Simulazioni di phishing ideate proprio da chi si occupa di effettuare tali attacchi.

Tre differenze. Progettazione: le nostre esche sono progettate da pen-tester professionisti che utilizzano le attuali tattiche degli aggressori, non prelevate da una libreria di modelli condivisa. Vettori: copriamo di serie e-mail, SMS, voce (inclusi i deepfake basati sull’IA su richiesta), QR e affaticamento da MFA. La maggior parte dei concorrenti SaaS privilegia l’e-mail e tratta gli altri vettori come componenti aggiuntivi o elementi da inserire nella roadmap. Reportistica — i nostri report vengono revisionati dal nostro team di audit prima della consegna e sono formattati per soddisfare i requisiti probatori di ISO 27001, SOC 2, NIS2 e DORA senza necessità di rielaborazione. Il punto di forza delle piattaforme SaaS è il prezzo per postazione su larga scala; noi siamo in genere la scelta giusta quando il realismo e le prove di livello di audit contano più dell’ottimizzazione del prezzo per postazione.

I programmi annuali hanno un costo per dipendente all’anno, con sconti previsti a determinate soglie (250+, 1.000+, 5.000+ dipendenti). Il prezzo varia in base alla combinazione di canali e alla frequenza: un programma trimestrale solo via e-mail è più economico di un programma mensile che utilizza più canali. Le campagne pilota (una singola valutazione iniziale più un debriefing) sono disponibili come servizio una tantum per le organizzazioni che desiderano vedere i risultati prima di impegnarsi in un programma annuale. Contattateci all’indirizzo hello@auditone.io per ricevere un’indicazione dei prezzi.

Il tasso di clic di riferimento viene misurato il primo giorno. Una riduzione significativa si manifesta dopo 60–90 giorni di programma — in genere un calo del 30–50% rispetto al valore di riferimento. Per raggiungere tassi di clic maturi (inferiori al 5%) è necessaria una cadenza mensile costante per 9–12 mesi e una sofisticazione crescente, poiché i dipendenti si adattano alle esche a cui sono stati esposti. Il programma non è un progetto una tantum; è un meccanismo di controllo che produce effetti cumulativi grazie a un’attuazione costante.

Un programma ben gestito riduce attivamente il carico di lavoro dell’helpdesk nel corso del tempo, poiché i dipendenti acquisiscono maggiore dimestichezza nel riconoscere e segnalare i veri tentativi di phishing. Le campagne iniziali generano segnalazioni del tipo “Ho ricevuto un’e-mail sospetta” — il che rappresenta il comportamento auspicato, non un falso allarme. Forniamo al vostro helpdesk una guida operativa per lo smistamento delle segnalazioni, in modo che le e-mail di simulazione segnalate ricevano un’ conferma automatica. In genere, già entro il terzo mese, i clienti notano che i ticket relativi alle segnalazioni di phishing si trasformano in utili informazioni sulle minacce.

Nella maggior parte delle giurisdizioni, compresa l’UE ai sensi del GDPR, le simulazioni interne di phishing sono lecite nell’ambito di un programma di sicurezza basato su un interesse legittimo, a condizione che il programma sia documentato, proporzionato e che i dati dei dipendenti siano trattati in linea con le normali procedure di gestione dei dati delle risorse umane. Forniamo un modello di DPIA e un pacchetto informativo per il comitato aziendale con ogni incarico. In alcune giurisdizioni (in particolare in Germania) è necessario consultare il comitato aziendale prima dell’avvio del programma; se del caso, vi guideremo attraverso tale processo.

Sì — ed è proprio qui che il divario tra AuditOne e la maggior parte delle piattaforme è più ampio. Siamo in grado di generare attacchi di spear-phishing creati con modelli di linguaggio di grandi dimensioni (LLM) con una qualità pari a quella della lingua madre, chiamate vocali generate dall’IA (vishing) che clonano la voce di un dirigente bersaglio a partire da registrazioni audio pubbliche, e sequenze multimodali che combinano un’e-mail con una telefonata di follow-up. Queste sono esattamente le tattiche utilizzate contro organizzazioni reali nel 2026. Il vishing basato sull’IA, in particolare, richiede un’autorizzazione esplicita sull’ambito di applicazione e l’approvazione del comitato aziendale; gestiamo tale flusso di consensi nell’ambito della definizione dell’ambito di applicazione.

Sì. La nostra infrastruttura di invio viene inserita nell’elenco delle eccezioni durante la configurazione, in modo che le simulazioni aggirino i filtri integrati di Microsoft Defender, Proofpoint, Mimecast o Google Workspace; in caso contrario, il test misurerebbe l’accuratezza del vostro gateway, anziché il comportamento dei vostri dipendenti. Possiamo anche configurare l’opposto: inviare simulazioni attraverso il vostro gateway proprio per verificare se il vostro sistema di sicurezza le intercetta. Entrambe le modalità sono utili per motivi diversi.

Sì. Il punto di partenza più comune è una singola campagna di riferimento: una simulazione tramite e-mail rivolta a tutti i dipendenti, senza formazione preliminare, con reportistica completa e senza impegno annuale. Potrete verificare il vostro tasso di clic effettivo, il vostro tasso di risposta effettivo e la vostra esposizione effettiva nel caso peggiore. La maggior parte dei clienti passa a un programma annuale dopo aver visto i risultati di riferimento; alcuni scoprono che il loro programma esistente funziona già e decidono di non aver bisogno di noi. Entrambe le opzioni vanno bene.