Il phishing aziendale continua a sfruttare strumenti che utilizziamo ogni giorno. Tra luglio 2025 e giugno 2026 sono stati rilevati 4.781.846 tentativi di attacco collegati a piattaforme di lavoro molto diffuse. Zoom guida nettamente la classifica con oltre 2,6 milioni di casi, davanti a Outlook, OneDrive, Excel e Teams.

Phishing aziendale in aumento: quasi 5 milioni di casi in un anno

Un invito a una riunione. Un documento condiviso. Una notifica relativa all’account. Oppure una mail che sembra arrivare da un servizio utilizzato ogni giorno in ufficio.

Sono proprio queste situazioni apparentemente normali a offrire ai cybercriminali una copertura sempre più efficace.

Negli ultimi dodici mesi, Kaspersky ha individuato quasi 4,8 milioni di tentativi di attacco nei quali venivano imitati o sfruttati nomi associati a servizi aziendali conosciuti, tra cui Zoom, Outlook e OneDrive.

Il rischio aumenta nei periodi in cui il volume delle comunicazioni cresce. Riunioni, progetti, file condivisi e nuovi contatti rendono infatti più difficile distinguere immediatamente un messaggio autentico da uno costruito per rubare dati o installare malware.

Phishing aziendale su Zoom: oltre 2,6 milioni di tentativi

Tra luglio 2025 e giugno 2026, Zoom è stato il nome maggiormente sfruttato, con 2.658.283 tentativi di attacco.

Al secondo posto troviamo Outlook, con 1.546.122 rilevamenti.

Seguono:

• OneDrive: 197.030 tentativi;
• Microsoft Excel: 151.948;
• Microsoft Teams: 111.402.

Il dato relativo a Zoom è particolarmente significativo.

Un invito a una videochiamata è ormai qualcosa di assolutamente normale nella vita lavorativa. Proprio questa familiarità permette agli aggressori di costruire esche credibili, capaci di inserirsi tra appuntamenti e notifiche reali.

Il problema quindi non è necessariamente una mail scritta male o proveniente da un mittente palesemente sospetto.

L’attacco più efficace può essere quello che sembra abbastanza normale da non attirare l’attenzione.

Downloader, trojan ed exploit dietro i falsi strumenti di lavoro

Le campagne non si limitano al furto delle credenziali.

La categoria di minaccia rilevata con maggiore frequenza è quella dei downloader, con 2.733.204 casi.

Si tratta di programmi che possono scaricare e installare sul dispositivo ulteriori componenti, inclusi software indesiderati o malevoli.

Seguono i trojan, con 989.377 rilevamenti.

Questi malware possono nascondersi dietro applicazioni o file apparentemente legittimi e vengono utilizzati per rubare informazioni, monitorare l’attività della vittima, fornire accesso remoto al dispositivo oppure installare ulteriori minacce.

Gli exploit raggiungono invece 341.165 casi e puntano a sfruttare vulnerabilità presenti nel software o nel sistema operativo.

Questo rende l’esca soltanto il primo passaggio.

Dietro un falso documento aziendale o un invito a una riunione può esserci una catena di attacco molto più complessa.

Il phishing aziendale può sfruttare perfino una vera pagina di Microsoft

Una delle tecniche più interessanti riguarda il Device Authorization Grant di Microsoft.

In questo scenario la vittima non viene necessariamente portata su una classica pagina falsa che chiede username e password.

Il sito di phishing mostra invece un codice monouso e invita l’utente a inserirlo nel normale processo di autorizzazione dei dispositivi di Microsoft.

Ed è proprio qui che l’attacco diventa più difficile da riconoscere.

L’utente può ritrovarsi su una pagina Microsoft autentica.

Completando l’autenticazione, anche con autenticazione multifattore, rischia però di autorizzare inconsapevolmente un’applicazione controllata dagli aggressori.

Le credenziali non vengono quindi necessariamente consegnate direttamente ai criminali.

Gli aggressori possono ottenere invece un token di autorizzazione, che consente potenzialmente di accedere a posta elettronica, file OneDrive o messaggi Teams.

Controllare soltanto il dominio non basta più

Questa tecnica mette in crisi una delle regole più diffuse per riconoscere il phishing: controllare l’indirizzo del sito.

Se una parte del processo avviene realmente su un dominio Microsoft, vedere un indirizzo corretto non garantisce che ciò che stiamo autorizzando sia legittimo.

Diventa quindi fondamentale capire perché ci viene chiesto di inserire un determinato codice e quale applicazione stiamo autorizzando.

È un salto importante rispetto al phishing tradizionale.

L’aggressore non deve necessariamente imitare perfettamente Microsoft. Può tentare di sfruttare un processo Microsoft autentico per ottenere l’accesso.

Falsi colloqui di Google inviati attraverso AppSheet

Un altro esempio riguarda il mondo delle offerte di lavoro.

Sono state individuate false mail di reclutamento che si presentavano come comunicazioni provenienti dal team HR di Google.

Il messaggio sosteneva che il profilo professionale del destinatario avesse attirato l’attenzione dell’azienda e proponeva una chiamata introduttiva attraverso un link.

La particolarità è che queste email venivano distribuite attraverso Google AppSheet, piattaforma realmente appartenente a Google, e provenivano da un indirizzo AppSheet autentico.

Il collegamento inserito nel messaggio portava però a un sito di phishing progettato per raccogliere dati personali e credenziali.

Anche in questo caso, il servizio legittimo diventa parte della costruzione della fiducia.

Il destinatario vede Google, un indirizzo reale e un’opportunità professionale plausibile.

Sono tutti elementi studiati per ridurre il sospetto prima del clic.

Il rientro al lavoro crea un terreno ideale per gli attacchi

Il periodo successivo alle vacanze può rendere queste tecniche ancora più efficaci.

I progetti ripartono, aumentano le riunioni, tornano i documenti condivisi e riprendono anche molte attività di selezione del personale.

Un falso invito di Zoom o una richiesta di accesso a un file può quindi confondersi facilmente con decine di messaggi legittimi ricevuti nella stessa giornata.

Anche una proposta di colloquio può sembrare più plausibile durante una fase in cui aziende e professionisti riprendono le attività di recruiting.

L’uso di AppSheet aggiunge poi un ulteriore livello di credibilità, proprio perché il messaggio sfrutta un servizio reale.

Come ridurre il rischio di phishing aziendale

La prima difesa rimane l’attenzione, ma ormai non basta limitarsi a cercare errori grammaticali o domini palesemente falsi.

È importante controllare il mittente e la reale destinazione dei link, soprattutto quando riceviamo inviti a riunioni, documenti condivisi o notifiche relative agli account.

Applicazioni e aggiornamenti dovrebbero essere scaricati soltanto da siti ufficiali, store affidabili o strumenti approvati dall’azienda.

Particolare attenzione va riservata anche ai documenti che chiedono improvvisamente di abilitare macro, disattivare protezioni o installare software aggiuntivo.

Restano importanti password uniche, password manager e autenticazione a più fattori.

Richieste insolite di pagamento, condivisione di documenti o accesso dovrebbero inoltre essere verificate attraverso un secondo canale di comunicazione, soprattutto quando il messaggio cerca di creare urgenza.

Infine, sistemi operativi, browser e applicazioni devono essere aggiornati regolarmente, mentre la formazione dei dipendenti dovrebbe includere esempi realistici dei nuovi attacchi.

Il phishing diventa pericoloso proprio quando sembra normale

I numeri mostrano quanto sia cambiato il modo in cui vengono costruiti molti attacchi.

Zoom, Outlook, OneDrive, Excel e Teams non vengono sfruttati perché siano piattaforme poco sicure. Vengono utilizzati come esca perché milioni di persone li riconoscono e si aspettano di incontrarli durante una normale giornata di lavoro.

Lo stesso vale per una mail che sembra provenire da Google oppure per una pagina di Microsoft realmente autentica utilizzata durante un processo di autorizzazione.

La parte più insidiosa del phishing moderno è quindi proprio questa.

Non sempre cerca di apparire strano.

Sempre più spesso cerca di apparire perfettamente ordinario.

Ed è questa normalità a rendere un falso invito Zoom, un documento condiviso o una richiesta di autenticazione molto più pericolosi di quanto possano sembrare al primo sguardo.