Qui siamo davanti a un salto di qualità, non a una novità folkloristica.
Il kit di phishing chiamato Spiderman è l’ennesima prova che il cybercrime sta vivendo una fase di industrializzazione spinta. Non servono competenze tecniche elevate, non serve scrivere codice, non serve capire come funziona davvero una banca online. Serve solo scaricare il kit, seguire istruzioni guidate e premere “pubblica”. Fine. Il crimine informatico diventa plug-and-play.
La forza di strumenti come Spiderman non sta nella tecnologia in sé, ma nella perfetta fusione tra tecnologia e psicologia. I siti falsi sono copie quasi indistinguibili degli originali: loghi, colori, font, micro-animazioni. L’utente atterra su una pagina che “sembra giusta”, inserisce le credenziali e spesso anche il codice OTP. In tempo reale. Prima ancora che scatti il dubbio.
Qui entra in gioco l’ingegneria sociale, che oggi è più rapida, più mirata e più scalabile. Il messaggio non è più la mail sgrammaticata del principe nigeriano. È una notifica credibile: “accesso anomalo”, “conto temporaneamente bloccato”, “verifica urgente”. Testi brevi, tono istituzionale, pressione sul tempo. Sotto pressione, anche una persona attenta può commettere un errore.
Un altro elemento inquietante è la gestione in tempo reale delle credenziali rubate. Non si parla più di database venduti mesi dopo nel dark web. Le informazioni vengono usate subito per svuotare conti, aggirare l’autenticazione a due fattori, cambiare password e bloccare il vero proprietario fuori dal sistema. La rapidità rende più difficile intervenire in tempo.
Il risultato è un ecosistema tossico: più strumenti semplici, più attaccanti improvvisati, più rumore. E nel rumore aumentano le vittime, soprattutto tra utenti normali, PMI, professionisti, enti locali. Non serve colpire una banca se puoi colpire mille correntisti distratti.
La verità scomoda è che la tecnologia da sola non basta più. Antivirus, filtri, autenticazioni aiutano, ma il fronte decisivo resta culturale. Educazione digitale, consapevolezza del rischio, capacità di riconoscere segnali deboli. Esattamente come nella sicurezza fisica: non lasci la porta aperta solo perché vivi in un bel quartiere.
Spiderman e strumenti simili ci dicono una cosa chiara: il phishing non è un incidente, è un modello di business. E come tutti i modelli di business, funziona finché trova clienti. In questo caso, utenti impreparati.
Nel cyberspazio di oggi, la prima linea di difesa non è un software. È il cervello umano. E va addestrato, non dato per scontato.
La ricerca e il rischio concreto
La ricerca pubblicata da Varonis nel dicembre 2025 descrive Spiderman come un kit capace di imitare pagine di accesso di servizi finanziari europei e raccogliere credenziali attraverso interazioni successive. Il suo significato difensivo è chiaro: una pagina visivamente familiare può essere parte di un percorso fraudolento. Non occorre riconoscere il nome del kit per applicare controlli utili.
Un esempio quotidiano
Immaginiamo un messaggio che segnala un presunto blocco del conto. Il collegamento apre una pagina con logo, colori e campi di accesso abituali. Dopo la password viene richiesto un codice. Il caso è illustrativo: il fatto che il percorso assomigli a quello conosciuto non dimostra che il sito appartenga al servizio dichiarato.
La risposta utile è interrompere il percorso ricevuto e aprire l’app o il sito attraverso un canale già utilizzato. Se l’avviso è reale, sarà possibile verificarlo da lì o contattando un riferimento ufficiale. È un cambio di abitudine: non tentare di decidere tutto osservando il messaggio, ma cercare una conferma indipendente.
Controllare la richiesta, oltre alla grafica
La domanda principale è: perché mi viene chiesta questa azione, e attraverso quale canale? Un accesso non richiesto, una minaccia di blocco immediato o l’invito a condividere un codice meritano una pausa. Il controllo dell’indirizzo aiuta, ma può essere difficile su schermi piccoli o quando il collegamento è nascosto dietro un pulsante.
Salvare l’indirizzo del servizio e usare l’app abituale riduce questa difficoltà. Il lucchetto del browser, da solo, non dimostra che il sito sia quello desiderato: indica una connessione cifrata con il dominio aperto. Anche un sito fraudolento può usare una connessione cifrata.
Autenticazione: metodi diversi, protezioni diverse
La verifica a più fattori resta un controllo importante. I metodi, però, non sono equivalenti rispetto al phishing. Un codice digitabile può essere comunicato a un sito falso; i metodi resistenti al phishing sono progettati per legare l’autenticazione al servizio corretto. CISA raccomanda di adottarli quando possibile.
Per scegliere il metodo disponibile sul proprio account, occorre seguire le istruzioni ufficiali del servizio e preparare il recupero dell’accesso. Non bisogna disattivare una protezione perché esistono attacchi che possono aggirare alcune implementazioni. La risposta è migliorare il percorso, mantenendo controlli coerenti con il contesto.
Se hai già inserito informazioni
Evita ulteriori interazioni con la pagina sospetta e contatta il servizio attraverso un recapito verificato. Se sono coinvolte credenziali, segui la procedura ufficiale per proteggere l’account; se sono coinvolte operazioni finanziarie, informa tempestivamente l’intermediario. Conserva messaggi, indirizzi e orari utili a ricostruire l’accaduto.
In azienda, segnala anche al riferimento tecnico. Il controllo potrebbe dover includere sessioni attive, autorizzazioni e altri account che riutilizzano la stessa password. Le azioni dipendono dal caso: una procedura preparata è più affidabile di una sequenza improvvisata suggerita dallo stesso interlocutore sospetto.
Allenare una pausa utile
Una breve esercitazione può presentare messaggi plausibili e chiedere quali verifiche fare prima di agire. Il risultato da osservare non è soltanto quante persone individuano una truffa. È se conoscono il canale corretto, riescono a trovare un referente e si sentono libere di fermarsi davanti a una richiesta anomala.
La consapevolezza non sostituisce filtri, aggiornamenti e autenticazione. Li completa. Un ambiente che rende facile chiedere conferma riduce la pressione a decidere da soli e trasforma l’attenzione individuale in una capacità dell’organizzazione.
Fonti: ricerca Varonis su Spiderman; CISA: autenticazione resistente al phishing.