Ogni anno 360.000 clienti chiedono ad Amazon se un messaggio ricevuto sia autentico. Il costo reale del phishing nasce prima del clic: una richiesta urgente interrompe il lavoro, spinge a reagire e porta credenziali o pagamenti fuori dal processo normale. Per una PMI, il controllo più utile non è leggere meglio l’email. È verificare la richiesta in un canale già autenticato.
Il problema: il messaggio decide il percorso
Un’email ben costruita può imitare logo, tono, firma e perfino una conversazione precedente. Controllare solo il nome visualizzato del mittente o la grafica non basta. Il punto debole è il percorso suggerito dal messaggio: cliccare un link, chiamare un numero, aprire un allegato o rispondere con un codice. In tutti questi casi è il possibile attaccante a scegliere dove portarti. L’urgenza fa il resto: consegna bloccata, account sospeso, fattura scaduta, rimborso in attesa. Amazon ha appena applicato un principio più solido: negli Stati Uniti, Alexa for Shopping confronta email, SMS, chiamate e messaggi con le comunicazioni registrate nei sistemi Amazon e restituisce uno di tre esiti, cioè confermato, non riconosciuto oppure non verificabile. La lezione utile non è affidarsi all’AI. È spostare la verifica su una fonte che possiede i dati originali.
La soluzione: uscire dall’email
Quando arriva una richiesta anomala, non usare nessun recapito contenuto nel messaggio. Apri da zero l’app o il sito ufficiale, entra con il tuo account e controlla ordini, fatture, ticket e notifiche. Se il fornitore offre uno strumento di verifica, usalo da quel canale. Amazon, per esempio, rende la nuova funzione disponibile inizialmente ai clienti statunitensi; per gli altri Paesi indica anche l’inoltro a [email protected] e un modulo nel servizio clienti. Il metodo vale anche senza una funzione AI: una fattura esiste nel gestionale, un ordine nel back office, un ticket nel portale assistenza. Se la richiesta non compare nel sistema che dovrebbe averla generata, va trattata come sospetta. Per ridurre altri rischi sugli strumenti automatizzati, vale lo stesso criterio descritto nella guida ai permessi degli agenti AI: fiducia limitata e controllo nel punto in cui l’azione viene autorizzata.
I passaggi da mettere in procedura
La procedura deve essere abbastanza corta da funzionare anche sotto pressione. Primo: non cliccare, non rispondere e non chiamare il numero mostrato. Secondo: aprire manualmente il dominio o l’app già installata, evitando i risultati sponsorizzati della ricerca. Terzo: verificare se l’evento citato esiste davvero nel pannello ufficiale. Quarto: se serve conferma, contattare l’assistenza dal portale autenticato o da un recapito salvato in precedenza. Quinto: segnalare il messaggio al fornitore e al referente interno. Per pagamenti, cambio IBAN, reset di account o condivisione di codici, aggiungi una seconda approvazione su un canale diverso. Una telefonata a un numero noto costa meno di un bonifico sbagliato. Infine, attiva MFA o passkey dove disponibili: non rende innocuo il phishing, ma riduce l’impatto di una password sottratta. Scritta in cinque righe e provata una volta, questa checklist è più utile di una formazione annuale dimenticata il giorno dopo.
L’errore da evitare e il take finale
L’errore è chiedere a un chatbot generico: “Questa email è vera?” Un modello può riconoscere segnali sospetti, ma non vede il registro interno del fornitore e non può confermare l’origine del messaggio. Anche lo strumento Amazon ammette un esito “non verificabile”: quando manca certezza, la decisione resta sospesa e si passa a un altro canale ufficiale. La mia regola operativa è semplice: l’AI può classificare il rischio, non autorizzare un pagamento o la consegna di credenziali. La verifica deve vivere nel sistema che conserva l’ordine, la fattura o il ticket. È un controllo piccolo, ma cambia chi guida il processo: non più il messaggio ricevuto, bensì l’organizzazione che dovrebbe averlo inviato. La funzione è descritta nell’annuncio ufficiale Amazon e nella verifica di TechCrunch.