Gli attacchi di ingegneria sociale utilizzano l’inganno e la manipolazione psicologica per convincere le persone a rivelare informazioni sensibili, trasferire denaro, aprire file dannosi o concedere accessi non autorizzati. Anziché basarsi soltanto sulle vulnerabilità tecniche, gli aggressori sfruttano fiducia, paura, curiosità, urgenza, autorità e desiderio di aiutare.

Tra le forme più comuni rientrano le email di phishing, le telefonate fraudolente, le truffe via messaggio, l’impersonificazione di dirigenti, il business email compromise e l’impersonificazione vocale o video generata dall’IA. Questi attacchi possono colpire singoli individui, aziende, agenzie governative, operatori sanitari, istituti scolastici e utenti di criptovalute.

La difesa più efficace combina consapevolezza della sicurezza, verifica indipendente, autenticazione multifattore (MFA), solidi controlli degli accessi e una procedura chiara per segnalare le attività sospette. Poiché l’ingegneria sociale spesso sfrutta flussi di lavoro aziendali legittimi, la verifica dovrebbe essere integrata nei processi di pagamento, recupero degli account, gestione degli accessi e condivisione dei dati, anziché essere lasciata soltanto al giudizio individuale.

Che cos’è un attacco di ingegneria sociale?

Un attacco di ingegneria sociale è un tentativo di manipolare qualcuno affinché compia un’azione che compromette la sicurezza. Un aggressore può impersonare una persona fidata, inventare un’emergenza, offrire una ricompensa allettante o creare un sito web falso e convincente per ottenere credenziali, denaro, informazioni riservate o accesso ai sistemi.

A differenza di un attacco tecnico convenzionale, che sfrutta direttamente una vulnerabilità del software, l’ingegneria sociale spesso persuade la vittima a compiere l’azione che rende possibile la compromissione. Per esempio, un dipendente potrebbe ricevere un’email apparentemente inviata dal direttore finanziario dell’azienda, con la richiesta di effettuare un pagamento urgente verso un nuovo conto di un fornitore. Se il dipendente segue le istruzioni senza verificare la richiesta attraverso un canale indipendente, l’organizzazione potrebbe perdere denaro anche se i suoi sistemi sono altrimenti sicuri.

Caratteristiche principali dell’ingegneria sociale

• Sfruttamento della fiducia: l’aggressore impersona qualcuno che la vittima riconosce o rispetta.
• Urgenza: il messaggio spinge la vittima ad agire prima di verificare i fatti.
• Paura: l’aggressore minaccia la sospensione dell’account, conseguenze legali o perdite finanziarie.
• Curiosità: un messaggio o un allegato promette informazioni interessanti, riservate o inattese.
• Autorità: l’aggressore sostiene di rappresentare la direzione, l’assistenza tecnica, una banca o un’agenzia governativa.
• Incentivi manipolati: alla vittima vengono offerti denaro, assistenza, accesso o una ricompensa in cambio della collaborazione.

L’ingegneria sociale può essere utilizzata per rubare credenziali, commettere frodi finanziarie, installare malware, facilitare attacchi ransomware o ottenere informazioni aziendali riservate.

10 esempi di attacchi di ingegneria sociale

Gli esempi seguenti descrivono il funzionamento delle tecniche più comuni, come riconoscerle e come reagire in sicurezza.

1. Email di phishing

Il phishing è una tecnica di ingegneria sociale nella quale gli aggressori inviano email o messaggi ingannevoli che sembrano provenire da organizzazioni legittime. L’obiettivo è spingere i destinatari a cliccare su link dannosi, divulgare credenziali di accesso, scaricare allegati pericolosi o fornire informazioni di pagamento.

Per esempio, un dipendente potrebbe ricevere un’email che afferma che l’account aziendale verrà disattivato se non verifica immediatamente la password. Il messaggio contiene un link a una pagina di accesso falsa che copia il marchio dell’azienda. Una volta inserite le credenziali, l’aggressore può acquisirle e tentare di accedere all’account reale.

Tra i segnali di allarme rientrano richieste inattese di verifica delle password o dei dati di pagamento, indirizzi del mittente simili ma non identici ai domini legittimi, link che conducono a domini sconosciuti o con errori di ortografia, allegati inattesi, richieste di abilitare le macro e messaggi che creano pressione o minacciano conseguenze immediate.

Per ridurre il rischio, verifica le richieste tramite un canale affidabile, accedi direttamente ai siti ufficiali invece di utilizzare link non richiesti e segnala i messaggi sospetti al team di sicurezza competente. L’MFA e i sistemi di autenticazione resistenti al phishing possono ridurre ulteriormente il rischio di compromissione dell’account.

2. Spear phishing e whaling

Lo spear phishing è un attacco di phishing mirato e personalizzato per uno specifico individuo o un’organizzazione. Il whaling è una forma di phishing mirato rivolta a dirigenti senior o ad altre persone di alto valore.

Gli aggressori possono cercare informazioni su ruoli professionali, rapporti commerciali, annunci pubblici e profili sui social media per rendere i messaggi più convincenti. Per esempio, un responsabile finanziario potrebbe ricevere un’email apparentemente inviata dal direttore finanziario. L’email potrebbe fare riferimento a una recente acquisizione aziendale e chiedere di esaminare un documento presumibilmente riservato. Il documento potrebbe condurre a una pagina di accesso fraudolenta oppure il messaggio potrebbe cercare di ottenere direttamente informazioni sensibili.

I segnali di allarme includono richieste inattese relative a documenti riservati, messaggi che citano progetti reali ma richiedono azioni insolite, richieste di aggirare i normali processi di approvazione e istruzioni insolite da parte di dirigenti senior, anche quando lo stile di scrittura sembra autentico.

Le richieste insolite dovrebbero essere verificate in modo indipendente, soprattutto quando riguardano credenziali, dati riservati o pagamenti. Le organizzazioni dovrebbero utilizzare flussi di approvazione, controlli degli accessi basati sui ruoli e formazione mirata sulla sicurezza per i dipendenti con privilegi finanziari o amministrativi.

3. Smishing: messaggi di testo fraudolenti

Lo smishing è una forma di phishing condotta tramite SMS o altri canali di messaggistica testuale. Gli aggressori possono impersonare aziende di consegna, banche, agenzie governative, marketplace online o team di assistenza degli account.

In uno scenario comune, una persona riceve un messaggio che afferma che un pacco non può essere consegnato finché non viene pagata una piccola commissione. Il link conduce a una pagina di pagamento falsa che raccoglie i dati della carta e informazioni personali. Altri messaggi sostengono che un conto bancario sia stato bloccato o che una transazione sospetta richieda una conferma immediata.

I segnali di allarme includono notifiche inattese relative a consegne o alla sicurezza dell’account, link abbreviati o sconosciuti, richieste di password, dati della carta di pagamento o codici monouso e minacce secondo cui l’account verrà bloccato se il destinatario non agisce immediatamente.

Non seguire link di pagamento inattesi. Controlla le informazioni sulla consegna o sull’account tramite l’app o il sito web ufficiale del fornitore. Se un messaggio sostiene di provenire da una banca, contatta la banca utilizzando un numero di telefono verificato.

4. Vishing: phishing vocale e truffe telefoniche

Il vishing utilizza telefonate o messaggi vocali per convincere le vittime a divulgare informazioni sensibili, autorizzare pagamenti o concedere accesso a un account. Gli aggressori possono fingersi dipendenti di banche, funzionari governativi, operatori del supporto tecnico o dirigenti aziendali. Alcuni utilizzano lo spoofing dell’ID chiamante per far apparire le telefonate come provenienti da un’organizzazione legittima.

Per esempio, un chiamante potrebbe sostenere di lavorare nel dipartimento antifrode di una banca e affermare che il conto del destinatario è sotto attacco. Il chiamante richiede un codice monouso per bloccare la transazione. Se la vittima condivide il codice, l’aggressore potrebbe utilizzarlo per autorizzare l’accesso all’account o una transazione.

I segnali di allarme includono richieste di password, codici monouso o codici di recupero; pressioni per trasferire denaro verso un conto presumibilmente sicuro; istruzioni per installare software di accesso remoto; minacce; richieste di mantenere il segreto o di aggirare le procedure normali.

Interrompi le chiamate inattese che richiedono informazioni sensibili e contatta autonomamente l’organizzazione utilizzando i suoi recapiti ufficiali. Non condividere mai i codici di autenticazione con chi chiama e non approvare un accesso che non hai avviato tu.

5. Pretexting e impersonificazione

Il pretexting si verifica quando un aggressore inventa un’identità o una situazione credibile per convincere qualcuno a fornire informazioni o compiere un’azione. L’impersonificazione è un metodo comune per stabilire questa falsa identità. L’aggressore può presentarsi come tecnico IT, fornitore, revisore, collega, recruiter o cliente.

Per esempio, qualcuno potrebbe contattare un dipendente sostenendo di far parte del team IT interno. Il chiamante afferma che è in corso una migrazione dei sistemi e chiede al dipendente di confermare i dati di accesso. La storia sembra plausibile perché l’organizzazione sta effettivamente svolgendo attività di manutenzione tecnica, ma l’identità del chiamante non è stata verificata.

I segnali di allarme includono richieste di informazioni al di fuori delle normali responsabilità del richiedente, il rifiuto di seguire i controlli standard sull’identità, l’uso di un nome familiare associato a un numero di telefono o indirizzo email sconosciuto e richieste di informazioni riservate con il pretesto di un audit o di un’emergenza.

Conferma le identità utilizzando un metodo di contatto ottenuto indipendentemente. Segui le procedure documentate per il recupero degli account, il supporto tecnico e le richieste di accesso. I dipendenti dovrebbero essere incoraggiati a mettere in discussione le richieste insolite senza timore di critiche.

6. Business Email Compromise (BEC)

Il business email compromise è una forma di frode nella quale gli aggressori utilizzano account email compromessi o impersonificazioni convincenti per manipolare pagamenti aziendali o ottenere informazioni sensibili. Gli attacchi BEC colpiscono spesso team finanziari, dirigenti, fornitori e dipendenti responsabili delle paghe o della contabilità fornitori.

L’Internet Crime Complaint Center dell’FBI ha riportato circa $55.5 miliardi di perdite esposte associate a incidenti BEC segnalati in tutto il mondo tra ottobre 2013 e dicembre 2023. Si tratta di una cifra cumulativa basata sui reclami, non di una stima delle perdite annuali né della prova che ogni incidente abbia coinvolto la stessa tecnica.

Un esempio tipico riguarda un dipendente della contabilità fornitori che riceve un’email apparentemente inviata da un fornitore abituale. Il messaggio afferma che il fornitore ha cambiato il proprio conto bancario e ordina al dipendente di inviare il pagamento successivo al nuovo conto. L’email potrebbe essere stata inviata da un account compromesso del fornitore, rendendo la richiesta particolarmente difficile da distinguere dalla corrispondenza legittima.

I segnali di allarme includono modifiche ai dati bancari dei fornitori, richieste inattese di trasferimenti urgenti o riservati, lievi variazioni nell’indirizzo email o nel dominio e richieste di mantenere segrete le transazioni o di evitare le normali approvazioni.

Verifica le modifiche ai dati di pagamento tramite un numero di telefono precedentemente stabilito o un altro canale affidabile. Richiedi un’approvazione indipendente per i trasferimenti di valore elevato, utilizza la doppia autorizzazione e controlla le anomalie nei pagamenti. Tecnologie di autenticazione delle email come SPF, DKIM e DMARC possono aiutare a proteggere da alcune forme di spoofing delle email, ma non eliminano i rischi di impersonificazione o di account compromessi.

7. Baiting e dispositivi USB dannosi

Il baiting sfrutta la curiosità, gli incentivi finanziari o il desiderio di ottenere qualcosa di utile. Gli aggressori possono offrire download falsi, software gratuito, premi o dispositivi fisici che portano a un’infezione da malware o al furto di informazioni.

Per esempio, qualcuno potrebbe trovare una chiavetta USB con l’etichetta “Confidential Payroll” nel parcheggio di un ufficio e collegarla a un computer di lavoro per curiosità. Se il dispositivo contiene file dannosi o sfrutta una vulnerabilità, potrebbe esporre a rischio il computer o la rete dell’organizzazione.

I segnali di allarme includono chiavette USB o dispositivi di archiviazione non richiesti, download pubblicizzati come software premium gratuito, file inattesi che richiedono permessi insoliti e offerte che richiedono la disattivazione delle protezioni di sicurezza.

Non collegare mai dispositivi di archiviazione sconosciuti a computer di lavoro o personali. Utilizza fonti software approvate, protezione degli endpoint, controlli sulle applicazioni e policy che limitino i supporti rimovibili non autorizzati.

8. Tailgating e ingegneria sociale fisica

Il tailgating si verifica quando una persona non autorizzata entra in un’area riservata seguendo una persona autorizzata attraverso un ingresso protetto. L’aggressore può fingersi addetto alle consegne, appaltatore, visitatore o collega che ha dimenticato il badge di accesso.

Per esempio, una persona che trasporta diverse scatole potrebbe avvicinarsi a un dipendente mentre entra in un ufficio protetto e chiedergli di tenere aperta la porta perché ha le mani occupate. Se il dipendente lascia entrare la persona senza verificarne l’autorizzazione, l’aggressore potrebbe accedere a uffici, dispositivi, documenti o apparecchiature di rete.

I segnali di allarme includono persone che chiedono di aggirare i controlli dei badge, visitatori che non possono fornire un’identificazione valida, individui non accompagnati in aree riservate e richieste di ignorare le procedure di sicurezza fisica per cortesia.

Ogni persona dovrebbe utilizzare il processo di controllo degli accessi appropriato. I dipendenti dovrebbero indirizzare con cortesia i visitatori alla reception invece di consentire l’ingresso a persone non verificate. Le organizzazioni possono rafforzare la protezione con registri dei visitatori, badge di accesso, personale di sicurezza e controlli anti-tailgating.

9. Watering hole attack

Un watering hole attack compromette un sito web o una risorsa online che i membri di un particolare gruppo obiettivo visitano probabilmente. L’obiettivo è raggiungere le vittime attraverso un sito di cui si fidano già. A differenza di un attacco di phishing convenzionale, l’aggressore potrebbe non aver bisogno di inviare direttamente un messaggio alla vittima.

Per esempio, gli aggressori potrebbero compromettere un sito web utilizzato frequentemente da professionisti di un determinato settore. I visitatori potrebbero incontrare contenuti dannosi che tentano di sfruttare vulnerabilità del browser o di reindirizzarli verso pagine fraudolente. Un attacco riuscito potrebbe esporre informazioni sensibili o fornire un percorso per un’ulteriore compromissione.

I segnali di allarme includono reindirizzamenti inattesi da siti familiari, avvisi di sicurezza o comportamenti insoliti del browser, richieste di installare software o estensioni del browser sconosciuti e download inspiegabili da siti che normalmente non ne richiedono.

Mantieni aggiornati browser, sistemi operativi e strumenti di sicurezza. Utilizza una protezione affidabile degli endpoint, limita i privilegi del browser non necessari e verifica download o reindirizzamenti inattesi. I proprietari dei siti dovrebbero inoltre mantenere aggiornato il software, monitorare le modifiche non autorizzate e risolvere rapidamente le vulnerabilità di sicurezza.

10. Impersonificazione generata dall’IA e deepfake

L’intelligenza artificiale può aiutare gli aggressori a creare messaggi convincenti, voci sintetiche, immagini alterate e video realistici di impersonificazione. Questi strumenti possono rendere l’ingegneria sociale più persuasiva, soprattutto quando vengono combinati con informazioni raccolte da fonti pubbliche.

Gli attacchi assistiti dall’IA possono sovrapporsi a phishing, vishing, spear phishing e business email compromise. L’IA è uno strumento in grado di rafforzare queste tecniche esistenti, non una categoria di attacco completamente separata.

In un esempio, un dipendente riceve una videochiamata che sembra mostrare un dirigente senior mentre richiede un trasferimento finanziario urgente. La voce del chiamante è familiare e fa riferimento a progetti aziendali reali. Il dipendente presume che la richiesta sia autentica e avvia il trasferimento senza seguire il normale processo di approvazione.

I segnali di allarme includono richieste finanziarie insolite durante chiamate inattese, pressioni per aggirare le normali procedure di pagamento, il rifiuto di verificare l’identità tramite un canale separato e cambiamenti inattesi nei modelli di comunicazione, anche quando la voce o il video sembrano autentici.

Utilizza procedure consolidate per la verifica dell’identità e l’approvazione dei pagamenti. Verifica le richieste insolite tramite un canale separato e affidabile e utilizza metodi interni concordati per la verifica delle transazioni ad alto rischio. Non basarti esclusivamente su anomalie visive, parlato innaturale o altri presunti indizi di deepfake. I media sintetici possono essere convincenti e anche registrazioni legittime possono apparire o suonare insolite.

Casi reali di ingegneria sociale e attacchi informatici

Gli incidenti documentati mostrano perché le organizzazioni debbano proteggere sia la tecnologia sia le persone che la utilizzano. Tuttavia, non ogni violazione grave è un incidente di ingegneria sociale confermato. Questa distinzione è importante per valutare ciò che è realmente accaduto e quali lezioni si possano ragionevolmente trarre.

Target Corporation: la violazione dei dati del 2013

Nel dicembre 2013, Target ha comunicato un accesso non autorizzato che ha interessato circa 40 milioni di account di carte di credito e debito. In seguito, la società ha riferito che erano state rubate anche informazioni associate a un massimo di 70 milioni di persone. Le indagini hanno documentato la presenza di malware sui sistemi dei punti vendita.

L’incidente viene spesso discusso in relazione alla sicurezza di terze parti e al rischio della catena di fornitura. Tuttavia, la presenza di un rapporto con un fornitore non significa che ogni dettaglio della compromissione iniziale debba essere descritto come una tecnica di ingegneria sociale confermata.

La lezione di sicurezza è che le organizzazioni dovrebbero limitare gli accessi di terze parti, monitorare i collegamenti dei fornitori, segmentare i sistemi sensibili e verificare le attività sospette nelle proprie reti.

Sony Pictures Entertainment: l’attacco informatico del 2014

Nel novembre 2014, Sony Pictures Entertainment ha subito un grave attacco informatico che ha coinvolto malware distruttivo e il furto di informazioni proprietarie, dati personali dei dipendenti e comunicazioni riservate. L’FBI ha reso pubblici i risultati della propria indagine nel dicembre 2014.

L’incidente dimostra come un attacco informatico possa colpire le operazioni aziendali, le comunicazioni riservate, la privacy dei dipendenti e la proprietà intellettuale. Le organizzazioni dovrebbero mantenere backup testati, limitare gli accessi privilegiati, monitorare le reti, sviluppare piani di risposta agli incidenti e prepararsi alle conseguenze operative di una grave violazione.

Business email compromise: perdite finanziarie documentate

Il business email compromise è un’altra minaccia ampiamente documentata. L’FBI ha riportato perdite cumulative considerevoli associate ai reclami BEC, evidenziando la capacità dell’impersonificazione e delle istruzioni di pagamento fraudolente di causare danni finanziari significativi.

Il rischio principale non consiste semplicemente nel fatto che un’email fraudolenta appaia convincente. Consiste nel fatto che il destinatario possa avere l’autorità di spostare denaro, modificare i dati dei fornitori o divulgare informazioni sensibili.

Le istruzioni di pagamento dovrebbero essere verificate in modo indipendente, l’avvio del pagamento dovrebbe essere separato dall’approvazione e le organizzazioni dovrebbero stabilire procedure chiare per rispondere alle richieste finanziarie insolite.

Cosa accomuna questi incidenti

Da questi casi emergono diverse lezioni pratiche:

• I controlli tecnici devono essere supportati da solide procedure operative.
• Gli accessi di terze parti dovrebbero essere limitati a quanto necessario.
• I dipendenti hanno bisogno di un modo semplice per segnalare le attività sospette.
• Le azioni finanziarie e privilegiate dovrebbero richiedere una verifica adeguata.
• I piani di risposta agli incidenti dovrebbero essere testati prima che si verifichi un attacco.

Queste lezioni sono più utili del presumere che ogni grave violazione sia avvenuta attraverso lo stesso espediente psicologico.

Perché gli attacchi di ingegneria sociale funzionano?

L’ingegneria sociale ha successo quando un aggressore influenza il processo decisionale di una persona prima che questa verifichi la richiesta. Diversi fattori psicologici rendono efficaci questi attacchi:

• Bias dell’autorità: le persone possono obbedire a qualcuno che sostiene di essere un responsabile, un agente di polizia o uno specialista IT.
• Urgenza: la pressione temporale riduce l’opportunità di verificare se una richiesta sia legittima.
• Paura: le minacce relative a denaro, lavoro, conseguenze legali o sospensione dell’account possono provocare azioni impulsive.
• Curiosità: file inattesi, affermazioni sensazionalistiche e offerte allettanti incoraggiano a cliccare.
• Fiducia e familiarità: gli aggressori imitano colleghi, fornitori, amici o familiari.
• Reciprocità: chi offre assistenza o una ricompensa può aspettarsi qualcosa in cambio.
• Routine e distrazione: i dipendenti impegnati possono approvare richieste senza applicare i controlli normali.

Questi fattori non dimostrano che le vittime siano imprudenti o poco intelligenti. L’ingegneria sociale è progettata per sfruttare il comportamento umano ordinario, inclusa la naturale tendenza a fidarsi delle persone familiari e a reagire alle situazioni urgenti. Una prevenzione efficace rende più semplici le decisioni sicure integrando la verifica nei processi quotidiani.

Come prevenire gli attacchi di ingegneria sociale

La difesa migliore combina consapevolezza individuale e controlli di sicurezza organizzativi. La formazione è importante, ma non ci si dovrebbe aspettare che i dipendenti riconoscano autonomamente ogni tentativo sofisticato di impersonificazione.

Per i singoli individui

• Verifica le richieste inattese. Contatta il mittente tramite un numero di telefono noto, l’app ufficiale o un indirizzo email verificato indipendentemente.
• Evita link e allegati sospetti. Accedi direttamente al sito ufficiale quando controlli un account o un servizio.
• Non divulgare mai i codici di autenticazione. Non condividere password monouso, codici di recupero o password con chiamanti o mittenti inattesi.
• Abilita l’autenticazione multifattore. Quando disponibili, preferisci metodi resistenti al phishing, come passkey o chiavi di sicurezza hardware.
• Utilizza password uniche. Un gestore di password affidabile può aiutare a generare e memorizzare password diverse per ogni servizio.
• Mantieni aggiornato il software. Installa gli aggiornamenti di sicurezza per sistemi operativi, browser, applicazioni e dispositivi mobili.
• Limita le informazioni personali pubbliche. Evita di condividere informazioni che potrebbero facilitare l’impersonificazione o il phishing mirato.
• Segnala i messaggi sospetti. Utilizza la funzione di segnalazione della piattaforma interessata o contatta l’organizzazione impersonata.

Per le organizzazioni

Le organizzazioni dovrebbero combinare misure di protezione tecniche, procedure chiare e formazione periodica dei dipendenti. Gli esercizi di sicurezza dovrebbero essere progettati per migliorare la resilienza, non per colpevolizzare il personale.

Le organizzazioni dovrebbero misurare tassi di segnalazione, tempi di risposta, debolezze ricorrenti ed efficacia delle azioni correttive, invece di basarsi esclusivamente sui tassi di clic. Per un quadro più ampio di gestione del rischio, consulta il NIST Cybersecurity Framework e le indicazioni della CISA sul riconoscimento e la segnalazione del phishing.

Cosa fare se cadi vittima di una truffa di ingegneria sociale

Se hai cliccato su un link sospetto, condiviso informazioni sensibili, installato software inatteso o trasferito denaro, agisci rapidamente. La risposta appropriata dipende da ciò che è stato esposto.

1. Proteggi gli account interessati. Da un dispositivo affidabile, cambia le password compromesse, revoca le sessioni attive quando possibile e reimposta le credenziali di recupero esposte. Metti in sicurezza prima l’account email se può essere utilizzato per reimpostare altre password.

2. Contatta la banca o il fornitore di pagamenti. Se sono coinvolti denaro o informazioni di pagamento, segnala immediatamente l’incidente. Richiedi, quando appropriato, il richiamo del trasferimento, il blocco del pagamento o la sostituzione della carta. Il recupero non è garantito, quindi la rapidità è importante.

3. Segnala l’incidente. Informa il team IT o di sicurezza della tua organizzazione, il servizio impersonato o l’autorità nazionale competente per la segnalazione dei crimini informatici. Conserva i messaggi sospetti e i registri delle transazioni.

4. Controlla i dispositivi interessati. Se hai installato software o aperto un allegato sospetto, contatta un professionista della sicurezza affidabile o il team IT della tua organizzazione. Quando appropriato, disconnetti dalla rete il dispositivo potenzialmente compromesso ed evita di utilizzarlo per transazioni sensibili finché non sarà stato valutato.

5. Monitora ulteriori usi impropri. Controlla attività degli account, estratti conto, avvisi di reimpostazione delle password e notifiche relative all’identità. Fai attenzione alle truffe successive che sfruttano le informazioni già divulgate.

Se l’incidente riguarda criptovalute, proteggi immediatamente l’account dell’exchange interessato e l’account email. Se sono state esposte frasi di recupero del wallet o chiavi private, considera il wallet associato compromesso e cerca indicazioni affidabili e specifiche per il recupero del wallet. Le transazioni blockchain sono generalmente irreversibili e nessun servizio di recupero può garantire la restituzione dei fondi rubati.

Statistiche e fonti sull’ingegneria sociale

Le statistiche possono aiutare a spiegare la portata della criminalità informatica, ma solo quando definizioni, periodi di riferimento e limiti sono chiari.

L’FBI ha annunciato nell’aprile 2025 che il suo Internet Crime Report 2024 includeva 859,532 reclami relativi a sospetti crimini informatici e oltre $16 miliardi di perdite segnalate, con un aumento del 33% rispetto al 2023. Queste cifre riguardano in senso ampio la criminalità informatica segnalata; non misurano esclusivamente le perdite dovute all’ingegneria sociale.

Il 2024 Data Breach Investigations Report di Verizon ha rilevato che il pretexting era presente in oltre il 40% degli incidenti di ingegneria sociale esaminati, mentre il phishing era presente nel 31%. Queste percentuali descrivono il campione di incidenti analizzato dal rapporto, non la probabilità che un singolo tentativo di phishing abbia successo.

Le cifre cumulative dell’FBI sul BEC dimostrano che le comunicazioni aziendali fraudolente possono causare perdite sia a vittime nazionali sia internazionali. Le cifre si basano sui reclami e non dovrebbero essere interpretate come una contabilizzazione completa di tutti gli incidenti nel mondo.

Quando valuti una statistica sull’ingegneria sociale, chiediti quale anno o periodo di riferimento copre, se misura attacchi, tentativi di attacco, incidenti, violazioni confermate, reclami o perdite finanziarie, se la cifra è globale o limitata a un determinato Paese o settore, se la fonte riferisce osservazioni effettive o formula una previsione e quali limiti dichiara.

I conteggi degli incidenti, i tassi di successo degli attacchi, i costi delle violazioni e le perdite da frode segnalate non dovrebbero essere combinati in un unico confronto. Queste misure descrivono fenomeni diversi e non sono direttamente intercambiabili. Per la ricerca corrente, consulta il Verizon Data Breach Investigations Report e i rapporti annuali FBI IC3. Controlla le edizioni più recenti prima di pubblicare statistiche annuali.

Domande frequenti

Qual è un esempio reale di attacco di ingegneria sociale?

Un esempio comune è una telefonata fraudolenta nella quale qualcuno impersona un dipendente della banca e chiede a un cliente di divulgare un codice monouso. L’aggressore può utilizzare quel codice per accedere a un account o autorizzare una transazione. La risposta sicura consiste nel terminare la chiamata e contattare la banca tramite un canale verificato indipendentemente.

Quali sono i tipi più comuni di attacchi di ingegneria sociale?

I tipi comuni includono phishing, spear phishing, smishing, vishing, pretexting, impersonificazione, business email compromise, baiting e tailgating. I watering hole attack e l’impersonificazione generata dall’IA sono tecniche aggiuntive che possono essere utilizzate per raggiungere o ingannare obiettivi specifici.

Qual è la differenza tra phishing e ingegneria sociale?

Il phishing è un tipo di ingegneria sociale. In genere utilizza email, messaggi, siti web o altre comunicazioni ingannevoli per rubare informazioni o provocare azioni non sicure. L’ingegneria sociale è la categoria più ampia e comprende anche truffe telefoniche, impersonificazione fisica, richieste di pagamento fraudolente e altre forme di manipolazione.

Come funzionano gli attacchi di ingegneria sociale?

Gli aggressori studiano i propri obiettivi, creano una storia credibile e sfruttano fiducia, urgenza, paura, curiosità o autorità. Poi convincono la vittima a divulgare informazioni, cliccare su un link, installare software, approvare un accesso o trasferire denaro. Le procedure di verifica e i controlli di sicurezza possono interrompere questo processo.

Perché gli attacchi di ingegneria sociale sono pericolosi?

Possono aggirare alcune protezioni tecniche convincendo utenti legittimi a compiere azioni utilizzando il proprio accesso. Le conseguenze possono includere frodi finanziarie, furto d’identità, account compromessi, violazioni dei dati, infezioni da malware, interruzioni operative e danni alla reputazione.

In che modo l’IA rende più convincenti gli attacchi di ingegneria sociale?

L’IA può aiutare gli aggressori a generare messaggi personalizzati, imitare stili di scrittura, produrre voci sintetiche e creare immagini o video manipolati. Queste capacità possono rendere più convincente l’impersonificazione, ma non garantiscono il successo di un attacco. I controlli indipendenti dell’identità e i processi di approvazione consolidati restano essenziali.

Come possono le aziende prevenire gli attacchi di ingegneria sociale?

Le aziende dovrebbero combinare formazione periodica sulla sicurezza con MFA, accessi basati sul principio del privilegio minimo, sicurezza delle email, verifica indipendente dei pagamenti, controlli sui fornitori, procedure di risposta agli incidenti e canali semplici per le segnalazioni. Le richieste ad alto rischio dovrebbero richiedere una verifica indipendente dal messaggio originale.

Le piccole imprese sono vulnerabili all’ingegneria sociale?

Sì. Le piccole imprese possono essere colpite tramite fatture false, impersonificazione dei fornitori, tentativi di acquisizione degli account, falso supporto tecnico e phishing. Risorse limitate per la sicurezza possono aumentare l’esposizione, rendendo particolarmente importanti controlli di base come password uniche, MFA, verifica dei pagamenti, backup e formazione dei dipendenti.

Cosa devo fare se ho cliccato accidentalmente su un link di phishing?

Non inserire altre informazioni e non scaricare altro. Se hai inviato credenziali, cambia la password interessata da un dispositivo affidabile e revoca le sessioni attive, se possibile. Se hai installato software, chiedi assistenza sulla sicurezza. Segnala il messaggio e monitora gli account interessati per rilevare attività sospette.

Come posso riconoscere una truffa di business email compromise?

Cerca istruzioni di pagamento inattese, modifiche al conto bancario di un fornitore, richieste insolite da parte di dirigenti e pressioni per aggirare le procedure stabilite. Gli indirizzi email e gli stili di scrittura possono essere imitati, quindi verifica le istruzioni finanziarie tramite un canale di comunicazione separato e affidabile.

Quale ruolo hanno i social media nell’ingegneria sociale?

I profili pubblici possono rivelare ruoli professionali, interessi personali, rapporti commerciali, programmi di viaggio e dettagli organizzativi. Gli aggressori possono utilizzare queste informazioni per creare tentativi di impersonificazione credibili. Limita le divulgazioni pubbliche non necessarie e verifica le richieste inattese, anche quando fanno riferimento a dettagli personali o professionali autentici.

L’autenticazione multifattore può prevenire gli attacchi di ingegneria sociale?

L’MFA può ridurre il rischio di acquisizione di un account quando una password viene rubata, ma non blocca ogni attacco di ingegneria sociale. Gli aggressori possono tentare di indurre le vittime ad approvare richieste di accesso fraudolente o a divulgare codici di autenticazione. L’autenticazione resistente al phishing, come passkey o chiavi di sicurezza, offre una protezione più forte contro molte tecniche di phishing delle credenziali.

Conclusione

Gli attacchi di ingegneria sociale sfruttano la fiducia e il processo decisionale umano per ottenere accesso a informazioni, account, sistemi o denaro. Email di phishing, telefonate fraudolente, impersonificazione, business email compromise, intrusioni fisiche e inganni generati dall’IA sono metodi diversi, ma condividono lo stesso obiettivo fondamentale: convincere un bersaglio a compiere un’azione non sicura.

La difesa più efficace combina consapevolezza umana e protezioni pratiche. I singoli individui dovrebbero verificare le richieste inattese, proteggere le credenziali di autenticazione e segnalare le attività sospette. Le organizzazioni dovrebbero applicare controlli sui pagamenti, limitare gli accessi, proteggere i sistemi e rendere semplice per i dipendenti mettere in discussione le istruzioni insolite.

Gli incidenti informatici reali dimostrano perché né la tecnologia né la formazione siano sufficienti da sole. Una strategia di sicurezza resiliente considera persone, processi, terze parti e tecnologia come componenti interconnesse della stessa difesa.

Fonte: Cryptsy. Scritto da Ethan Blackburn.