Social Engineering (Ingegneria Sociale)

Cos'è

Il social engineering è la manipolazione psicologica di una persona per indurla a compiere azioni che compromettono la sicurezza: rivelare una password, autorizzare un pagamento verso un IBAN sbagliato, aprire una porta fisica a un estraneo con l'aria sicura di chi "deve solo controllare i contatori", disattivare un controllo "solo per questa volta perché è urgente". Il phishing via email resta la forma più diffusa, ma la famiglia è più larga di quanto sembri: il vishing (la stessa truffa per telefono, sempre più spesso con voce clonata via AI), lo smishing (via SMS), il pretexting (fingersi un ruolo credibile, es. un tecnico IT che chiama per "un controllo di sicurezza"), il baiting (una chiavetta USB "dimenticata" apposta in un parcheggio aziendale) e il tailgating (seguire qualcuno attraverso un varco con badge senza il proprio, magari con le mani occupate per sembrare innocuo). Il filo comune non è la tecnologia usata ma la leva psicologica: urgenza, autorità percepita, cortesia, paura di fare una brutta figura.

Perché conta

Nessun firewall ferma una persona convinta a fare qualcosa di sbagliato in buona fede — ed è proprio questo che lo rende, nella mia esperienza, il vettore d'attacco più efficace ed economico che esista: non serve bucare un sistema quando basta una telefonata ben fatta. Il caso classico che vedo tornare, con varianti, è la frode del CEO (business email compromise): un'email o una chiamata che sembra arrivare dal titolare o dal CFO, chiede un bonifico urgente e riservato, e conta sul fatto che nessuno voglia rallentare "l'ordine del capo" con una verifica. Come spiega bene la guida ufficiale del CISA sul tema, la difesa non è mai puramente tecnica. È per questo che, in ogni percorso di sicurezza che imposto, la formazione del personale ha lo stesso peso degli strumenti tecnici: un'azienda con il miglior antivirus del mondo resta esposta se chiunque risponde al telefono a un finto tecnico che chiede la password "per un controllo urgente".

Cosa insegno concretamente ai team

Nella formazione che organizzo non parto mai dalla teoria: parto da esempi reali, spesso simulazioni di phishing mirate ai reparti più esposti (amministrazione, contabilità, chi gestisce i pagamenti). Funziona molto meglio far vedere un'email di attacco vera, analizzata riga per riga — mittente falsificato, link che punta altrove rispetto al testo visibile, tono di urgenza artificiale — che elencare regole astratte da memorizzare. La regola pratica che lascio sempre come promemoria è semplice: qualunque richiesta insolita che coinvolga soldi, credenziali o accessi va verificata con un secondo canale indipendente da quello con cui è arrivata — se la mail dice di essere del direttore, si chiama il direttore, non si risponde alla mail. E va costruita una cultura dove segnalare un clic sbagliato non porti a una ramanzina, perché un incidente segnalato in tempo si contiene, uno nascosto per vergogna no.