Il social engineering è la manipolazione psicologica di una persona per ottenere informazioni, accessi o azioni. Non sfrutta una falla tecnica: sfrutta la fiducia, la fretta, il senso di dovere o la paura di fare un errore. È spesso la prima fase di attacchi più complessi, perché una password o un codice ottenuti con l’inganno valgono quanto un exploit.
Le leve più usate
- Autorità: chi chiama o scrive si presenta come un dirigente, un tecnico, un ente pubblico o un fornitore.
- Urgenza: la richiesta deve essere fatta subito, altrimenti ci saranno conseguenze.
- Familiarità: l’attaccante usa nomi, dettagli o riferimenti reali, raccolti da social network o siti aziendali.
- Aiuto: una persona in difficoltà chiede un favore, e chi è disponibile tende ad aiutare.
Esempi concreti
Un collega chiede con urgenza di reimpostare la password di un account, mandando la richiesta da un indirizzo quasi identico a quello vero. Un falso tecnico telefona per «verificare» un problema sul computer e chiede di installare un programma di accesso remoto. Un sedicente fornitore invia una fattura con nuove coordinate bancarie. In tutti i casi la richiesta sembra normale, finché non la si verifica.
Come riconoscerlo
Fai attenzione alle richieste insolite, soprattutto se arrivano fuori dal normale flusso di lavoro. Diffida di chi pretende di non essere verificato, di chi chiede riservatezza assoluta o di chi evita le domande semplici. Un segnale comune è la pressione: una richiesta autentica di solito regge a una breve pausa.
La regola della verifica
Quando una richiesta riguarda denaro, credenziali o dati sensibili, verifica sempre attraverso un canale diverso da quello da cui è arrivata. Se ti chiama un collega, richiamalo sul numero interno. Se ti scrive un fornitore, contatta l’azienda tramite il recapito già noto. Non usare i contatti indicati nel messaggio sospetto.
Per le organizzazioni
La formazione è la difesa più efficace. Spiega al personale quali richieste sono sensibili e qual è la procedura di verifica. Stabilisci regole chiare: nessuna password va chiesta via email o telefono, e i cambiamenti di pagamento richiedono sempre una doppia approvazione. Il messaggio più utile è che nessuno deve sentirsi in colpa per aver fatto una domanda in più.
Riconoscere il social engineering significa rallentare nel momento giusto. Chi verifica prima di agire rende molto più difficile la riuscita di un inganno.