L’ingegneria sociale è un tipo di truffa che fa leva su segnali sociali, non digitali. I truffatori usano una conoscenza approfondita della tua azienda, dei tuoi dipendenti, dei tuoi progetti e altro ancora per convincerti a reimpostare una password o ad approvare un pagamento. Spesso combinano questa conoscenza con un senso di urgenza, incoraggiandoti a prendere una decisione rapida.

Nessun elenco di campanelli d’allarme prepara davvero a questo, perché la manipolazione non avviene tramite la tecnologia, ma nella testa delle persone mentre prendono una decisione.

Abbiamo già spiegato a livello fondamentale cos’è l’ingegneria sociale: le definizioni, le categorie di attacco più comuni, i meccanismi generali degli attacchi basati sulla manipolazione rispetto a quelli puramente tecnici. Creare un programma efficace di sensibilizzazione sulla sicurezza, definire la struttura e la frequenza della formazione e misurarne l’efficacia è un argomento a parte di cui abbiamo già scritto.

Questo articolo si colloca a metà tra i due. Piuttosto che concentrarsi su definizioni o sulla progettazione di un programma, tratta ciò che deve effettivamente far parte della formazione dei tuoi dipendenti: i meccanismi psicologici su cui fanno leva gli aggressori e come si presenta una vera resistenza nel momento in cui ci si trova di fronte all’attacco, anziché leggerne in una slide.

Perché l’ingegneria sociale funziona: sei leve, un punto debole

L’ingegneria sociale non ha successo perché i dipendenti sono negligenti. Funziona perché sfrutta le scorciatoie che il cervello umano utilizza ogni giorno per prendere decisioni ordinarie rapidamente, indirizzandole verso l’obiettivo sbagliato. La ricerca di Robert Cialdini sulla persuasione ha identificato sette di queste scorciatoie decenni fa, e sei di esse descrivono quasi ogni tentativo di ingegneria sociale che un’azienda possa incontrare:

  • Reciprocità
  • Scarsità
  • Autorità
  • Coerenza
  • Riprova sociale
  • Unità

Autorità

I truffatori fanno leva soprattutto sull’autorità. Le persone assecondano più rapidamente una richiesta che sembra provenire da un superiore, da un amministratore IT o da un ente esterno come un’autorità di regolamentazione o un fornitore, spesso senza verificare se tale autorità sia autentica.

Urgenza

L’urgenza amplifica questo fenomeno: una scadenza, un account bloccato o un pagamento da effettuare prima della chiusura della banca spingono le persone ad agire piuttosto che a verificare, poiché fermarsi a controllare dà l’impressione di poter causare proprio il problema minacciato dall’aggressore.

Scarsità

La scarsità funziona allo stesso modo sotto un’altra veste: un’offerta a tempo limitato, una finestra di accesso una tantum, un messaggio che lascia intendere che esitare significhi perdere un’occasione.

Riprova sociale

La riprova sociale convince le persone che una richiesta è legittima perché apparentemente altri l’hanno già assecondata, «il resto dell’amministrazione l’ha già approvata», o tramite un thread che sembra una vera conversazione interna. La simpatia sfrutta la sintonia: un aggressore amichevole, pronto a fare complimenti o apparentemente familiare con la cultura aziendale abbassa la guardia della vittima semplicemente risultando piacevole nei modi.

Reciprocità

La reciprocità è la leva più discreta tra le sei: un piccolo favore, un’informazione apparentemente utile o un complimento iniziale creano un senso di obbligo leggero, spesso inconscio, a ricambiare il gesto.

Nessuna di queste leve è sofisticata. Sono gli stessi istinti che rendono possibile la normale collaborazione sul posto di lavoro. Qualsiasi richiesta che sfrutti uno o più di questi principi sembra una normale richiesta leggermente urgente: il tipo di situazione a cui le persone sono abituate a rispondere in modo rapido e collaborativo durante l’intera carriera.

Gli attacchi che i dipendenti affrontano concretamente in un contesto aziendale

La maggior parte delle organizzazioni si concentra sulle misure anti-phishing, e abbiamo già scritto su come difendersi dagli attacchi di phishing. Tuttavia, una formazione sull’ingegneria sociale che si limita alle sole email tralascia gran parte di ciò che i dipendenti devono effettivamente affrontare, in particolare in un ufficio o in un ambiente di lavoro ibrido in cui telefonate, visitatori e accessi fisici fanno ancora parte della routine quotidiana.

Vishing

Il phishing vocale, o vishing, fa leva su telefonate o messaggi vocali falsi. Chi chiama potrebbe spacciarsi per il supporto IT che chiede di confermare la propria password prima di un aggiornamento del sistema, per una banca che verifica una transazione o per un corriere che ha bisogno di un codice monouso per completare una consegna.

La voce umana aggiunge un senso di urgenza e autorità che il testo non può simulare in modo convincente, ed è esattamente per questo che rimane efficace anche contro chi si ritiene attento alle email di phishing. Sempre più spesso gli aggressori usano anche strumenti di clonazione vocale per imitare la voce di un vero collega o dirigente, un fenomeno che l’NCSC ha segnalato come un rischio crescente(nuova finestra) sia per i singoli individui che per le organizzazioni. Abbiamo anche scritto sulla prevenzione dei deepfake.

Pretexting

Il pretexting consiste nel creare una storia con cui l’aggressore giustifica una richiesta insolita. Potrebbe fingersi un nuovo fornitore che necessita dei dati dell’account per impostare un pagamento, un revisore che richiede i registri di accesso o un candidato che chiede a un referente delle risorse umane di confermare i dettagli personali per il controllo dei precedenti.

Lo scenario viene spesso costruito a partire da frammenti di informazioni pubbliche, come una qualifica professionale e il nome di un fornitore combinati insieme per sembrare plausibili.

Baiting

Il baiting propone qualcosa che interessa al dipendente: una risorsa gratuita, un’unità USB o un disco rigido con logo aziendale, un documento intitolato «Revisione salariale Q3», in cambio di un’azione che compromette un dispositivo o un account. Funziona perché non richiede fiducia come un’email di phishing; si affida invece alla curiosità per persuadere.

Tailgating

Il tailgating, o piggybacking, è l’unico attacco di questo elenco che non ha nulla a che fare con uno schermo. Un aggressore segue un dipendente attraverso una porta controllata da badge, spesso trasportando scatole, indossando qualcosa di simile a una divisa o semplicemente calcolando il momento dell’avvicinamento in modo che tenere aperta la porta sembri un gesto di cortesia. Sfrutta direttamente la cortesia sul lavoro, ed è per questo che la formazione sulla sicurezza fisica tende a essere trascurata nei programmi incentrati esclusivamente sulle caselle di posta.

Come si presenta concretamente la resistenza agli attacchi di ingegneria sociale

Dire semplicemente ai dipendenti di «essere più diffidenti» non regge sotto una pressione reale. Il sospetto è un’emozione e gli aggressori cercano specificamente di scavalcarlo. La formazione deve sostituire questa istruzione vaga con comportamenti specifici e ripetibili che non dipendano dal fatto che qualcuno si accorga sul momento di essere manipolato.

Verifica sempre

La verifica tramite un canale separato è l’abitudine più utile che un’azienda possa instaurare. Se una richiesta arriva via email, confermala telefonicamente o di persona, usando un numero o un contatto già registrato anziché quello fornito nel messaggio stesso. Questo singolo comportamento blocca gran parte dei tentativi di furto d’identità, a prescindere da quanto fosse convincente il contatto iniziale, poiché toglie all’aggressore il controllo sulla fase di verifica.

Rallenta il ritmo

L’urgenza deve essere considerata un segnale per rallentare, non un motivo per saltare un passaggio. I dipendenti dovrebbero essere addestrati a notare quando una richiesta li spinge a privilegiare la rapidità rispetto alla procedura, poiché tale pressione è raramente casuale. Una richiesta legittima e realmente urgente può tollerare una chiamata di verifica di due minuti; una che non può sopportare questo ritardo deve essere trattata con sospetto, a prescindere da chi sembri provenire.

Ottieni conferma

Le richieste di carattere finanziario e relative alle credenziali dovrebbero richiedere la conferma di una seconda persona come prassi standard, non come eccezione riservata a transazioni importanti. Ciò rimuove la pressione sociale su cui fa leva un aggressore quando isola un singolo dipendente chiedendogli di agire da solo, e offre al dipendente un modo semplice e privo di colpe per dire «lascia che verifichi con un collega» senza sembrare poco collaborativo o diffidente.

Segnala i mancati incidenti

La segnalazione dei quasi incidenti chiude il cerchio. Un dipendente che ha assecondato parte di una richiesta, ha esitato ma alla fine ha ceduto, o in seguito si è reso conto che qualcosa non tornava, dovrebbe essere incoraggiato a segnalarlo anche a posteriori, e anche se apparentemente nulla è andato storto. Queste segnalazioni sono spesso il primo avviso che un’azienda riceve di essere presa di mira, ed emergono solo in una cultura in cui la segnalazione non comporta imbarazzo o colpevolizzazione.

Lo stesso principio si applica quando denaro o dati sono già stati trasferiti: Action Fraud(nuova finestra), il centro nazionale di segnalazione del Regno Unito per frodi e reati informatici, esiste perché prima viene segnalato un incidente, più utile sarà per tutti gli altri presi di mira dallo stesso schema.

Perché le slide non creano resistenza, ma le simulazioni sì

Leggere delle sei leve della persuasione è utile per il contesto, ma non cambia il comportamento di una persona sotto pressione reale più di quanto leggere di una prova antincendio prepari a trovare l’uscita più vicina. La resistenza alla manipolazione è un’abilità che si allena, non una nozione memorizzata da una presentazione: ecco perché la formazione più efficace sull’ingegneria sociale si basa sulla simulazione anziché sulla sola teoria.

Una simulazione efficace espone i dipendenti a una versione realistica della pressione che affronteranno realmente: una finta chiamata di un fornitore che richiede modifiche all’account, una richiesta urgente creata ad arte da qualcuno che dichiara di essere un responsabile o un finto visitatore che chiede di entrare da una porta sicura, offrendo poi un feedback immediato e specifico invece di un semplice punteggio promosso/bocciato.

L’obiettivo è consentire ai dipendenti di sperimentare quel momento di pressione in un contesto sicuro, riconoscere quale leva viene azionata e sviluppare l’istinto di fermarsi e verificare prima che sia troppo tardi.

La difficoltà dovrebbe aumentare gradualmente e gli scenari dovrebbero rispecchiare i ruoli reali. Chi lavora nel settore finanziario affronta pretesti diversi rispetto a chi lavora alla reception, e l’esercizio dovrebbe concludersi con un debriefing che spieghi il meccanismo utilizzato, non solo se la persona ha superato la prova.

Se ben strutturata, la simulazione trasforma le sei leve psicologiche in concetti comprensibili e riconoscibili che i dipendenti possono individuare, il che è l’intero scopo di una formazione pensata per funzionare al di fuori di un’aula.

Formare le persone, non solo le policy

L’ingegneria sociale ha successo puntando agli istinti che rendono possibile il normale lavoro di squadra: la fiducia nell’autorità, la reattività all’urgenza, il disagio nel mettere in discussione qualcuno che sembra di livello superiore o amichevole. Una formazione che si limita a definire questi attacchi o a elencarne le categorie lascia i dipendenti esposti esattamente come prima, perché riconoscere una definizione e riconoscere un tentativo concreto di manipolazione sono competenze completamente diverse.

Un programma didattico che indica le sei leve psicologiche, analizza come vishing, pretexting, baiting e tailgating si manifestano realmente nell’ambiente di lavoro e fornisce ai dipendenti comportamenti concreti e collaudati (verificare tramite un canale separato, trattare l’urgenza come un campanello d’allarme anziché come una scadenza, coinvolgere una seconda persona, segnalare anche i mancati incidenti) offre alle persone strumenti reali da usare sotto pressione.

Rinforzata attraverso la simulazione anziché le slide e supportata da password univoche e MFA che limitano l’impatto di un eventuale tentativo riuscito, questa combinazione è ciò che trasforma la consapevolezza in resistenza.

Nulla di tutto questo sostituisce il lavoro di creazione del programma di formazione vero e proprio: frequenza, struttura, cadenza delle ripetizioni e modalità di misurazione della sua efficacia. Questo è l’ambito trattato nella nostra guida complementare sulla creazione di un programma di sensibilizzazione sulla sicurezza. Ciò di cui ci occupiamo qui è il livello sottostante: la psicologia che i dipendenti devono effettivamente affrontare e le abitudini specifiche e collaudate che reggono quando la pressione è reale e non ipotetica.

Un team in grado di riconoscere una tattica di persuasione mentre viene usata contro di esso e che sa esattamente quale seconda persona contattare prima di agire è un bersaglio decisamente più difficile rispetto a un team a cui è stato semplicemente detto di prestare attenzione. Questo è il divario che puoi colmare con questo tipo di formazione.

Il legame con le credenziali: perché il contenimento è fondamentale anche dopo un errore

La formazione riduce la frequenza con cui l’ingegneria sociale ha successo, ma non può azzerarla del tutto. Un programma costruito con tale obiettivo è destinato a fallire. Prima o poi, qualcuno comunicherà una password al telefono, farà clic su una falsa pagina di login o confermerà un dato che avrebbe dovuto mantenere riservato. Ciò che limita i danni a quel punto non è la consapevolezza, ma i controlli di accesso già predisposti prima della chiamata.

Una credenziale sottratta tramite ingegneria sociale è molto meno utile a un aggressore se è univoca per un singolo servizio e protetta dall’autenticazione a più fattori (MFA). Le password univoche impediscono il riutilizzo di una credenziale compromessa per accedere ad altri servizi, mentre l’MFA può impedire che la sola password rubata consenta l’accesso anche all’account a cui appartiene.

Questa è la stessa logica di contenimento illustrata nelle nostre guide su come costruire una solida cultura della sicurezza aziendale e creare policy sulle password efficaci; vale la pena ribadirla qui perché l’ingegneria sociale e l’igiene delle password vengono solitamente trattate come problemi distinti, quando in realtà sono due fasi dello stesso attacco.

Un gestore di password aziendale come Proton Pass for Business rende realistico mantenere questo contenimento su larga scala, anziché renderlo dipendente dalla memoria dei singoli dipendenti nel rispettare la policy.

Quando le credenziali vengono archiviate, generate e condivise in modo sicuro tramite una cassaforte di password gestita anziché affidate alla memoria, ai browser o ai fogli di calcolo, un singolo attacco di ingegneria sociale andato a segno non diventa più una porta d’accesso a ogni sistema utilizzato dal dipendente.

Proton Pass for Business rende la gestione delle credenziali semplice per ogni membro del team, non solo per il team IT:

Riduci l’esposizione del tuo team all’ingegneria sociale con un gestore di password aziendale sicuro.