Il 41% delle principali aziende Fintech è vulnerabile al phishing via email

Il phishing rimane una delle principali cause di violazioni e frodi. I servizi finanziari sono un bersaglio privilegiato perché l'email muove denaro, reimposta password e conferma identità. Il 2025 Data Breach Investigations Report di Verizon elenca ancora una volta l'ingegneria sociale e il phishing tra i percorsi più comuni verso gli incidenti. Con la ricerca di Red Sift che in precedenza ha evidenziato il divario crescente nel settore bancario commerciale statunitense, dove oltre il 50% rimane vulnerabile ai tentativi di spoofing.

I criminali ora utilizzano strumenti di IA per scrivere esche migliori, localizzare il linguaggio e personalizzare su larga scala. Microsoft e i rapporti di settore mostrano gli aggressori che utilizzano l'IA per migliorare il successo del phishing, non solo il volume, insieme a crescenti impersonificazioni di brand. L'ingegneria sociale sta rapidamente diventando il metodo di attacco preferito per molti malintenzionati, poiché il fattore umano nella maggior parte delle aziende rimane l'anello più debole.

Il costo è reale. L'FBI segnala perdite globali esposte da compromissione delle email aziendali per decine di miliardi di dollari, con una crescita continua anno su anno. Il reindirizzamento dei pagamenti e la frode sulle fatture rimangono comuni.

Su 269 principali aziende Fintech:

In enforcement: 159 (59,1%)

• p=reject: 70 (26,0%)
• p=quarantine*: 89 (33,1%)

*una certa protezione ma non la forma più rigorosa di enforcement riscontrata con p=reject

Non protette: 110 (40,9%)

• p=none: 66 (24,5%)
• nessun record DMARC: 44 (16,4%)

Se non siete protetti, chiunque può inviare email del tipo "verifica un addebito", "aggiorna i tuoi dati bancari" o "reimposta la tua password" che sembrano provenire dal vostro dominio. Questo è un percorso diretto verso l'appropriazione di account, la frode sui pagamenti e la divulgazione di dati. I rapporti del settore finanziario di FS-ISAC ed ENISA evidenziano il phishing e l'ingegneria sociale come rischi persistenti e ad alto impatto per banche, pagamenti e aziende Fintech.

• Appropriazione di account: Gli utenti consegnano le credenziali dopo un convincente "avviso di frode". L'aggressore svuota i fondi e imposta regole della casella di posta per nascondere gli avvisi. Questo è uno schema comune nel BEC e nelle frodi ai consumatori.
• Reindirizzamento dei pagamenti: Fatture contraffatte o aggiornamenti dei pagamenti modificano i conti di destinazione. Le perdite sono spesso irrecuperabili
• Erosione della fiducia: Lo spoofing ripetuto abitua i clienti a ignorare gli avvisi reali. Gli studi di settore avvertono di frodi a valle e danni alla reputazione.

• Molti mittenti legittimi: PSP, piattaforme di marketing, sistemi di ticketing, strumenti di supporto e sistemi di prodotto inviano tutti email "a vostro nome". Più mittenti significano più lacune. FS-ISAC nota la convergenza tra criminalità informatica e frode nel settore finanziario.
• Richieste ad alto valore: Estratti conto, storni, pagamenti ed email MFA sono urgenti e facili da imitare. La panoramica finanziaria di ENISA segnala questi come esche di phishing comuni.
• Esche migliori grazie all'IA: I rapporti mostrano gli aggressori che utilizzano l'IA per creare email fluenti e mirate che aggirano i semplici controlli degli utenti.

• SPF elenca gli host di invio autorizzati per il vostro dominio.
• DKIM firma la posta in modo che i destinatari possano verificare che non sia stata alterata.
• DMARC indica ai destinatari cosa fare quando SPF o DKIM falliscono e allinea l'identità con il dominio From: visibile. Lo standard DMARC è definito nella RFC 7489 ed è raccomandato dalla CISA per la difesa dal phishing.

Passare a "p=reject" (enforcement) blocca lo spoofing diretto del dominio prima che i messaggi raggiungano le caselle di posta. Questo riduce il phishing riuscito, abbassa il rischio di BEC e protegge i clienti durante flussi ad alto rischio come i reset delle password e gli avvisi di pagamento. Le linee guida della CISA sottolineano che una governance chiara e un roll-out graduale affrontano le principali preoccupazioni sul "rompere la posta".

Iniziate oggi stesso il vostro percorso DMARC con Red Sift OnDMARC.

Attivate la visibilità:

• Pubblicate un record DMARC su ogni dominio e indirizzate i report verso una casella di posta o una piattaforma monitorata. Iniziate con una policy di monitoraggio (p=none) per vedere chi sta inviando per vostro conto. Utilizzate i report DMARC aggregati di Microsoft per dettagli aggiuntivi sui mittenti se utilizzate M365.

Mappate tutti i mittenti:

• Dai vostri report, elencate la posta relativa ai prodotti, le piattaforme di marketing, i PSP, gli strumenti di supporto e qualsiasi fonte sconosciuta. Raggruppate per fornitore e proprietario.

Correggete l'autenticazione

• SPF: rimanete entro i limiti di ricerca DNS; dove raggiungete i limiti, utilizzate SPF Dinamico/Hosted per semplificare la manutenzione.
• DKIM: abilitate la firma per ogni mittente e allineatela con il dominio From visibile. La guida all'implementazione copre i controlli di allineamento e le correzioni comuni.

Procedete verso l'enforcement, flusso per flusso:

• Spostate i flussi a basso rischio o ben configurati su p=quarantine, monitorate eventuali rimbalzi o lacune, quindi avanzate verso p=reject. Si raccomanda un roll-out graduale per evitare interruzioni della posta. Nota: I mittenti bulk tra cui Google, Yahoo e Microsoft ora richiedono DMARC almeno a p=none.

Dimostrate e mantenete

• Monitorate: la posta contraffatta bloccata, i mittenti sconosciuti eliminati, la % di traffico allineato e il tempo per raggiungere l'enforcement.
• Continuate a monitorare. Il DMARC non è "imposta e dimentica", i fornitori cambiano chiavi e percorsi. Il reporting continuo previene derive che possono compromettere la consegna anche dopo aver raggiunto l'enforcement.

Per le aziende Fintech che desiderano mantenere sicuri i propri clienti, applicare il DMARC con p=reject è il primo passo pratico verso una strategia di cybersecurity matura e scalabile. Da lì, il percorso verso una protezione più forte è semplice come 6 facili passaggi.

Oggi la discussione dovrebbe concentrarsi sulla prevenzione piuttosto che sul costo. Perché domani potrebbero sorgere domande sul danno duraturo di un attacco e su come avrebbe potuto essere mitigato.