CYBSicurezza informatica

Il phishing affettivo: quando l’esca usa l’affetto e arriva fino in ufficio

Un figlio con il telefono rotto, un collega che chiede un codice, il titolare con un numero nuovo: le truffe che fanno leva sull’affetto e sulla voglia di aiutare, e le regole che le fermano anche in azienda.

Redazione Strategic 6 marzo 2026 Aggiornato il 16 settembre 2026 7 min di lettura

Il phishing affettivo: quando l’esca usa l’affetto e arriva fino in ufficio

Il phishing affettivo è un tentativo di truffa che fa leva sull’affetto o sulla fiducia invece che sulla paura: un figlio con il telefono rotto, un collega in difficoltà, un conoscente che chiede un piccolo favore. Funziona perché chi riceve il messaggio vuole aiutare, e arriva quasi sempre su WhatsApp o via SMS, lontano dai filtri della posta aziendale. Riguarda anche le aziende, perché gli stessi telefoni servono per lavorare e perché un account rubato viene usato per scrivere a clienti e fornitori. La difesa è una regola semplice trasformata in procedura: prima di pagare, inviare un codice o cambiare un dato, si verifica su un canale già noto, mai su quello da cui è arrivata la richiesta.

Dalla paura all’affetto

Il phishing classico spaventa: «il conto è bloccato», «la fattura risulta non pagata», «il pacco è fermo in dogana». Funziona ancora, ma è ormai studiato: i filtri antispam lo intercettano spesso e molte persone hanno imparato a riconoscerlo. Così chi truffa ha cambiato registro.

Uno scenario tipico. È venerdì sera. La responsabile amministrativa di un’azienda riceve un messaggio da un numero sconosciuto: «Ciao mamma, mi è caduto il telefono, questo è il mio nuovo numero. Salvalo e scrivimi qui». È il testo che la Polizia Postale ha descritto nei suoi avvisi. Poco dopo arriva la richiesta: un pagamento urgente, perché il telefono nuovo va pagato subito e la carta è bloccata. Lei chiama il numero del figlio che ha in rubrica. Il figlio risponde da una pizzeria, con il suo telefono perfettamente funzionante. Per quella sera, la storia finisce lì.

Il lunedì mattina, sullo stesso telefono, scrive un contatto vero, un collega di un’altra sede: «Scusa, ti ho mandato per sbaglio un codice di sei cifre, me lo rigiri?». Il nome è giusto, la foto anche. Ma il suo account è già stato rubato, e quel codice serve a rubare anche quello di lei. Se lo inoltra, chi l’ha chiesto prende il controllo del suo WhatsApp e scrive a tutta la sua rubrica: fornitori, clienti, colleghi. È lo schema descritto dalla Questura di Aosta in un avviso dell’ottobre 2025.

Come funziona il phishing affettivo?

Quasi sempre in tre tempi.

Il contatto. Un numero nuovo che dice di appartenere a una persona cara, oppure l’account vero di un conoscente, già caduto in mano ai truffatori.
L’aggancio. Urgenza e riservatezza, con un tono affettuoso: «non dirlo a nessuno», «non posso parlare, scrivimi».
La richiesta. Un bonifico, una ricarica, un codice di verifica, i dati di accesso alla banca.

Rispetto al phishing classico mancano gli elementi che i filtri cercano: nessun link, nessun allegato, spesso nessun errore di ortografia. E il messaggio arriva su un’app di messaggistica, che il sistema di posta dell’azienda non vede. A fine agosto 2026 la Polizia di Stato segnalava furti di account WhatsApp resi possibili anche da versioni non aggiornate del sistema operativo e dell’app, usati poi per chiedere denaro ai contatti con finte emergenze.

Perché colpisce anche le aziende?

Lo stesso telefono serve per la famiglia e per il lavoro: rubrica, chat con i clienti, gruppi di reparto.
Il «nuovo numero» può essere quello del titolare o di un dirigente: «sono in riunione, non posso parlare, mi serve un favore».
Il collega che chiede un codice sfrutta la voglia di aiutare, non la paura, ed è la richiesta a cui si dice sì con meno sospetto.
Un account rubato diventa un megafono. I messaggi a clienti e fornitori partono con il nome e la foto giusti, e il danno di reputazione ricade sull’azienda.
I ruoli più esposti sono quelli che possono pagare, sbloccare o autorizzare: amministrazione, tesoreria, segreterie di direzione, commerciali con molti contatti.

Quali segnali devono fermare la mano?

un numero nuovo, insieme all’impossibilità di parlare a voce;
urgenza unita a segretezza;
la richiesta di un codice arrivato via SMS, per qualunque motivo;
coordinate bancarie diverse dal solito, o un pagamento fuori dalle procedure;
un tono affettuoso o confidenziale insolito per quella persona;
l’invito a spostarsi su un’altra app o su un altro numero.

Un segnale in più arriva dalla banca. Dal 9 ottobre 2025, con il Regolamento (UE) 2024/886, le banche dei Paesi dell’Unione che usano l’euro devono offrire, prima di ogni bonifico, la verifica tra l’IBAN e il nome del beneficiario. Un avviso di mancata corrispondenza è un motivo per fermarsi, non un dettaglio da scavalcare.

Come si trasforma la regola del numero in rubrica in una procedura?

In famiglia la regola è istintiva: si chiama il numero che si conosce, non quello da cui è arrivato il messaggio. In azienda va messa per iscritto, perché le persone la applichino anche sotto pressione.

Situazione	Che cosa si fa	Chi decide
Un collega o un dirigente scrive da un numero nuovo	Si chiama il numero presente nell’anagrafica aziendale, non quello del messaggio	Chi riceve, senza chiedere autorizzazioni
Qualcuno chiede un codice di verifica	Non si invia, a nessuno, per nessun motivo	Regola senza eccezioni
Un fornitore comunica nuove coordinate bancarie	Conferma al telefono con il referente già registrato; la modifica la approva una seconda persona	Amministrazione
Arriva una richiesta di pagamento urgente fuori dalle procedure	Si sospende e la si fa passare dal percorso formale	Responsabile amministrativo
Un account usato per lavoro sembra rubato	Si avvisano subito l’IT e i contatti, da un altro canale	IT e comunicazione

La regola regge solo se vale anche per chi dirige: una richiesta del titolare passa dalla stessa verifica di tutte le altre, e chi verifica sta facendo il proprio lavoro.

Da condividere con il personale. Uno: un numero nuovo si verifica chiamando quello vecchio. Due: i codici ricevuti via SMS non si inoltrano a nessuno. Tre: le coordinate bancarie non cambiano mai con un messaggio.

Come si protegge l’account WhatsApp usato per lavoro?

attivare la verifica in due passaggi (Impostazioni, poi Account, poi Verifica in due passaggi), con un PIN e un indirizzo email per il recupero;
controllare con regolarità i «Dispositivi collegati» e scollegare quelli che non si riconoscono;
non inoltrare mai i codici ricevuti via SMS;
tenere aggiornati telefono e app;
per i numeri aziendali, stabilire chi li gestisce e come si recuperano se vengono persi.

Cosa fare se il bonifico è già partito?

Chiamare subito la propria banca e chiedere di tentare il richiamo del bonifico. Il recupero non è mai certo, soprattutto per i bonifici istantanei, e le probabilità calano con le ore.
Rivolgersi alla Polizia Postale e presentare denuncia; il portale commissariatodips.it raccoglie anche le segnalazioni.
Conservare le prove: schermate della chat, numero, orari, ricevute.
Se è stato rubato un account, recuperarlo, avvisare i contatti da un altro canale e controllare i dispositivi collegati.
Se sono coinvolti dati o sistemi aziendali, attivare la procedura per gli incidenti: le regole delle prime ore valgono anche qui.

In sintesi

Il phishing affettivo sostituisce la paura con l’affetto e la voglia di aiutare.
Arriva su app di messaggistica, senza link né allegati: i filtri della posta non lo vedono.
In azienda colpisce chi può pagare o autorizzare, e un account rubato diventa un megafono verso clienti e fornitori.
La difesa è verificare su un canale già noto, e farlo diventare una procedura scritta che vale per tutti, vertici compresi.
I codici di verifica non si inoltrano mai; la verifica in due passaggi protegge l’account anche in caso di errore.
Se il denaro è partito contano le ore: banca, denuncia, prove, avviso ai contatti.

Domande frequenti

Perché i filtri antispam non fermano questi messaggi?

Perché arrivano su app di messaggistica, spesso su telefoni personali, e non contengono link o allegati da analizzare. L’unico controllo affidabile avviene fuori dalla conversazione, su un canale già noto.

A che cosa serve il codice di sei cifre di WhatsApp a chi lo chiede?

A registrare il numero della vittima su un altro telefono e a prendere il controllo dell’account e della rubrica. Per questo il codice non va inoltrato a nessuno, nemmeno a un contatto fidato; la verifica in due passaggi aggiunge un PIN che protegge anche in caso di errore.

È corretto simulare un phishing affettivo sul personale?

Sì, se la simulazione è progettata con le risorse umane e, dove serve, con il responsabile della protezione dei dati, non entra nella vita privata delle persone e serve a imparare, non a cercare colpevoli. Conviene leggere i risultati per reparto, non per nome.

Che cosa dire ai contatti se l’account è stato rubato?

Un messaggio breve, inviato da un altro canale: l’account è stato compromesso, le richieste di denaro o di codici arrivate nelle ultime ore sono false, per qualsiasi dubbio si chiama il numero già noto.

Le regole di verifica funzionano quando sono scritte, conosciute e allenate. La formazione e le simulazioni per personale e vertici della divisione Cybersecurity partono da scenari come questi, insieme alle procedure per i cambi di coordinate e per gli account compromessi. Il racconto del barista spiega perché una casella violata pesa sull’azienda; quello del fax perché molti falsi mittenti si possono fermare già alla porta.

Fonti

Consultate il 16 settembre 2026.

ApprofondisciCybersecurityVerifiche fatte come le farebbe un attaccante (penetration test), gestione degli incidenti, continuità operativa e aiuto ad adeguarsi alla NIS2, anche per i fornitori.