L’EDPS spiega come l’IA rende il phishing più difficile e perché la formazione annuale non basta più

Contesto

In occasione dell'European Cybersecurity Month (ECSM), l'Autorità Europea per la Protezione dei Dati (EDPS) ha rilasciato un nuovo episodio del suo podcast, datato 22 ottobre 2026. La responsabile Tecnologia e Sicurezza dell'EDPS, Konstantina Vemou, partecipa all'episodio per illustrare come l'intelligenza artificiale stia rendendo gli attacchi di phishing più complessi da individuare. La Vemou discute anche i segnali di allarme specifici a cui prestare attenzione e la ragione per cui un singolo modulo di e-learning annuale non è più sufficiente per una formazione adeguata sulla cybersecurity.

Perché conta

Gli attacchi di phishing potenziati dall'intelligenza artificiale sono più complessi da individuare, rendendo la protezione dei dati e dei sistemi un compito continuo per le organizzazioni di ogni dimensione. La formazione di un singolo giorno all'anno non è più sufficiente per educare il personale sui segnali di allarme specifici di queste nuove minacce. Le aziende devono implementare programmi di formazione sulla cybersecurity più frequenti e mirati, che spieghino i nuovi indicatori di phishing avanzato per ridurre il rischio di successo degli attacchi.

Cosa fare

• Analizzare i metodi con cui l'intelligenza artificiale rende il phishing meno riconoscibile.
• Definire e comunicare i segnali di allarme per identificare il phishing avanzato.
• Sostituire la formazione annuale di e-learning con un programma più frequente e dinamico.

Cosa evitare

• Limitare la formazione sulla cybersecurity a un modulo di e-learning annuale.

Implicazioni pratiche

Le organizzazioni devono affrontare una crescente sofisticazione negli attacchi di phishing, dovuta all'uso dell'intelligenza artificiale, che rende i messaggi ingannevoli più credibili e difficili da distinguere da comunicazioni legittime. Questo aumenta il rischio di successo degli attacchi e le conseguenti violazioni della sicurezza o dei dati. Una formazione obsoleta o insufficiente espone il personale, e di conseguenza l'intera infrastruttura aziendale, a pericoli maggiori.

Azioni da fare

• Valutare la frequenza e i contenuti attuali della formazione sulla cybersecurity per il personale.
• Sviluppare materiali didattici che illustrino esempi recenti di phishing potenziato dall'IA.
• Organizzare sessioni formative che evidenzino i segnali specifici di allarme delle nuove tecniche di ingegneria sociale.

Errori da evitare

• Affidarsi esclusivamente a strumenti tecnologici di difesa senza investire nella consapevolezza del personale.
• Non aggiornare il personale sui nuovi tipi di minacce basate sull'intelligenza artificiale.

Domande di self-assessment

• I nostri programmi di formazione sulla cybersecurity affrontano le minacce di phishing generate dall'intelligenza artificiale?
• Il nostro personale è in grado di riconoscere i segnali di allarme del phishing avanzato?
• La frequenza e la profondità della nostra formazione sono sufficienti per le attuali sfide di cybersecurity?