L’ingegneria sociale, o social engineering, rappresenta una delle tecniche più efficaci e al tempo stesso più difficili da contrastare nel panorama della sicurezza informatica, proprio perché non sfrutta vulnerabilità tecniche ma debolezze psicologiche intrinseche al comportamento umano. In Italia, come nel resto del mondo, questa categoria di attacchi sta diventando sempre più sofisticata, complice anche l’accesso crescente da parte dei criminali informatici a strumenti di intelligenza artificiale generativa.
Le tecniche di ingegneria sociale si basano su alcuni principi psicologici ricorrenti: l’autorità , sfruttata quando un attaccante si finge un superiore gerarchico o un ente istituzionale per ottenere obbedienza immediata; l’urgenza, che spinge la vittima ad agire rapidamente senza il tempo necessario per verificare l’autenticità della richiesta; la reciprocità , in cui l’attaccante offre qualcosa di apparentemente utile o gratuito per ottenere in cambio informazioni o azioni dalla vittima; e la curiosità , sfruttata attraverso contenuti accattivanti che inducono a cliccare link o aprire allegati potenzialmente dannosi.
Il pretexting rappresenta una delle tecniche più elaborate di social engineering, in cui l’attaccante costruisce uno scenario dettagliato e apparentemente plausibile per giustificare la propria richiesta. Un caso tipico riguarda le truffe che si fingono operatori del supporto tecnico di grandi aziende tecnologiche o istituti bancari, contattando la vittima con informazioni sufficientemente dettagliate da apparire credibili, spesso raccolte in precedenza attraverso ricerche sui social media o database di dati rubati precedentemente violati.
Il baiting, o adescamento, sfrutta invece la curiosità o l’avidità umana, ad esempio attraverso chiavette USB apparentemente smarrite in luoghi pubblici o aziendali, che se collegate a un computer installano automaticamente malware, oppure attraverso offerte online troppo vantaggiose per essere vere, progettate specificamente per indurre un click impulsivo senza un’adeguata riflessione critica da parte della vittima.
Nel contesto aziendale italiano, una variante particolarmente pericolosa riguarda il cosiddetto CEO fraud, in cui un attaccante, fingendosi un dirigente aziendale attraverso email o, sempre più spesso, chiamate con voce clonata mediante intelligenza artificiale, richiede a un dipendente del reparto amministrativo di effettuare urgentemente un bonifico verso un conto controllato dai criminali. Questo tipo di truffa ha causato danni economici significativi a diverse aziende italiane, proprio perché sfrutta la naturale propensione a non mettere in discussione le richieste di una figura gerarchicamente superiore.
Difendersi dal social engineering richiede un approccio diverso rispetto alle tradizionali misure tecniche di sicurezza: la formazione continua del personale, l’adozione di protocolli di verifica indipendenti per le richieste sensibili, come la conferma telefonica su un numero già noto prima di procedere con operazioni finanziarie insolite, e la costruzione di una cultura aziendale in cui mettere in discussione richieste sospette, anche se apparentemente provenienti da figure autorevoli, sia percepito come un comportamento corretto piuttosto che come una mancanza di rispetto verso la gerarchia aziendale.
