Il phishing non è più una minaccia generica e facilmente riconoscibile. Oggi esistono diversi tipi di phishing, ciascuno con caratteristiche specifiche, canali diversi e livelli di sofisticazione sempre più elevati.
Secondo il Rapporto Clusit 2026, gli attacchi basati su phishing e social engineering sono cresciuti del +66% in Italia, confermando come questa tecnica sia ancora una delle principali porte di accesso agli attacchi informatici. Il quadro si complica ulteriormente perché gli attacchi diventano sempre più credibili grazie all’uso dell’intelligenza artificiale, che rende messaggi, e-mail e interazioni vocali molto più realistici e difficili da smascherare.
Il problema è che molte aziende continuano a pensare al phishing come a una semplice email sospetta. In realtà, oggi gli attacchi possono arrivare via email, SMS, telefono, social network, app, siti clonati o attraverso combinazioni di più canali.
Conoscere i principali tipi di phishing significa quindi fare un passo concreto verso la protezione del proprio business. Non si tratta solo di riconoscere un attacco, ma di capire come evolve, come si adatta ai comportamenti delle persone e come può colpire l’organizzazione.
In questo articolo analizziamo i 12 tipi di phishing più diffusi, spiegando come funzionano e perché rappresentano un rischio reale per le aziende.
Perché il phishing continua a funzionare così bene
Il phishing continua a funzionare perché non attacca prima di tutto la tecnologia: attacca la fiducia, l’attenzione, l’abitudine e la fretta. È qui che il social engineering entra in gioco. Ogni attacco di phishing, in fondo, è un tentativo di manipolare una persona inducendola a compiere un’azione che normalmente non farebbe: cliccare, condividere, autorizzare, scaricare, rispondere.
Nel 2025 il contesto è diventato ancora più insidioso. Il Clusit rileva che quasi tre invii malevoli su quattro sono individuali e mirati, proprio grazie all’uso crescente dell’AI da parte dei cyber criminali. Inoltre, nelle minacce email, il credential phishing resta la categoria dominante, con oltre il 54% del totale. Questo significa che il furto di credenziali continua a essere uno degli obiettivi principali degli attaccanti.
Il phishing, quindi, non è un fenomeno in calo: è una tecnica che si è evoluta, si è raffinata e si è adattata ai canali che usiamo ogni giorno.
I 12 tipi di phishing più diffusi
1. Email phishing: quando tutto sembra normale
L’email phishing resta la forma più conosciuta e più diffusa. È il modello classico: una mail apparentemente legittima che invita l’utente a compiere un’azione. Il messaggio può simulare una comunicazione bancaria, un avviso tecnico, una richiesta di accesso o una notifica da parte di un servizio cloud.
La sua forza sta nella normalità. Non deve sembrare perfetto: deve sembrare plausibile. E spesso lo è. L’utente legge velocemente, riconosce il brand, vede un contesto familiare e abbassa le difese. È in quel momento che il link malevolo o l’allegato dannoso diventano efficaci. L’email phishing continua a funzionare proprio perché si inserisce nel flusso quotidiano del lavoro e della comunicazione.
2. Spear phishing: quando l’attacco ti conosce
Lo spear phishing è la versione mirata del phishing tradizionale. Qui l’attaccante non manda lo stesso messaggio a migliaia di persone: sceglie una vittima specifica e costruisce l’attacco su di lei.
Può usare il nome dell’azienda, il ruolo della persona, riferimenti a partner, colleghi, progetti o fornitori. Il messaggio non appare generico, ma perfettamente coerente con il contesto professionale della vittima. È proprio questa personalizzazione a renderlo molto più pericoloso. Non è un attacco “a caso”: è un attacco che sembra pensato da qualcuno che conosce davvero il tuo lavoro.
3. Whaling: quando il bersaglio è il management
Nel whaling, il bersaglio non è un dipendente qualunque, ma una figura ad alto valore: CEO, CFO, direttori, responsabili di funzione. Chi occupa questi ruoli ha accesso a informazioni sensibili, può autorizzare movimenti di denaro e ha una visione ampia dei processi aziendali.
L’attacco è progettato per apparire credibile anche a chi è abituato a gestire informazioni riservate. Proprio per questo il whaling richiede una preparazione accurata da parte degli attaccanti e, quando va a segno, può generare impatti economici e reputazionali molto elevati.
4. Business Email Compromise (BEC): la truffa più costosa
Il BEC è uno dei tipi di phishing più dannosi per le aziende perché non si basa necessariamente su malware o pagine di login false. Spesso tutto ruota attorno a una mail apparentemente legittima con una richiesta urgente: effettuare un pagamento, cambiare IBAN, approvare una fattura.
È una forma raffinata di ingegneria sociale applicata ai processi aziendali. La vittima non viene “forzata”: viene convinta. E proprio perché l’azione fraudolenta nasce da una richiesta apparentemente plausibile, i sistemi tecnici di difesa possono risultare meno efficaci.
5. Smishing: il phishing che passa dagli SMS
Lo smishing utilizza gli SMS come vettore. Il principio è lo stesso del phishing classico, ma cambia il canale, e con esso cambia la percezione del rischio. Un SMS viene spesso letto più in fretta, con meno attenzione critica, soprattutto se contiene un tono urgente o una richiesta immediata.
Il Clusit segnala che nel corso del 2025 molte campagne sono iniziate proprio con un SMS che indicava un’operazione anomala sul conto o sulla carta, invitando la vittima a seguire una procedura o a contattare un call center fraudolento. È un dettaglio importante: lo smishing non vive più da solo, ma è spesso il primo tassello di attacchi più articolati.
6. Vishing: la voce che crea fiducia
Nel vishing, il phishing avviene al telefono. Qui il fattore umano pesa ancora di più, perché la voce trasmette autorevolezza, calma, urgenza o competenza tecnica. L’attaccante si finge un operatore bancario, un tecnico, un addetto alla sicurezza o un referente aziendale.
In molti casi, l’obiettivo è ottenere codici OTP, credenziali o conferme operative. Il Clusit descrive bene questo meccanismo: durante il 2025 molte campagne hanno usato la combinazione tra phishing iniziale e chiamata da falso operatore per ottenere i fattori di autenticazione forte. Non si tratta solo di truffe telefoniche: si tratta di attacchi progettati per sfruttare la fiducia che attribuiamo a una voce sicura e plausibile.
7. Clone phishing: quando il messaggio è familiare
Il clone phishing parte da un messaggio reale già inviato o ricevuto in passato. L’attaccante lo copia, lo riproduce e lo reinvia modificando solo ciò che serve: un allegato, un link, un bottone.
La forza di questo attacco è la familiarità. La vittima non pensa di trovarsi davanti a una nuova comunicazione sospetta, ma a una continuazione di qualcosa che ha già visto. In un contesto aziendale, dove molte comunicazioni si assomigliano tra loro e si susseguono rapidamente, il clone phishing può risultare particolarmente efficace.
8. Pharming: quando anche il sito sembra giusto
Il pharming è più subdolo perché non punta tanto a convincere la vittima con un messaggio, quanto a ingannarla nel momento dell’accesso. Attraverso tecniche di manipolazione del DNS o reindirizzamento malevolo, l’utente viene portato su un sito falso anche se digita l’indirizzo corretto.
Il glossario Clusit richiama proprio il tema del DNS cache poisoning, in cui il traffico viene reindirizzato verso un sito replica controllato dai cyber criminali . In casi come questo, la vittima può avere la sensazione di aver fatto tutto correttamente, mentre in realtà sta consegnando dati a un attore malevolo.
9. Social phishing: la truffa entra nei social network
I social network sono diventati un terreno ideale per le campagne di phishing. L’approccio è meno formale rispetto all’email, più personale e spesso più credibile proprio perché si sviluppa in spazi che molte persone percepiscono come “relazionali” più che “professionali”.
Profili falsi, messaggi diretti, richieste di contatto, offerte di lavoro o proposte di investimento: tutto può diventare un’esca. Il Clusit segnala la crescente presenza di finti investimenti online diffusi attraverso canali social, gruppi WhatsApp e Telegram, spesso sfruttando identità note o brand conosciuti. Il rischio, qui, è sottovalutare il contesto e abbassare la guardia proprio perché il messaggio non arriva su un canale “ufficiale”.
10. AI phishing: il phishing potenziato dall’intelligenza artificiale
L’AI phishing non è semplicemente un nuovo tipo di phishing: è il modo in cui molti tipi di phishing stanno evolvendo. L’intelligenza artificiale consente agli attaccanti di creare email più convincenti, testi più fluidi, traduzioni più corrette, voci sintetiche più credibili e contenuti personalizzati in tempi molto più rapidi.
Il Rapporto Clusit 2026 evidenzia chiaramente che l’uso dell’AI sta contribuendo a rendere phishing e social engineering più sofisticati ed efficaci. Questo significa che non ci si può più affidare ai vecchi segnali d’allarme, come errori grammaticali o layout improvvisati. Oggi l’attacco può essere scritto bene, contestualizzato, persino coerente con lo stile comunicativo dell’azienda.
11. Social engineering: la matrice che tiene insieme tutto
Più che un singolo tipo di phishing, il social engineering è la logica di fondo che tiene insieme quasi tutti gli attacchi. È l’arte di manipolare le persone attraverso leve emotive e comportamentali: paura, fretta, curiosità, senso di responsabilità, fiducia nell’autorità.
Il Clusit sottolinea che il social engineering non sfrutta falle tecniche, ma metodi che puntano a ottenere informazioni personali tramite l’inganno. In questo senso, parlare di tipi di phishing senza parlare di social engineering significa vedere solo metà del problema. Le aziende devono imparare a riconoscere non solo il canale dell’attacco, ma anche il meccanismo psicologico che lo rende efficace.
12. Phishing multicanale: quando l’attacco è un percorso
Il phishing moderno è sempre più spesso multicanale. Non arriva in un solo momento e su un solo mezzo, ma si sviluppa come una sequenza di contatti coerenti: prima un SMS, poi una mail, poi una telefonata. Oppure un messaggio sui social seguito da una richiesta di accesso via email.
Questa progressione rende l’attacco più credibile, perché ogni passaggio rafforza il precedente. Il Clusit descrive bene questo tipo di dinamica nelle campagne che iniziano con un messaggio e proseguono con una conversazione telefonica volta a completare la truffa. È un modello che dimostra come il phishing oggi non sia più un evento isolato, ma un’esperienza orchestrata.
Perché i tipi di phishing sono sempre più pericolosi per le aziende
Ridurre il phishing a una “mail falsa” significa sottovalutare il problema. Nella realtà aziendale, il phishing è spesso il primo passo di una catena di compromissione più ampia. Serve per rubare credenziali, avviare accessi non autorizzati, distribuire malware, aggirare controlli e preparare attacchi successivi.
Il Clusit evidenzia che l’uso di account validi e il phishing sono fortemente interdipendenti: il phishing viene usato quasi sempre per acquisire credenziali valide, poi riutilizzate in schemi di attacco più articolati. Questo è il punto chiave: il phishing non è quasi mai il fine ultimo, ma il mezzo con cui l’attaccante entra davvero nell’organizzazione.
Come difendersi davvero dai diversi tipi di phishing
Difendersi dal phishing oggi significa uscire dalla logica della sola protezione perimetrale. I filtri email sono importanti, ma da soli non bastano. Serve un approccio più ampio, che unisca formazione, monitoraggio, capacità di rilevazione e cultura della sicurezza.
Le persone devono saper riconoscere non solo un’email sospetta, ma anche una richiesta insolita, una telefonata anomala, un messaggio sociale troppo urgente o una sequenza di contatti apparentemente coerenti. Allo stesso tempo, l’azienda deve costruire processi che rendano più difficile per un attaccante sfruttare un singolo errore umano per compromettere sistemi e dati.
È qui che il concetto di human firewall torna centrale: la sicurezza non passa solo dalla tecnologia, ma dalla capacità dell’organizzazione di allenare attenzione, metodo e consapevolezza.
Concludendo,i tipi di phishing non sono solo aumentati: si sono moltiplicati, raffinati e intrecciati tra loro. Oggi il phishing è più credibile, più fluido e più vicino al modo in cui le persone comunicano davvero. Per questo continua a funzionare.
Conoscere i principali tipi di phishing significa smettere di pensare all’attacco come a qualcosa di grossolano e iniziare a leggerlo per quello che è diventato: una tecnica sofisticata di accesso, manipolazione e compromissione.
Per le aziende, questo significa una cosa molto concreta: non basta più chiedersi se arriverà un attacco. Bisogna chiedersi quale forma prenderà, chi proverà a colpire e se l’organizzazione è pronta a riconoscerlo in tempo.
