l'evoluzione

L'arrivo dei modelli generativi ha cambiato le regole del gioco in modo irreversibile, l'IA ha compresso i tempi di preparazione di un attacco, abbattuto i costi e reso ogni campagna unica e irriconoscibile.

Dal clone alla creazione ex novo

Fino a qualche anno fa, un aggressore doveva clonare manualmente una pagina di login, al giorno d'oggi, partendo da uno screenshot, un modello di intelligenza artificiale genera un frontend completamente nuovo, con un codice sorgente che non assomiglia per nulla all'originale e tutto ciò rende inutile qualsiasi analisi statica basata sulla firma del codice.

Secondo i dati del 2026, l'82,6% delle email di phishing contiene contenuto generato dall'intelligenza artificiale; il tasso di click delle email prodotte dall'IA è del 54%, contro il 12% di quelle scritte da esseri umani, una differenza abissale che spiega perché gli aggressori stanno abbandonando rapidamente i metodi tradizionali.

La piramide del dolore (Pyramid of Pain)

Il celebre modello della Piramide del Dolore (Pyramid of Pain) di David Bianco descriveva diversi livelli di rilevazione, dal più facile da aggirare, come gli hash, fino al più difficile, come le tecniche operative.

Per anni, il livello intermedio, quello degli strumenti e delle firme dei kit di phishing, offriva una superficie di rilevazione relativamente stabile.

Oggi quel livello mom è più valido, i kit di phishing si moltiplicano attraverso fork, sviluppo assistito dall'IA e condivisione open source a una velocità che nessun team di ricerca può seguire.

Il device code phishing, ad esempio, è passato da zero kit criminali nel 2024 a oltre 25 kit distinti nel 2026: kit come EvilTokens hanno colpito oltre 340 organizzazioni nelle prime cinque settimane.

La possibile evoluzione è chiara: la difesa deve traslare verso la cima della piramide, quella delle tecniche operative, dove l'aggressore ha meno margine di manovra.

Le nuove tecniche che sfuggono alla rilevazione

Quando i domini durano meno di 48 ore e i kit si moltiplicano ogni settimana, la rilevazione basata su indicatori diventa un esercizio di inseguimento senza fine.

AiTM, ClickFix e device code phishing

L'adversary in the middle, o AiTM, è una tecnica in cui l'aggressore intercetta in tempo reale le credenziali e i token MFA della vittima, inoltrandoli al servizio legittimo: alla vittima sembra di aver effettuato un login normale, ma l'aggressore ha catturato la sessione autenticata. Nel 2026 sono oltre 75 i kit AiTM attivi.

ClickFix sfrutta la clipboard del browser: l'utente vede un finto messaggio di errore o un CAPTCHA e, seguendo le istruzioni, incolla ed esegue comandi malevoli. Secondo CrowdStrike, gli attacchi ClickFix sono cresciuti del 563%. Il device code phishing sfrutta il flusso di autenticazione legittimo dei dispositivi per ottenere accesso persistente agli account aziendali.

Il caso reale dell'OAuth redirect

Un esempio concreto arriva dalla ricerca pubblicata da Microsoft all'inizio del 2026. I ricercatori hanno documentato una tecnica che sfrutta i redirect di errore OAuth per indirizzare gli utenti da domini legittimi, come login.microsoftonline.com, verso pagine controllate dall'aggressore. Dal punto di vista del filtro URL, il link iniziale porta la reputazione di un dominio attendibile.

Una difesa basata su blocklist avrebbe completamente mancato l'attacco, poichè i domini non erano segnalati come malevoli. Una difesa basata sulla firma del kit avrebbe fallito, perché il kit era completamente nuovo. L'unica rilevazione che ha funzionato è stata quella a livello di tecnica, che ha individuato il comportamento del redirect OAuth anomalo, indipendentemente da domini, payload e infrastruttura.

"La rilevazione a livello di tecnica colpisce ciò che è più difficile per l'aggressore cambiare: la meccanica stessa dell'attacco."

Cosa significa per le PMI italiane

Le statistiche globali si traducono in rischi concreti per le aziende italiane.

Il costo medio di una violazione originata da phishing è di 4,88 milioni di dollari secondo IBM: il 36% di tutte le violazioni di dati coinvolge il phishing come vettore iniziale e il tempo medio di rilevazione è di 254 giorni, un lasso in cui l'aggressore opera indisturbato.

Per una PMI, questi numeri possono rappresentare la differenza tra la continuità e la chiusura dell'attività. Non si tratta più di chiedersi se sarai bersaglio di un attacco, ma quando. E quando accadrà, la differenza la farà la qualità della tua preparazione.

Come difendersi

La buona notizia è che esistono strategie efficaci. La cattiva notizia è che richiedono un cambio di mentalità, dal cercare domini cattivi al osservare comportamenti sospetti.

Visibilità sulle sessioni browser

La maggior parte degli attacchi moderni si svolge all'interno del browser, dove i proxy di rete vedono traffico cifrato e gli endpoint protection non hanno visibilità. 

Autenticazione resistente al phishing

Le password, anche complesse, e l'autenticazione a due fattori basata su SMS o codici temporanei non resistono alle tecniche AiTM: la soluzione consiste nell'adozione di standard come FIDO2 e WebAuthn, che legano l'autenticazione all'origine del sito e rendono impossibile l'intercettazione della sessione. Questa non è una tecnologia futuristica: è già supportata dai principali servizi cloud e dai sistemi operativi moderni.

Formazione continua, non annuale

Un corso di sensibilizzazione all'anno non basta più, le minacce cambiano ogni giorno, la formazione deve diventare continua, integrata nel flusso di lavoro e misurabile.

I dati mostrano che un programma di training strutturato riduce la propensione al click del phishing dall'86% in 12 mesi, portando il tasso dal 33,1% al 4,1%.

Passi Successivi

Il phishing potenziato dall'intelligenza artificiale non è una minaccia lontana, è già qui, e le blocklist non possono più fermarlo. La domanda non è se la tua azienda sarà bersaglio di un attacco, ma se sarà pronta a riconoscerlo e a bloccarlo prima che causi danni irreparabili.

1. Il primo passo è una valutazione onesta della tua postura di sicurezza attuale.
2. Il secondo consiste nel costruire una strategia che guardi al comportamento delle tecniche d'attacco, non alla lista dei domini conosciuti.
3. Il terzo spinge ad agire, oggi, prima che il prossimo report di incidente parli della tua azienda.