Cybersicurezza sul lavoro: il 74% dei dipendenti UE riceve messaggi sospetti
Email apparentemente inviate da un collega, richieste urgenti di aggiornare una password, messaggi che invitano ad aprire un documento: le minacce informatiche possono entrare nella routine lavorativa attraverso strumenti utilizzati ogni giorno.
Il 30 settembre 2026, in occasione del Mese europeo della cybersicurezza, l’Agenzia dell’Unione europea per la cybersicurezza (ENISA) ha richiamato l’attenzione sulla preparazione del personale.
I dati pubblicati da Eurobarometro citati dall’Agenzia indicano che il 74% dei dipendenti intervistati nell’UE ha ricevuto email, messaggi o link sospetti sul lavoro nei sei mesi precedenti l’indagine.
Solo il 45% dichiara che la propria organizzazione invia regolarmente informazioni o aggiornamenti di sensibilizzazione sulla sicurezza.
Il primo dato misura l’esposizione percepita a contenuti sospetti, non il numero di persone effettivamente compromesse.
Il secondo riguarda la comunicazione continuativa, non la percentuale di lavoratori che hanno frequentato un corso. La distinzione è essenziale per leggere correttamente i risultati.
Il phishing sfrutta la fiducia e le abitudini quotidiane
La Commissione europea segnala che il 39% dei dipendenti ha riferito messaggi o siti fraudolenti finalizzati a sottrarre dati o ottenere accessi non autorizzati. Il 15% ha riportato truffe generate con l’intelligenza artificiale, mentre soltanto il 48% ritiene di saper riconoscere un video falso realizzato con l’AI.
Per aziende ed enti, questi risultati suggeriscono di affiancare alle protezioni tecniche indicazioni comprensibili e applicabili.
Un messaggio pericoloso può imitare una comunicazione ordinaria: una fattura, una richiesta del responsabile, una notifica di un servizio cloud o un avviso relativo a una pratica amministrativa.
Alcuni esempi da affrontare nella formazione devono includere:
- una richiesta di pagamento con coordinate bancarie diverse da quelle abituali;
- un collegamento che porta a una pagina di accesso simile a quella aziendale;
- un allegato inatteso che invita ad abilitare funzioni o installare software;
- una telefonata o un messaggio che chiede credenziali, codici di verifica o documenti riservati.
L’obiettivo è aiutare il personale a riconoscere anomalie e sapere quale verifica effettuare prima di procedere.
Dalla consapevolezza a comportamenti verificabili
Conoscere la parola “phishing” non basta a gestire una richiesta sospetta mentre si lavora sotto pressione.
La formazione dovrebbe insegnare azioni precise: controllare l’indirizzo completo del mittente, verificare una richiesta insolita tramite un contatto già noto e raggiungere un servizio dal portale abituale quando un link ricevuto genera dubbi.
Una variazione delle coordinate bancarie, per esempio, dovrebbe essere verificata attraverso un recapito già disponibile nell’organizzazione.
Utilizzare il numero indicato nello stesso messaggio sospetto renderebbe inefficace il controllo.
Anche la segnalazione deve essere semplice. Ogni dipendente dovrebbe conoscere il referente o il canale interno a cui rivolgersi e sapere quali informazioni trasmettere.
Un’organizzazione può prevedere un pulsante nella posta elettronica, una casella dedicata o una procedura breve, purché il percorso sia chiaro e presidiato.
È altrettanto utile spiegare come comportarsi dopo un errore. Chi ha aperto un allegato o inserito una password in una pagina sospetta deve poter segnalare subito l’accaduto, senza attendere la comparsa di un problema evidente.
La risposta tecnica sarà poi gestita dai referenti competenti.
Formazione continua, con contenuti adatti al ruolo
Secondo ENISA, l’85% dei dipendenti intervistati è interessato a migliorare le proprie competenze. Tra gli ostacoli emergono la mancanza di tempo, indicata dal 26%, e i costi, citati dal 16%.
Per rendere sostenibile il percorso, aziende e Pubbliche Amministrazioni possono affiancare alla formazione iniziale brevi aggiornamenti periodici, esempi collegati alle attività degli uffici e verifiche pratiche di comprensione.
I contenuti dovrebbero rispecchiare le responsabilità: chi gestisce pagamenti deve allenarsi a verificare richieste finanziarie anomale; chi tratta pratiche e documenti deve riconoscere rischi nella condivisione dei dati; chi amministra sistemi necessita di approfondimenti specifici sugli accessi e sulle configurazioni.
La partecipazione a un corso è un elemento da documentare.
Per valutare l’utilità del percorso, è necessario osservare anche la comprensione delle procedure, la qualità delle segnalazioni e gli errori ricorrenti su cui intervenire con ulteriori chiarimenti.
Cosa possono fare ora aziende ed enti
Il Mese europeo della cybersicurezza offre un’occasione concreta per verificare la preparazione interna e avviare un programma che continui nel tempo.
Un primo intervento può concentrarsi su sei attività:
- Definire il canale di segnalazione, rendendolo facilmente individuabile dal personale.
- Aggiornare le istruzioni operative su link, allegati, credenziali e richieste urgenti.
- Programmare la formazione, includendo nuovi assunti e collaboratori interessati.
- Differenziare gli esempi per ufficio, partendo dalle attività più esposte.
- Verificare la comprensione, con esercizi e scenari coerenti con il lavoro quotidiano.
- Riesaminare le criticità emerse, aggiornando contenuti e procedure.
ENISA mette inoltre a disposizione Awareness Raising-in-a-Box, un insieme di risorse per progettare programmi di sensibilizzazione destinati a organizzazioni pubbliche e private.
La sicurezza richiede persone preparate e strumenti adeguati
La formazione funziona quando è inserita in un’organizzazione che mette il personale nelle condizioni di agire correttamente: procedure semplici, referenti disponibili e strumenti tecnici di protezione devono sostenersi a vicenda.
Per aziende ed enti, il messaggio operativo è quindi costruire una preparazione continuativa, collegata ai rischi reali e alle attività svolte.
Un aggiornamento breve ma pertinente può diventare più utile se accompagnato da una procedura che il dipendente sa trovare e applicare.
Sulla piattaforma on line ActaFAD di Actainfo si possono trovare percorsi di formazione sulla cybersicurezza. Sono rivolti al personale di aziende e Pubbliche Amministrazioni.
Per conoscere i contenuti disponibili e individuare un percorso adatto alla propria organizzazione è possibile consultare la piattaforma formativa o contattare Actainfo.
Fonti e approfondimenti
- ENISA — Cybersecurity Month @ work: Employees’ skills under the looking glass, 30 settembre 2026
- Commissione europea — Three in four EU employees faced cyber threats at work, new Eurobarometer finds, 30 settembre 2026
- Eurobarometro — Indagine richiamata da ENISA
Vuoi saperne di più?
Per ulteriori informazioni contatta il team di Actainfo al seguente link: https://www.actainfo.it/contatti
Elaborato da intelligenza artificiale ActyAI
https://www.actyai.it/
supervisionato da Redazione Actainfo
