Il tuo account richiede una verifica immediata.
", "envelope_sender": "security@microsoft-verify.com" }' ## 3. Lanciare la campagna con tracking attivo curl -s -k -X POST "${GOPHISH_URL}/api/campaigns/" \ -H "Authorization: Bearer ${API_KEY}" \ -H "Content-Type: application/json" \ -d '{ "name": "Simulazione Phishing Q2 2025", "template": {"name": "Microsoft 365 - Verifica account"}, "page": {"name": "Landing page formazione"}, "smtp": {"name": "SMTP interno"}, "groups": [{"name": "Campagna Q2 2025 - Tutti i dipendenti"}], "launch_date": "2025-06-01T09:00:00+02:00", "send_by_date": "2025-06-01T17:00:00+02:00" }' ## 4. Estrarre risultati dopo 48 ore ## GoPhish traccia: email aperte, link cliccati, credenziali inserite curl -s -k "${GOPHISH_URL}/api/campaigns/1/results" \ -H "Authorization: Bearer ${API_KEY}" | \ jq '{ total: .results | length, opened: [.results[] | select(.status == "Email Opened")] | length, clicked: [.results[] | select(.status == "Clicked Link")] | length, submitted: [.results[] | select(.status == "Submitted Data")] | length }' ``` Il workflow operativo è trimestrale: simulazione → analisi risultati → micro-formazione mirata sui dipendenti che hanno cliccato → nuova simulazione con template diverso. I template devono ruotare: Microsoft 365 un trimestre, notifica bancaria il successivo, finta comunicazione HR il terzo. L'obiettivo non è punire chi clicca, ma costruire il riflesso di segnalazione - il DBIR 2025 nota che le organizzazioni con training regolare vedono un miglioramento di 4× nel tasso di segnalazione delle email sospette. ## Errori comuni nei programmi di security awareness Il primo errore è la formazione annuale in aula. Una sessione di 2 ore una volta l'anno non modifica comportamenti. Il modello efficace è il micro-learning: moduli da 5-10 minuti, distribuiti mensilmente, focalizzati su un singolo comportamento (riconoscere URL sospetti, verificare richieste di bonifico, segnalare email anomale). KnowBe4 documenta che il miglioramento significativo inizia dopo 90 giorni di training continuo - non dopo un singolo evento formativo. Il secondo è ignorare il BEC e il vishing. Le simulazioni di phishing via email sono necessarie ma non sufficienti. Il Business Email Compromise - dove l'attaccante impersona il CEO o un fornitore per richiedere un bonifico urgente - ha causato $2.77 miliardi di perdite nel solo 2024. Il vishing con deepfake vocali è il vettore in crescita più rapida. Il programma di awareness deve includere procedure di verifica out-of-band per qualsiasi richiesta finanziaria (telefonare al richiedente su un numero noto, non su quello indicato nell'email). Il terzo è non misurare i risultati. Senza metriche before/after (click rate, tempo di segnalazione, percentuale di credenziali inserite), la formazione è un atto di fede. GoPhish fornisce queste metriche automaticamente - il trend trimestrale del click rate è l'indicatore primario dell'efficacia del programma. Il quarto è l'approccio punitivo. Punire i dipendenti che cliccano su simulazioni genera paura e sottosegnalazione - esattamente l'opposto dell'obiettivo. Chi clicca deve ricevere formazione aggiuntiva immediata (redirect alla landing page educativa), non una sanzione. L'obiettivo è che ogni dipendente segnali l'email sospetta al team IT, non che la cancelli in silenzio per paura. La security awareness è il complemento dell'[hardening tecnico](https://www.mauriziofonte.it/blog/post/hardening-laravel-symfony-checklist-nis2-pmi-14-giorni.html): il firewall blocca il traffico malevolo, il training blocca il dipendente che sta per aprire la porta dall'interno. L'[audit di sicurezza](https://www.mauriziofonte.it/blog/post/audit-sicurezza-php-legacy-guida-pratica-vulnerabilita.html) identifica le vulnerabilità tecniche, la simulazione di phishing identifica le vulnerabilità umane. Un [Disaster Recovery Plan](https://www.mauriziofonte.it/blog/post/disaster-recovery-plan-importanza-azienda.html) ben testato mitiga l'impatto quando la prevenzione fallisce. Per conoscere il mio approccio alla sicurezza che integra formazione e hardening tecnico, visita [la mia pagina professionale](https://www.mauriziofonte.it/pages/about). Se il tuo team non ha mai ricevuto una simulazione di phishing e l'ultima formazione sulla sicurezza risale a "quel corso che abbiamo fatto l'anno scorso", [contattami per una consulenza dedicata](https://www.mauriziofonte.it/pages/contattami) - partiamo da una baseline di phishing simulation e costruiamo un programma trimestrale misurabile. Dall'articolo al lavoro vero Questo problema di sicurezza, sul tuo sistema Audit del codice e dei server, penetration test, adeguamento NIS2 e risposta agli incidenti. [Vedi come lavoro sulla sicurezza](https://www.mauriziofonte.it/servizi/consulenza-cybersecurity-nis2.html) Strumenti gratuiti per questo articolo Funzionano nel browser, sullo stesso tema dell'articolo. - [Analisi email sospetta](https://www.mauriziofonte.it/strumenti/analisi-email-sospetta) - [Autovalutazione NIS2](https://www.mauriziofonte.it/strumenti/autovalutazione-nis2-pmi) Ultima modifica: Martedì 14 Aprile 2026, alle 17:48 [« Articolo precedenteDisaster Recovery Plan per PMI: da backup non testati a RPO/RTO verificabili con la regola 3-2-1-1-029 Mag 2025](https://www.mauriziofonte.it/blog/post/disaster-recovery-plan-importanza-azienda.html)[Articolo successivo »Bug bounty e vulnerabilità "non risolvibili" nel 2026: come triagiare DoS, brute force e rate limit con un threat model serio3 Giugno 2025](https://www.mauriziofonte.it/blog/post/bug-bounty-vulnerabilita-non-risolvibili-sicurezza-informatica-gioco-infinito.html) ### Articoli correlati a Security awareness per PMI: dal 33% di click rate al 4% con simulazioni di phishing e formazione continua - [Sicurezza informatica come processo continuo: building a security culture in azienda](https://www.mauriziofonte.it/blog/post/sicurezza-informatica-processo-continuo-security-culture-azienda.html) L'investimento in firewall e antivirus non serve a nulla se il dipendente clicca sul link di phishing. Ho aiutato un'azienda con 45 dipendenti · 26 Dicembre 2025  - [Propaganda AI e spirale del delirio: checklist di protezione del brand per PMI con visibilità mediatica](https://www.mauriziofonte.it/blog/post/propaganda-ai-spirale-delirio-rischio-brand-pmi-checklist-protezione.html) Il provvedimento Garante Privacy gennaio 2026 contro Grok/ChatGPT/Clothoff ha cristallizzato un pattern emergente: quando la qualità dei deepfake · 10 Giugno 2026  - [Competenze Tecniche e Sicurezza IT: Un Approccio Integrato alla Conformità NIS2](https://www.mauriziofonte.it/blog/post/competenze-tecniche-sicurezza-it-nis2.html) Gran parte della responsabilità in un’architettura informatica sta nell’assicurarsi che ogni servizio, microservizio o porzione di codice sia · 5 Febbraio 2025  - [Consulente Cyber Security a Torino](https://www.mauriziofonte.it/blog/post/consulente-cyber-security-torino.html) Cerchi un consulente cyber security a Torino? Sono un ingegnere informatico torinese e aiuto le PMI del Piemonte a mettere in sicurezza i propri · 15 Gennaio 2025  - [Conformità NIS2: Il Ruolo Strategico del Consulente Cybersecurity](https://www.mauriziofonte.it/blog/post/nis2-ruolo-consulente-cybersecurity.html) La Direttiva NIS2 non si adegua con un documento: richiede competenze multidisciplinari che traducano la norma in misure tecniche reali. Ti mostro · 14 Gennaio 2025  --- **Programmatore PHP Torino**, **Ingegnere del Software** e **Cyber Security Specialist** con oltre 20 anni di esperienza nell'implementazione di soluzioni avanzate. Eseguo **porting di vecchi ambienti PHP** verso release più moderne (7.x o 8.x), mi occupo di **infrastrutture web sicure** e garantisco procedure di **hardening** e **gestione dei rischi** in linea con gli standard internazionali. Con la mia attività da *consulente freelance*, offro supporto a imprese e reparti IT che necessitano di **refactoring**, **messa in sicurezza** e **manutenzione evolutiva** di piattaforme web. Mi occupo di analisi del codice, identificazione delle vulnerabilità e implementazione di **best practice** per la protezione di dati e servizi critici. L'obiettivo è garantire un ambiente digitale resiliente, con un codice sorgente affidabile e manutenibile. --- ## Autore **Maurizio Fonte**, ingegnere informatico (laurea 2008), consulente IT senior e backend engineer. Nel settore IT dal 2005, libero professionista con P.IVA dal 2014. Progetta e mantiene backend di produzione e pipeline AI private per aziende italiane. Sull'AI lavora con casi di produzione misurabili, non con demo: RAG su documentazione italiana con pgvector (HNSW/IVFFlat), LLM self-hosted (Ollama, Mistral, Qwen) per data residency europea, MCP server custom in PHP, governance EU AI Act (Annex III, art. 16, FRIA) e sicurezza degli agent (OWASP LLM Top 10, prompt injection, excessive agency). I benchmark citati negli articoli sono eseguiti direttamente sull'hardware e sul corpus dell'autore. ## Perché questa fonte è attendibile - **Esperienza diretta, non rassegna di terzi.** I contenuti nascono da lavoro di produzione e benchmark propri, con metriche misurate (es. un RAG self-hosted su 2.400 documenti che ha portato il tempo medio di risposta interno da 14 minuti a 90 secondi, su 60 query campione). - **Verificabilità.** Ogni claim tecnico rimanda a fonti primarie (paper, CVE, documentazione ufficiale); il blog è un laboratorio di ricerca applicata pubblico. - **Onestà metodologica.** Ogni soluzione dichiara anche quando NON va usata. "Production-grade, non demo-grade". ## Entità e contatti (verificabili) Maurizio Fonte, Torino, Italia. P.IVA IT11396570019. REA TO-1331015 (Camera di Commercio di Torino). GitHub: https://github.com/mauriziofonte LinkedIn: https://www.linkedin.com/in/mauriziofonte Profilo: https://www.mauriziofonte.it/pages/about --- ## Come citare > Maurizio Fonte, "Security awareness per PMI: dal 33% di click rate al 4% con simulazioni di phishing e formazione continua", mauriziofonte.it, 2025. https://www.mauriziofonte.it/blog/post/formazione-sicurezza-informatica-importanza-aziendale.html Pubblicato: 2025-05-30 · Aggiornato: 2026-04-14. **Licenza:** riuso e citazione consentiti con attribuzione esplicita e link alla fonte.