Una campagna di phishing ancora attiva sfrutta false comunicazioni di Zoom e Docusign per sottrarre credenziali, informazioni personali e dati delle carte di credito. Kaspersky dichiara di aver individuato, all’11 settembre 2026, oltre mille email fraudolente riconducibili all’attività. La campagna ha interessato diversi Paesi e punta soprattutto su account aziendali.
Il caso mostra come le campagne di phishing non debbano necessariamente ricorrere a tecniche particolarmente sofisticate. Mentre cresce l’attenzione verso frodi supportate dall’intelligenza artificiale e attacchi capaci di imitare con sempre maggiore precisione comunicazioni autentiche, i criminali informatici continuano a ottenere risultati anche attraverso pagine di phishing relativamente semplici e marchi molto conosciuti dagli utenti.
La prima ondata sfrutta il nome di Docusign
Secondo quanto ricostruito da Kaspersky, la prima fase della campagna ha utilizzato email che imitavano comunicazioni ufficiali di Docusign. I messaggi hanno raggiunto indirizzi aziendali in Medio Oriente, America Latina, Europa occidentale, Russia, Armenia e Azerbaigian.
All’interno delle email erano presenti collegamenti verso pagine create per sottrarre le credenziali delle vittime. L’obiettivo consisteva nel convincere il destinatario che il messaggio fosse collegato a una normale attività professionale, come la consultazione o la firma di un documento.
Docusign rappresenta un’esca particolarmente adatta a questo tipo di attacco perché le sue notifiche fanno parte delle normali comunicazioni di molte organizzazioni. Kaspersky aveva già documentato campagne nelle quali i criminali imitavano l’aspetto delle email della piattaforma e inserivano collegamenti o codici QR diretti verso siti fraudolenti.
La presenza del marchio o del logo di Docusign, quindi, non garantisce l’autenticità del messaggio.
Le false email Zoom minacciano la disattivazione dell’account
Poco più di una settimana dopo la prima ondata, Kaspersky ha rilevato una seconda fase della campagna. Questa volta gli aggressori hanno scelto Zoom come esca.
Le email imitano notifiche ufficiali della piattaforma e avvertono il destinatario che il suo account sta per essere disattivato. Il messaggio cerca così di creare un senso di urgenza e di convincere l’utente ad agire senza controllare con attenzione mittente e collegamenti.
La campagna utilizza due modalità principali. In alcuni casi, il messaggio contiene un link verso una pagina di phishing destinata al furto delle credenziali. In altri compaiono moduli che richiedono direttamente informazioni personali e dati della carta di credito.
L’uso di Zoom non appare casuale. La piattaforma è uno degli strumenti più riconoscibili negli ambienti di lavoro e questo aumenta la probabilità che una falsa notifica possa confondersi con le comunicazioni autentiche ricevute ogni giorno dai dipendenti.
Kaspersky aveva già rilevato, nei dodici mesi precedenti ad agosto 2026, milioni di tentativi di attacco che imitavano popolari strumenti professionali, con Zoom tra i marchi utilizzati più spesso come esca.
Oltre mille email individuate
All’11 settembre 2026, Kaspersky ha rilevato più di mille email di phishing associate alla nuova campagna Zoom e Docusign. Il numero indica i messaggi individuati dai sistemi della società e non permette quindi di stabilire quante email siano state complessivamente distribuite dagli aggressori.
L’aspetto interessante riguarda proprio la semplicità dell’attacco. Gli autori non sembrano affidarsi necessariamente a infrastrutture elaborate o a tecniche di social engineering particolarmente innovative. Puntano invece sulla familiarità dei marchi e sull’elevato numero di messaggi che raggiunge ogni giorno le caselle aziendali.
«Vengono ancora utilizzati metodi primitivi e, a volte, proprio questa semplicità può rivelarsi efficace», spiega Andrey Kovtun, Email Threats Protection Group Manager di Kaspersky.
Secondo Kovtun, un dipendente può non riconoscere alcuni segnali tipici del phishing quando deve gestire un elevato numero di email, soprattutto se il messaggio sembra provenire da un servizio utilizzato abitualmente in azienda.
Perché i servizi aziendali sono un’esca efficace
Il phishing basato sull’impersonificazione di servizi conosciuti sfrutta soprattutto la fiducia preesistente dell’utente.
Una richiesta di firma elettronica tramite Docusign oppure una comunicazione relativa a un account Zoom non rappresentano eventi insoliti in un contesto professionale. I criminali cercano quindi di replicare colori, loghi, pulsanti e struttura delle comunicazioni originali.
Non serve necessariamente una copia perfetta. Un messaggio può risultare efficace anche quando presenta anomalie visibili, se raggiunge un destinatario che ha poco tempo a disposizione o che si aspetta realmente una comunicazione simile.
La pressione psicologica rappresenta un altro elemento importante. Frasi che annunciano la sospensione dell’account, la scadenza di un documento o la necessità di intervenire immediatamente cercano di ridurre il tempo dedicato alla verifica.
Come riconoscere le false email Zoom e Docusign
Il primo elemento da controllare è l’indirizzo effettivo del mittente. Il nome visualizzato nella casella di posta può essere falsificato e un logo ufficiale può essere copiato facilmente.
Lo stesso controllo deve riguardare i collegamenti. Prima di inserire username, password o dati finanziari è opportuno verificare il dominio della pagina aperta. Nei casi dubbi, è preferibile non utilizzare il link presente nell’email e raggiungere Zoom, Docusign o qualsiasi altro servizio attraverso il sito ufficiale o l’applicazione.
Particolare cautela deve essere riservata alle richieste di dati della carta di credito, credenziali aziendali o altre informazioni sensibili che compaiono all’interno di moduli raggiunti tramite email.
Nel caso di Docusign, Kaspersky ricorda inoltre che le normali procedure per la firma di un documento non richiedono all’utente di inserire le proprie credenziali aziendali su una pagina esterna.
MFA e formazione riducono il rischio
Per le organizzazioni, la protezione non può dipendere soltanto dalla capacità del singolo dipendente di riconoscere una comunicazione falsa.
Filtri antiphishing e sistemi dedicati alla sicurezza della posta possono intercettare una parte dei messaggi prima che raggiungano gli utenti. La formazione periodica del personale può inoltre aiutare i dipendenti a riconoscere domini sospetti, richieste anomale e tecniche basate sull’urgenza.
Anche le simulazioni interne di phishing possono fornire indicazioni sui reparti più esposti e permettere all’azienda di intervenire prima che un errore avvenga durante un attacco reale.
Un ulteriore livello di sicurezza è rappresentato dall’autenticazione a più fattori, che può impedire l’accesso a un account anche dopo il furto della password. Quando possibile, risultano preferibili metodi resistenti al phishing, come chiavi di sicurezza hardware e passkey, rispetto ai sistemi basati esclusivamente su password.
La campagna individuata da Kaspersky conferma soprattutto un principio che resta valido anche con la crescita delle minacce supportate dall’intelligenza artificiale: un attacco semplice può ancora funzionare se riesce a inserirsi nelle normali abitudini digitali della vittima.
