Kaspersky ha individuato una campagna di phishing mirata contro aziende manifatturiere in diversi Paesi, tra cui Malesia, Egitto, Repubblica Ceca e Russia. Secondo la società di sicurezza, l’attività è partita nell’aprile 2026 e risulta ancora attiva al momento della pubblicazione dell’analisi ufficiale dell’8 luglio 2026.
La campagna si distingue per un approccio più articolato rispetto ai classici messaggi fraudolenti inviati in massa. Gli autori non inviano subito il link malevolo, ma avviano una conversazione con i dipendenti delle aziende prese di mira. Il pretesto è una richiesta commerciale: un presunto cliente chiede informazioni su prodotti, prezzi, disponibilità o specifiche tecniche.
Come funziona l’attacco
Il primo contatto arriva tramite email in lingua inglese. Kaspersky segnala che i messaggi risultano inviati da indirizzi registrati su servizi di posta gratuiti, un elemento che può ridurre la diffidenza iniziale, perché strumenti simili sono usati anche da piccole imprese per comunicazioni reali.
Il contenuto dell’email fa riferimento a prodotti effettivamente presenti nel catalogo o nel sito dell’azienda. Questo dettaglio indica una fase preliminare di raccolta informazioni. Gli attori della campagna non usano quindi un testo generico identico per tutte le vittime, ma costruiscono richieste coerenti con l’attività della singola impresa.
Se il destinatario risponde, la conversazione prosegue. In alcuni casi il link di phishing arriva già nella seconda email. In altri, gli autori mantengono lo scambio per più messaggi, con ulteriori domande su dettagli tecnici, personalizzazioni o caratteristiche del prodotto richiesto.
Il falso file con le specifiche tecniche
Il passaggio successivo riguarda l’invio di un link che dovrebbe permettere il download di un file con le specifiche tecniche del prodotto. Il collegamento porta invece a una pagina fraudolenta che imita un servizio cloud per la gestione di documenti PDF.
La vittima trova un pulsante di download e, dopo il clic, viene reindirizzata a un falso modulo di autorizzazione. La pagina richiede l’indirizzo email aziendale e la password con la motivazione apparente della protezione del documento da accessi non autorizzati.
L’obiettivo reale è la sottrazione delle credenziali aziendali. Una volta ottenute, queste informazioni possono aprire la strada ad accessi non autorizzati alla posta elettronica, furto di dati, frodi BEC, movimenti laterali o ulteriori campagne verso clienti e fornitori dell’azienda compromessa.
Perché il settore manifatturiero è esposto
Il settore manifatturiero è un bersaglio credibile per questo tipo di attacco perché i reparti commerciali, export, vendite e customer care ricevono ogni giorno richieste da contatti esterni. Una domanda su un prodotto, una richiesta di preventivo o un file con specifiche tecniche rientrano nella normale attività lavorativa.
Questa normalità rende più difficile distinguere un messaggio legittimo da un tentativo di phishing ben preparato. Il rischio aumenta quando la comunicazione cita prodotti reali, usa un tono professionale e procede per fasi, senza link sospetti già nel primo messaggio.
Kaspersky osserva anche che i testi delle email sembrano prodotti con strumenti basati su modelli linguistici. Questo aspetto rende le campagne più convincenti, perché riduce errori evidenti, migliora la fluidità del messaggio e consente di adattare il contenuto a contesti aziendali specifici.
I segnali da controllare
Le aziende manifatturiere dovrebbero prestare attenzione ad alcuni elementi ricorrenti:
- email in lingua inglese da indirizzi gratuiti, soprattutto se collegate a richieste commerciali insolite;
- richieste che citano prodotti reali, ma arrivano da interlocutori mai verificati;
- link a presunti file tecnici ospitati su servizi cloud non attesi;
- pagine che chiedono credenziali aziendali per aprire un documento;
- motivazioni generiche legate alla sicurezza del file;
- pressioni implicite per accedere rapidamente a documenti, bozze, disegni o specifiche.
Il punto più critico resta la richiesta della password aziendale su una pagina esterna. Un servizio di condivisione documenti non dovrebbe richiedere le credenziali della posta aziendale, soprattutto se il dominio non appartiene all’organizzazione o a un fornitore già noto.
Le misure di difesa consigliate
Per ridurre il rischio, Kaspersky raccomanda l’adozione di soluzioni di sicurezza per i server di posta, strumenti di threat intelligence e percorsi di formazione per i dipendenti. La protezione tecnica deve bloccare messaggi sospetti, link malevoli, allegati pericolosi, phishing, tentativi di Business Email Compromise e minacce distribuite tramite email.
La formazione resta un elemento centrale. I dipendenti dei reparti più esposti devono saper riconoscere richieste anomale, domini non coerenti, pagine di login sospette e falsi servizi cloud. Serve anche una procedura chiara per la verifica delle richieste commerciali dubbie, soprattutto quando includono link esterni o file non attesi.
Un controllo interno può prevedere la verifica del dominio del mittente, il contatto diretto con l’azienda che dichiara di inviare la richiesta, l’analisi del link tramite strumenti sicuri e il coinvolgimento del team IT prima dell’inserimento di qualsiasi credenziale.
