Barracuda: una sola email di phishing ora prende di mira sia il destinatario che l'AI della sua casella di posta

Il 7 ottobre 2026, Barracuda Research ha pubblicato l'analisi di una campagna di phishing progettata per colpire due lettori con lo stesso messaggio: la persona che lo riceve e l'assistente AI che riassume la sua casella di posta. La metà rivolta all'essere umano non ha nulla di eccezionale — un allegato protetto da password la cui password è scritta nel corpo del messaggio, una combinazione che, secondo Barracuda, "crea un punto cieco per i tradizionali controlli di sicurezza della posta elettronica". La seconda metà è nuova. Nascoste all'interno della stessa email — nei commenti HTML, nel testo invisibile tramite CSS, in blocchi codificati in Base64 e in caratteri a larghezza zero — ci sono istruzioni rivolte a qualunque modello analizzi il messaggio, pensate per indurre l'assistente a "presentare l'email di phishing come legittima o urgente" o a farlo agire di propria iniziativa.

Barracuda afferma che il campione esaminato era camuffato da ordinaria corrispondenza interna e presentava un punteggio antispam attendibile, e che proveniva da un dominio del settore pubblico. L'archivio non registra alcuna vittima confermata né alcun danno segnalato: si tratta di un risultato di ricerca su uno schema di attacco, non della divulgazione di un'organizzazione compromessa. Barracuda non ha divulgato la portata della campagna, e né Infosecurity Magazine né The Hacker News — che hanno entrambi trattato la ricerca — sono stati in grado di aggiungere una cifra.

Cosa ha effettivamente pubblicato Barracuda

L'articolo è un post di blog di ricerca sulle minacce di un fornitore, intitolato "Threat Spotlight: gli attacchi via email prendono di mira sia gli esseri umani sia l'IA nello stesso messaggio" e firmato da Guruprasad Kenja, descritto come analista delle minacce di Barracuda. È datato 7 ottobre 2026 nel suo percorso URL e riporta un timbro "Aggiornato: 6 ott. 2026" sulla pagina stessa; la notizia di Infosecurity Magazine, a firma di Alessandro Mascellino, è datata 7 ottobre, e la rassegna ThreatsDay su The Hacker News, pubblicata l'8 ottobre, rimanda allo stesso post di Barracuda. La discrepanza di un giorno tra la data nell'URL e il timbro sulla pagina è propria di Barracuda e non è spiegata da nessuna delle tre fonti.

Secondo la prospettiva di Barracuda, l'assistente è diventato una seconda superficie di attacco. Nelle sue parole, le organizzazioni "devono proteggere non solo gli utenti e le caselle di posta, ma anche i sistemi di IA che consumano e agiscono sui dati delle e-mail." La ricerca descrive un singolo messaggio con due payload invece di un nuovo exploit: l'esca convenzionale di social engineering è ciò che un filtro è progettato per intercettare, e il prompt injection è collocato dove un filtro storicamente non ha mai guardato.

Il campione: costruito per superare i controlli sulla reputazione

Barracuda elenca tre proprietà del messaggio che, secondo la sua ricostruzione, lo hanno aiutato a superare il filtraggio basato sulla reputazione:

• Gli indirizzi Da e A erano la stessa casella di posta, quindi il messaggio risultava una nota a se stessi anziché posta esterna.

• Portava un valore di affidabilità spam considerato attendibile.

• Proviene da un dominio del settore pubblico.

Barracuda non nomina il dominio del settore pubblico, non dice se quel dominio fosse l'origine autentica del messaggio o un dominio contraffatto, e non fornisce una data per quando il messaggio è stato osservato. Queste lacune contano per chiunque cerchi di giudicare quanto la campagna sia andata vicina a funzionare, e sono lacune nella fonte primaria, non qualcosa che un'altra testata ha colmato.

La metà nascosta: quattro modi in cui le istruzioni vengono contrabbandate

Barracuda indica quattro tecniche come quelle che vede di frequente. Tutte e quattro si basano sulla stessa asimmetria: un client di posta visualizza un messaggio in un modo, mentre il modello che legge il sorgente grezzo vede tutto ciò che il client ha nascosto.

Ogni voce di quell'elenco è la descrizione di un veicolo, non di un effetto, e Barracuda è esplicito sul fatto che le iniezioni sono progettate per agire sull'assistente anziché sulla persona. Il tag di tipo del record è IPI — iniezione indiretta di prompt —, che è il termine standard per le istruzioni che arrivano all'interno di contenuti che un modello è chiamato a elaborare, anziché essere digitate dal suo utente.

Che cosa dovevano fare le iniezioni

La descrizione di Barracuda degli obiettivi del payload si muove su due binari. Il binario più morbido cerca di piegare il riepilogo: se l'umano ignora l'allegato, il testo nascosto ha lo scopo di far descrivere all'assistente il messaggio come legittimo o urgente, spingendo il destinatario ad aprirlo e a fare clic. Barracuda afferma che nessuna di queste istruzioni è visibile all'utente. Il binario più duro cerca di trasformare l'assistente nell'attore — dicendogli di "ignorare le sue precedenti direttive" e invece inviare una richiesta urgente di trasferire fondi, far trapelare dati o far emergere una falsa azione urgente.

Gli esempi reali di accompagnamento citati da Barracuda mostrano lo stesso meccanismo applicato ad altri flussi di lavoro mediati dall'IA:

• Un'email di fattura contenente un blocco di testo nascosto che indica al modello di sintesi di aggiungere una falsa azione prioritaria che modifica i dettagli di pagamento del fornitore, spingendo un dipendente a inviare denaro all'attaccante tramite bonifico.

• Un curriculum il cui testo nascosto impartisce a uno strumento di selezione basato sull'IA l'istruzione di valutare il candidato 10 su 10 e di raccomandare un colloquio immediato, a prescindere dalle qualifiche.

• Una richiesta presentata come una "modalità di manutenzione o amministrazione" autorizzata che chiede a un bot di supporto di rivelare la propria configurazione.

Documentazione avvelenata su una pagina che un assistente di programmazione legge, che gli ordina di inserire una riga di esfiltrazione delle credenziali ogni volta che genera codice di autenticazione.

Questi sono descritti come esempi della tecnica, non come violazioni confermate. Nulla nel post di Barracuda afferma che un modello di riepilogo, uno strumento di screening, un bot di supporto o un assistente di programmazione abbia effettivamente ottemperato in un'implementazione reale, e l'archivio registra real_harm come false.

Ciò che è stabilito e ciò che non lo è

La distinzione conta più qui che nella maggior parte dei resoconti di incidenti, perché il verbale descrive una progettazione anziché un esito.

• Stabilito: Barracuda Research ha esaminato una campagna di phishing che combinava un allegato protetto da password con una prompt injection nascosta nello stesso messaggio, e ha pubblicato la sua analisi il 7 ottobre 2026. Le quattro tecniche di occultamento e i quattro esempi d'uso sono indicati in quel post. Due testate indipendenti — Infosecurity Magazine e The Hacker News — hanno riportato gli stessi risultati senza contraddirli, motivo per cui l'attendibilità del record è classificata A.

• Non stabilito: se qualche assistente sia stato effettivamente dirottato, quanti messaggi siano stati inviati, chi li abbia ricevuti e se siano stati trasferiti fondi o siano usciti dati. Barracuda ha rifiutato di indicare la portata della campagna. Nessun organismo di regolamentazione, nessuna organizzazione vittima o fornitore di sicurezza ha confermato una compromissione specifica, e nessuna parte nominata è collegata al campione.

• Non contestato: nulla nella copertura contraddice il resoconto di Barracuda. Le questioni aperte sono omissioni, non disaccordi — e l'archivio non registra la constatazione come contestata.

Il record è classificato come risultato di ricerca a gravità media, con il coinvolgimento dell'IA confermato — l'assistente IA è l'obiettivo attorno al quale è stata progettata la campagna, ed è il motivo per cui il messaggio è insolito. Non è classificato come pietra miliare, e non c'è un intervallo di date: l'analisi descrive un singolo momento, il 7 ottobre 2026, non una finestra di campagna.

Le mitigazioni raccomandate da Barracuda

La posizione di Barracuda è che "nessun singolo controllo fermerebbe ogni variazione", quindi le sue raccomandazioni costituiscono un insieme di misure anziché una soluzione. Consiglia di rimuovere elementi nascosti, commenti e caratteri invisibili dai contenuti prima che tali contenuti raggiungano un sistema di IA; rilevare le formulazioni che sovrascrivono le istruzioni come firma di prompt injection; isolare gli assistenti in una sandbox in modo che la loro portata sia limitata; convalidare l'output prima che una risposta dell'assistente faccia scattare un'azione; e richiedere l'approvazione umana su pagamenti, cambi di fornitore e altre decisioni sensibili. Raccomanda inoltre di monitorare tentativi ripetuti di iniezione e indica come principio di fondo quello di trattare i contenuti esterni "sempre solo come dati e tenuti separati dalle istruzioni".

Il post rimanda anche ai prodotti di Barracuda — Email Gateway Defense, Behavioral AI e Automated Threat Response — come ai controlli che vende per il fronte del filtraggio e della remediation. Si tratta di un fornitore che raccomanda il proprio catalogo, e va letto come tale: le raccomandazioni tecniche sono indipendenti dai prodotti, ma il post non verifica né le une né gli altri rispetto alla campagna che descrive.

Perché vale la pena conservare il disco

Il valore specifico di questa voce sta nel fatto che documenta il punto in cui due difese precedentemente separate smettono di coprire lo stesso messaggio. Un allegato protetto da password aggira la scansione dei contenuti perché lo scanner non può aprire il file; un'iniezione di prompt nascosta aggira la valutazione della reputazione perché la valutazione della reputazione guarda ai mittenti, non a ciò che un modello linguistico farà con il corpo. Mettili in una sola email e le modalità di errore si sommano: un filtro che lascia passare il messaggio sulla base di un punteggio affidabile ha anche lasciato passare il payload destinato a qualunque cosa legga successivamente la casella di posta. Il campione di Barracuda è la dimostrazione che questa composizione non è ipotetica.

Questo record — il rilevamento di phishing a doppio bersaglio di Barracuda — è una voce in the OrcaRouter AI Incident Archive , che tiene traccia di incidenti, risultati di ricerca e valutazioni relativi all'IA con gli stessi campi usati sopra: gravità, affidabilità, stato contestato e danno reale.