Anti-phishing: Cos’è? I migliori strumenti e test per proteggere te e la tua azienda

Gli strumenti anti-phishing più efficaci appartengono a cinque categorie: filtri della posta, protezioni del browser e del dispositivo, autenticazione resistente al phishing, controllo del dominio email e test che misurano quanto le persone sanno riconoscere un attacco. Molti sono già inclusi gratis in Gmail, Microsoft 365, Chrome, Edge e Android. Un’azienda deve però aggiungere gestione centralizzata, simulazioni periodiche e un controllo sul proprio dominio, perché nessuno strumento da solo blocca tutti gli attacchi.

Cosa fa uno strumento anti-phishing (e cosa non può fare)

Un attacco di phishing riesce solo se si allineano più condizioni: un mittente credibile, un pretesto plausibile, un’azione della vittima e controlli tecnici assenti o aggirabili. Le spieghiamo nel dettaglio nella guida su come funziona il phishing. Uno strumento anti-phishing, o antiphishing nella grafia unita, serve a spezzare uno di questi anelli: impedisce al messaggio di arrivare, blocca la pagina falsa, rende inutile la password rubata o allena la persona a fermarsi prima del clic.

Nessuno di questi strumenti copre tutto. Il Verizon Data Breach Investigations Report 2026, basato su oltre 22.000 violazioni confermate in 145 Paesi, rileva la presenza dell’elemento umano nel 62% dei casi e indica il phishing come vettore di accesso iniziale nel 16% delle violazioni. È molto meno del “90% degli attacchi” che circola in tante pagine commerciali, ma abbastanza da fare del phishing una delle principali porte d’ingresso. In Italia il Rapporto Clusit 2026 attribuisce al phishing e all’ingegneria sociale il 12,4% degli incidenti gravi del 2025, in crescita del 66% sull’anno precedente.

La conseguenza pratica è una sola: la protezione si costruisce sovrapponendo più strumenti, ognuno sul proprio anello.

I migliori strumenti anti-phishing, categoria per categoria

La posta resta il canale più presidiato. Gmail e Microsoft 365 applicano già un filtro anti-phishing lato server. Nel mondo Microsoft la protezione di base si chiama Exchange Online Protection, mentre il ricontrollo dei link al momento del clic e l’apertura degli allegati in un ambiente isolato fanno parte di Microsoft Defender for Office 365, incluso in alcuni piani business o acquistabile a parte.

Le piattaforme dedicate alla sicurezza delle email si collegano alla casella via API o come gateway e aggiungono soprattutto due capacità. La prima è l’analisi del comportamento, che riconosce un messaggio anomalo anche quando non contiene link. La seconda è l’anti-impersonificazione, decisiva contro gli attacchi mirati di spear phishing e le frodi sui bonifici. Chi usa la PEC per fatture e comunicazioni legali dovrebbe verificare che anche il proprio provider controlli i link: nel 2025 il CERT-AgID ha registrato un forte aumento degli abusi di questo canale.

Browser, suite di sicurezza e antivirus anti-phishing

Le vecchie toolbar anti-phishing da installare nel browser sono state superate dalle protezioni integrate: Chrome, Edge e Safari bloccano gli indirizzi segnalati come fraudolenti senza bisogno di estensioni. Anzi, un’estensione sconosciuta che promette di proteggere dal phishing chiede spesso permessi molto ampi sulla navigazione, ed è un rischio in più.

Una suite di sicurezza ha senso quando serve una protezione che vada oltre il browser: analisi di file e app, controllo dei link in altre applicazioni, copertura di più dispositivi con un solo abbonamento. Per scegliere conviene guardare ai test indipendenti: AV-Comparatives, per esempio, pubblica ogni anno un test di certificazione anti-phishing sui principali prodotti. 

Passkey, password manager e dominio aziendale

Questi strumenti agiscono dopo il clic. Le passkey e le chiavi FIDO2 sono legate al dominio autentico e su un sito clone non funzionano. Un password manager non compila le credenziali su un dominio diverso da quello salvato, e quel mancato completamento è già un campanello d’allarme. Per un’azienda il passo equivalente è portare la policy DMARC del proprio dominio verso la quarantena o il rifiuto: la configurazione non ha costi di licenza e i report si leggono con strumenti gratuiti di analisi DMARC.

Anti-phishing gratis

Prima di acquistare un software conviene verificare che cosa è già attivo. Le protezioni gratuite o incluse coprono più di quanto si pensi:

• filtri anti-phishing di Gmail, Outlook.com e dei principali provider di posta;
• protezione di base di Microsoft 365 e Google Workspace;
• Navigazione sicura in Chrome, SmartScreen in Edge e avviso siti fraudolenti in Safari;
• Google Play Protect e protezione dallo spam nei Messaggi di Google su Android;
• passkey, supportate gratuitamente da Google, Apple e Microsoft;
• report DMARC, leggibili con strumenti gratuiti;
• Google Phishing Quiz, per allenarsi a riconoscere le email false.

Per un privato o un professionista che lavora da solo, questi strumenti ben configurati sono spesso sufficienti, soprattutto se affiancati da un password manager. Diventano insufficienti quando ci sono più persone da proteggere: le impostazioni restano affidate ai singoli, manca una visibilità centralizzata e nessuno misura quanti dipendenti cliccano o segnalano. Per un’azienda gli strumenti gratuiti sono la base, non la soluzione.

Anti-phishing su Android (e su iPhone)

Lo smartphone è il dispositivo più esposto. Il Verizon DBIR 2026 rileva che il 41% delle violazioni da ingegneria sociale ha sfruttato canali diversi dall’email, e sul telefono è più difficile controllare un link prima di aprirlo. Le truffe via SMS e telefono sono oggi tra le più efficaci.

Su Android la protezione anti-phishing di base si attiva in pochi minuti:

1. verificare che Google Play Protect sia attivo (Play Store > profilo > Play Protect), così da bloccare le app dannose anche se installate fuori dallo store;
2. impostare in Chrome la Navigazione sicura, preferibilmente in modalità di protezione avanzata;
3. attivare la protezione dallo spam nell’app Messaggi di Google;
4. mantenere aggiornati sistema operativo, Chrome e servizi Google Play;
5. installare app solo dal Play Store e controllare i permessi che richiedono.

Su iPhone l’equivalente è l’avviso per siti web fraudolenti di Safari, nelle impostazioni del browser, insieme al filtro dei mittenti sconosciuti in Messaggi. Un’app anti-phishing dedicata aggiunge il controllo dei link negli SMS e nelle app di messaggistica, utile per chi riceve molti messaggi da numeri sconosciuti.

In azienda le impostazioni del singolo non bastano. Un sistema di gestione dei dispositivi mobili (MDM) applica le stesse regole a tutti i telefoni di lavoro, separa i dati aziendali da quelli personali sui dispositivi dei dipendenti e permette di cancellare a distanza l’account di lavoro da un telefono perso o compromesso.

Phishing test: come verificare se sei davvero pronto

Con “phishing test” si intendono due cose diverse.

Il test individuale misura la tua capacità di riconoscere un’email falsa. Il più noto è il Google Phishing Quiz, sviluppato da Jigsaw: otto email ispirate a casi reali da classificare come legittime o fraudolente, con la spiegazione degli indizi dopo ogni risposta. È gratuito e richiede pochi minuti. Per continuare ad allenarsi sono utili esempi reali di email di phishing, analizzati uno per uno.

La simulazione di phishing aziendale è una campagna controllata in cui i dipendenti ricevono email, SMS o telefonate costruite come attacchi veri. Secondo il Verizon DBIR 2026 il tasso di clic mediano nelle simulazioni via email è dell’1,4%, contro circa il 2% di quelle telefoniche: per questo le campagne dovrebbero includere anche canali diversi dalla posta. La metrica più utile, però, non è il clic ma la segnalazione: quante persone avvisano l’IT e in quanto tempo. Un’azienda in cui pochi cliccano ma nessuno segnala resta vulnerabile.

In Italia una simulazione coinvolge dati dei dipendenti e può rientrare nei controlli a distanza disciplinati dallo Statuto dei lavoratori. Va quindi progettata con il DPO e le risorse umane: informativa trasparente, finalità formativa, risultati aggregati e mai usati a fini disciplinari. Per le organizzazioni soggette alla direttiva NIS2 la formazione sulla sicurezza è anche un obbligo.

Come scegliere il miglior software anti-phishing

Il miglior software anti-phishing è quello che copre gli anelli rimasti scoperti, non quello con più funzioni.

Per un privato o un professionista contano la copertura di tutti i dispositivi usati, la protezione di browser ed email, il controllo dei link nei messaggi sullo smartphone, i risultati nei test indipendenti e un prezzo di rinnovo chiaro, perché molte suite applicano lo sconto solo al primo anno.

Per un’azienda queste sono le domande da porre a un fornitore:

Un’avvertenza sull’espressione “phishing software”: in rete indica anche i kit usati dai criminali per clonare i siti. Gli unici software legittimi sono quelli di difesa e le piattaforme di simulazione usate con l’autorizzazione dell’organizzazione.

Da dove iniziare: le prime cinque mosse per un’azienda