Otto email di phishing su dieci contengono ora contenuti generati da IA, secondo il rapporto sulla sicurezza email INKY di Kaseya 2026, che fissa la percentuale all'83% e descrive il phishing come passato da una seccatura ad alto volume a uno strumento di frode di precisione. Il rapporto, pubblicato da Kaseya il 17 marzo 2026, si basa sull'analisi di oltre 4,5 miliardi di email elaborate attraverso la piattaforma INKY durante il 2025 e rappresenta uno degli studi più dettagliati fino ad oggi su come l'IA generativa ha ridefinito il panorama delle minacce per aziende di ogni dimensione.
Per gli email marketer e i proprietari di aziende che si affidano al posizionamento nella inbox e alla reputazione del mittente, questo non è un problema di sicurezza lontano. Quando gli attaccanti impersonano gli stessi brand e piattaforme che usi per raggiungere i clienti, e lo fanno in modo abbastanza convincente da ingannare i destinatari, il danno collaterale ricade direttamente sulla tua deliverability, sulla fiducia del dominio e sulla disponibilità del tuo pubblico a interagire.
I numeri dietro il cambiamento
Kaseya fa riferimento a ricerche del settore che mostrano come l'83% delle email di phishing usi contenuti generati da IA in qualche forma, mentre il 40% degli attacchi di compromissione della posta aziendale (BEC) coinvolge l'IA generativa. Ancora più rivelatrice: le email di phishing generate da IA hanno un tasso di clic del 54%, rispetto al solo 12% per i messaggi malevoli standard.
Il rapporto evidenzia anche che mentre le perdite dovute a ransomware sono diminuite del 79%, il costo finanziario del phishing è salito del 275%, da 18,7 miliardi a 70 miliardi di dollari annui, con il phishing che ora rappresenta il 26% di tutti i reclami di criminalità informatica presentati all'FBI.
Dei 4,5 miliardi di email elaborate da INKY nel 2025, 281 brand unici sono stati impersonati, con layout generati da IA che permettono agli attaccanti di replicare più fedelmente il linguaggio visivo dei principali istituti finanziari e dei brand al dettaglio.
Questa scala è importante per chiunque gestisca un programma email. Se il tuo brand rientra tra quelli impersonati, i tuoi iscritti potrebbero ricevere falsi convincenti che erodono la fiducia che hai costruito negli anni.
Perché i segnali di allarme tradizionali non funzionano più
Dave Baggett, SVP di Security Suite presso Kaseya, l'ha detto chiaramente: "Nell'ultimo anno, il phishing generato da IA è diventato la linea di base. Gli attaccanti possono ora produrre messaggi altamente convincenti su larga scala, il che significa che i segnali tradizionali su cui gli strumenti di sicurezza si sono affidati per anni, grammatica scadente, domini sospetti, link evidenti, stanno scomparendo. I difensori ora devono valutare l'intento e il contesto, non solo gli indicatori."
I modelli linguistici di grandi dimensioni hanno ridotto il tempo necessario per creare una campagna di phishing convincente da 16 ore a circa cinque minuti. La ricerca di IBM X-Force illustra ancora più chiaramente il guadagno di efficienza, scoprendo che l'IA può generare email di phishing altamente convincenti in cinque minuti rispetto alle sedici ore tipicamente richieste da operatori umani esperti, un miglioramento di 192 volte.
Il risultato pratico: il vecchio consiglio "basta cercare i typo" è obsoleto. Gli attaccanti si affidano sempre più a piattaforme e infrastrutture affidabili, rendendo i segnali di rilevamento tradizionali meno affidabili.
Le infrastrutture affidabili sono ora la superficie di attacco
Uno dei risultati più interessanti del rapporto Kaseya riguarda l'origine degli attacchi. Le cinque piattaforme legittime più utilizzate per inviare email di phishing includono DocuSign, PayPal, Microsoft, Google Drive e Salesforce. Gli attaccanti non registrano più domini ovviamente sospetti. Indirizzano i messaggi malevoli attraverso la stessa infrastruttura SaaS che le aziende usano ogni giorno.
Il rapporto ha anche scoperto che il phishing senza payload sta diventando sempre più comune, con email di impersonazione di brand che abbandonano completamente link e allegati malevoli. Al loro posto, gli attaccanti usano numeri di telefono, ingannano i destinatari affinché rispondano, o includono codici QR. "Queste tecniche riducono gli indicatori rilevabili mentre aumentano la dipendenza dalla capacità decisionale dell'utente", ha notato il rapporto.
Il phishing tramite codice QR, noto come quishing, è aumentato del 400% tra il 2023 e il 2025 secondo Abnormal Security.
Per gli esperti di marketing, questo crea un problema operativo diretto. Se le tue email transazionali, fatture o flussi di onboarding provengono da DocuSign o Google Drive, i destinatari vengono condizionati a diffidare degli stessi strumenti su cui fai affidamento.
La corsa agli armamenti dell'IA nella difesa email
Il rapporto Kaseya nota che l'IA non solo aiuta gli attaccanti. La piattaforma INKY di Kaseya ha ampliato i suoi modelli di rilevamento basati su GenAI, l'etichettatura basata su intenti, la classificazione multi-label e la comprensione contestuale basata sulla visione artificiale durante il 2025 per affrontare queste minacce.
Il rapporto prevede che "la prossima fase della sicurezza email non sarà definita dal filtraggio da solo, ma da sistemi di IA in grado di analizzare i messaggi in modo olistico e di adattarsi continuamente mentre le tattiche evolvono."
Questa previsione ha implicazioni dirette per i responsabili dei programmi email. I protocolli di autenticazione come DMARC, DKIM e SPF rimangono essenziali, ma affrontano lo spoofing a livello di dominio piuttosto che la sofisticazione a livello di contenuto ora in gioco. I filtri statici come le blocklist e la semplice corrispondenza di pattern sono meno efficaci; i difensori hanno bisogno di rilevamento basato sul comportamento focalizzato su anomalie di accesso e richieste insolite.
Cosa significa questo per il tuo programma email
La sovrapposizione tra email marketing e sicurezza email non è più teorica. Quando gli attacchi di phishing impersonano il tuo brand, la reputazione del tuo dominio ne risente. Quando i destinatari vengono ingannati attraverso piattaforme che usi anche tu, i loro client email diventano più aggressivi con il filtraggio. Quando gli attacchi BEC prendono di mira il tuo team, la comunicazione interna si interrompe.
Queste minacce colpiscono in modo sproporzionato le piccole e medie imprese, con l'82% degli attacchi ransomware che prendono di mira organizzazioni di queste dimensioni. I team di crescita e i reparti marketing delle PMI spesso si assumono responsabilità di email senza supporto di sicurezza dedicato, il che rende la consapevolezza la prima linea di difesa.
Il punto di partenza pratico è lo stesso per la sicurezza e la deliverability: proteggi i tuoi domini di invio con l'applicazione di DMARC, controlla quali piattaforme SaaS inviano email per tuo conto, e tratta come ad alto rischio qualsiasi richiesta di risposta insolita o codice QR in email, indipendentemente da quanto lucido appaia il messaggio.
