Un dipendente clicca un link in un'email che sembra provenire dal suo responsabile. Inserisce le credenziali su una pagina di login apparentemente identica a quella aziendale. Bastano tre minuti. Nel giro di poche ore, l'attaccante ha accesso alla posta elettronica, ai documenti condivisi, alle comunicazioni con i fornitori. Da quel singolo click, l'intera azienda è potenzialmente compromessa.
Il dato che ogni responsabile aziendale dovrebbe tenere a mente: il 91% delle violazioni informatiche inizia con una email di phishing (Verizon DBIR 2025). Non con un exploit tecnico sofisticato, non con una vulnerabilità zero-day. Con un messaggio che sfrutta la fiducia, l'urgenza o la stanchezza di un essere umano. La tecnologia più avanzata (firewall di nuova generazione, endpoint protection, SIEM) vale poco se le persone non sono preparate a riconoscere questi attacchi. La cybersecurity è un problema umano tanto quanto tecnologico, e chi non ha ancora investito nella formazione del proprio personale sta costruendo un castello su fondamenta di sabbia.
Cos'è il social engineering: definizione e psicologia
Il social engineering (ingegneria sociale) è l'insieme di tecniche di manipolazione psicologica utilizzate per indurre le persone a compiere azioni che normalmente non farebbero: rivelare informazioni riservate, autorizzare pagamenti, fornire accesso a sistemi, eseguire file malevoli. A differenza degli attacchi tecnici, che sfruttano vulnerabilità nel codice o nelle configurazioni, il social engineering sfrutta vulnerabilità nella psicologia umana, e queste sono molto più difficili da patchare.
Gli attaccanti sfruttano principi psicologici ben documentati dalla ricerca scientifica. L'autorità: siamo condizionati a obbedire a figure autorevoli (il CEO, il responsabile IT, la banca, l'Agenzia delle Entrate). Quando un messaggio sembra provenire da una di queste fonti, la soglia critica si abbassa. L'urgenza: messaggi che richiedono azione immediata ("il tuo account sarà sospeso entro 24 ore", "pagamento in sospeso: agisci subito") disattivano il pensiero razionale e spingono all'azione impulsiva. La scarsità e la paura: "accesso limitato", "rischio di sanzione", "attività sospetta rilevata": le emozioni negative accelerano le decisioni. La familiarità e la reciprocità: un attaccante che ha studiato il target sui social media può personalizzare il messaggio con riferimenti credibili, nomi di colleghi, progetti reali.
Questo è il motivo per cui il social engineering funziona meglio di qualsiasi exploit tecnico: non richiede competenze di programmazione avanzate, funziona su scala industriale, e bypassa completamente i controlli tecnologici. Un firewall non può bloccare un dipendente che viene convinto telefonicamente a condividere le proprie credenziali.
Phishing, spear phishing, whaling: le differenze che devi conoscere
Non tutti i phishing sono uguali. La distinzione tra le diverse varianti è importante perché cambia il profilo di rischio e le contromisure necessarie.
Il phishing massivo è la variante più comune: email inviate in massa a milioni di destinatari, con testo generico ("Il tuo conto PayPal è stato sospeso", "Hai un pacco in giacenza"). La percentuale di successo è bassa, anche solo l'1-2%, ma su milioni di email inviate, i numeri assoluti sono significativi. È relativamente facile da riconoscere per chi sa cosa cercare, ma continua a fare vittime tra utenti non formati.
Lo spear phishing è una variante mirata e personalizzata. L'attaccante studia il target tramite LinkedIn, sito aziendale, social media, notizie pubbliche, e costruisce un messaggio credibile che fa riferimento a elementi reali: il nome del responsabile, un progetto in corso, un fornitore con cui l'azienda lavora. Il tasso di successo è drasticamente più alto rispetto al phishing generico. Esempi italiani documentati nel 2025 includono campagne mirate a studi professionali che ricevevano email apparentemente da clienti noti con allegati malevoli, e attacchi a PMI manifatturiere con email false che si inserivano in thread di trattativa con fornitori reali.
Il whaling (CEO fraud) prende di mira specificamente i vertici aziendali (CEO, CFO, direttori) o utilizza la loro identità per orchestrare frodi. Un dipendente dell'ufficio amministrativo riceve un'email apparentemente dal CEO che richiede un bonifico urgente e riservato, o l'invio di documentazione sensibile. La credibilità è alta perché il mittente è conosciuto e autorevole, l'urgenza disattiva i processi di verifica, e la riservatezza richiesta impedisce la conferma con i colleghi. Le perdite da CEO fraud sono tra le più consistenti nel panorama del cybercrime italiano.
Vishing e smishing: gli attacchi via telefono e SMS
Il phishing non si limita all'email. Il vishing (voice phishing) utilizza telefonate per manipolare le vittime. L'attaccante si finge un funzionario bancario che segnala un'anomalia sul conto e chiede di verificare le credenziali, un tecnico IT aziendale che ha bisogno delle credenziali per risolvere un problema urgente, o un collega di un'altra sede che ha bisogno di informazioni per chiudere una pratica entro fine giornata.
Il vishing è particolarmente efficace perché la voce umana crea un senso di autenticità che l'email non ha. La conversazione in tempo reale non lascia al bersaglio il tempo di riflettere, verificare o consultarsi. Nel 2025 si sono moltiplicati i casi di vishing con deepfake vocale: l'attaccante utilizza campioni audio pubblici del CEO o di un dirigente (reperibili facilmente da interviste, video su YouTube, podcast) per sintetizzare una voce convincente. Alcune aziende hanno autorizzato bonifici importanti basandosi su telefonate che sembravano provenire dai propri vertici aziendali.
Lo smishing (SMS phishing) sfrutta i messaggi di testo, tradizionalmente considerati più affidabili delle email. SMS falsi che simulano notifiche di corrieri (BRT, DHL, GLS), avvisi di sicurezza da banche (Intesa Sanpaolo, UniCredit), comunicazioni dell'INPS o dell'Agenzia delle Entrate. Il link contenuto nell'SMS porta a una pagina di phishing costruita per sembrare identica al sito ufficiale. Lo smishing colpisce indistintamente personale aziendale e privati, e i numeri di chi cade nella trappola restano preoccupantemente alti.
Business Email Compromise (BEC): la truffa che ha svuotato i conti aziendali
Il Business Email Compromise è una categoria di attacchi che merita attenzione specifica perché genera le perdite finanziarie più elevate nel panorama del cybercrime. Secondo l'FBI Internet Crime Complaint Center, le perdite globali da BEC nel 2024 hanno superato i 3 miliardi di dollari, un dato che probabilmente sottostima il fenomeno reale, considerando la diffusa sottodenuncia degli episodi.
Il meccanismo base del BEC è l'impersonificazione credibile: l'attaccante si finge una persona di fiducia (il CEO, un fornitore, un avvocato) per indurre un dipendente a eseguire un'azione: autorizzare un bonifico, cambiare le coordinate bancarie di un fornitore, inviare documenti riservati. Le varianti principali sono:
- CEO fraud: email apparentemente dal CEO o da un dirigente che richiede un pagamento urgente e confidenziale, spesso con una storia credibile: un'acquisizione in corso, una multa da pagare prima di una scadenza, un fornitore strategico da accontentare.
- Invoice fraud (o man-in-the-email): l'attaccante compromette realmente la casella email di un fornitore (o crea un dominio simile) e si inserisce in una trattativa in corso. Al momento del pagamento, invia una fattura con le proprie coordinate bancarie al posto di quelle legittime. La vittima paga convinta di stare saldando un debito reale.
- Account compromise: dopo aver ottenuto l'accesso all'account email di un dipendente tramite phishing, l'attaccante lo monitora silenziosamente per settimane, imparando i processi aziendali, le relazioni con i fornitori, i nomi dei colleghi. Poi agisce al momento opportuno, con la massima credibilità.
La caratteristica che rende il BEC così pericoloso è che spesso non coinvolge malware. Non c'è file da aprire, non c'è link su cui cliccare. È una frode basata puramente sulla manipolazione interpersonale, e questo la rende invisibile alla maggior parte degli strumenti di sicurezza tecnici.
Come riconoscere un'email di phishing: 8 segnali d'allarme
Nonostante la crescente sofisticazione degli attacchi, la maggior parte delle email di phishing presenta segnali riconoscibili per chi sa cosa cercare. Questa lista è utile come base per la formazione del personale.
- 1. Mittente incoerente: l'indirizzo email del mittente non corrisponde al dominio dell'organizzazione dichiarata. Attenzione agli homograph attack: caratteri visivamente simili sostituiti (ad esempio "rnicrosoft.com" con la "rn" che assomiglia alla "m"). Controllate sempre l'indirizzo completo, non solo il nome visualizzato.
- 2. Urgenza artificiale: il messaggio crea pressione temporale ("rispondi entro oggi", "account sospeso nelle prossime ore", "azione richiesta immediatamente"). L'urgenza è progettata per disattivare la riflessione critica.
- 3. Richiesta di credenziali o dati sensibili: nessuna organizzazione legittima chiede mai password, codici OTP, numeri di carta o dati di accesso via email. Sempre.
- 4. Link che non corrispondono al testo: passate il mouse sul link (senza cliccare) e verificate che l'URL mostrato nella barra di stato corrisponda al dominio dichiarato nel testo. Un link che mostra "www.intesasanpaolo.com" ma porta a "intesa-sanpaolo-sicurezza.xyz" è phishing.
- 5. Allegati non attesi: un allegato non richiesto, anche se il mittente sembra conosciuto, è un segnale d'allarme. Le tipologie più pericolose: file .exe, .js, .vbs, file Office con macro, archivi .zip/.rar che contengono eseguibili. Prima di aprire, verificate con il mittente tramite un canale diverso.
- 6. Errori grammaticali o di stile insoliti: le campagne di phishing massivo spesso mostrano errori ortografici o uno stile di scrittura incoerente con il mittente dichiarato. Lo spear phishing di alta qualità può essere grammaticalmente impeccabile, ma uno stile di comunicazione diverso dal solito dovrebbe comunque attirare attenzione.
- 7. Richiesta di aggirare le procedure normali: "non coinvolgere il team legale in questa fase", "mantieni riservata questa comunicazione", "bypassa la normale procedura di autorizzazione per urgenza". Queste istruzioni sono progettate per isolare la vittima e impedire la verifica.
- 8. Contesto insolito o richiesta fuori dall'ordinario: un fornitore con cui non si comunica da mesi che contatta improvvisamente per cambiare le coordinate bancarie; un collega che chiede informazioni inusuali per il proprio ruolo; un partner che usa un account Gmail personale invece del dominio aziendale. Il contesto insolito deve sempre alzare il livello di attenzione.
Il pretexting: quando l'attaccante si finge qualcun altro
Il pretexting è la costruzione di uno scenario fittizio (il "pretesto") per guadagnare la fiducia della vittima e ottenere informazioni o accessi. È una delle tecniche di social engineering più efficaci perché opera su un arco temporale più lungo e costruisce una credibilità progressiva.
Esempi documentati di pretexting in contesti aziendali italiani: un attaccante si finge tecnico di un fornitore IT e chiama l'ufficio chiedendo le credenziali di accesso al sistema per effettuare un aggiornamento urgente; uno studio commercialista riceve la visita di un "consulente" che sostiene di dover verificare alcuni documenti per conto di un cliente importante, e durante la visita fotografa schermi e documenti lasciati incustoditi; una responsabile amministrativa riceve una sequenza di email apparentemente dall'Agenzia delle Entrate che chiede la compilazione di un form online per evitare una sanzione: il form raccoglie le credenziali al portale fiscale aziendale.
Il pretexting sfrutta la tendenza umana ad aiutare chi si dimostra in difficoltà o in posizione di autorità, e a non mettere in discussione richieste che sembrano contestualmente appropriate. La contromisura principale è organizzativa: procedure chiare e non derogabili per la verifica dell'identità in caso di richieste inusuali, indipendentemente da quanto la richiesta sembri urgente o provenire da una fonte autorevole.
Come costruire una cultura della sicurezza in azienda
La formazione una tantum non funziona. Un corso di due ore ogni anno non prepara i dipendenti a riconoscere attacchi che evolvono continuamente e che nel 2026 includono deepfake vocali e contenuti generati dall'AI. La security awareness efficace è un processo continuo, non un evento.
I programmi di formazione più efficaci combinano più elementi. Il training contestualizzato parte dai rischi reali del settore e del ruolo specifico: un dipendente dell'ufficio contabilità ha un profilo di rischio diverso rispetto a un commerciale o a un tecnico IT. La formazione deve parlare di scenari concreti e riconoscibili, non di minacce astratte. I microlearning (contenuti brevi di 5-10 minuti distribuiti nel tempo) sono più efficaci della formazione intensiva perché favoriscono la retention e non saturano l'attenzione.
Le simulazioni di phishing sono lo strumento più potente. Inviare periodicamente email di phishing simulate al personale, con messaggi progressivamente più sofisticati, permette di misurare il tasso di click, identificare i dipendenti più vulnerabili per formazione mirata, e creare una memoria muscolare di attenzione. La cosa fondamentale è che le simulazioni non siano punitive ma formative: chi clicca deve ricevere immediatamente un feedback educativo, non una sanzione. La cultura della paura di sbagliare non crea sicurezza, crea persone che nascondono gli errori.
Le policy di verifica sono la rete di sicurezza organizzativa: procedure formali che definiscono come verificare richieste di pagamento fuori dall'ordinario (sempre con una seconda conferma su canale diverso dall'email), come gestire le richieste di informazioni riservate, chi contattare in caso di sospetto. Avere una policy scritta e comunicata non basta: va integrata nei processi reali e testata periodicamente. Infine, un canale di segnalazione semplice e non burocratico: i dipendenti devono sapere a chi segnalare un'email sospetta, e devono percepire la segnalazione come un atto apprezzato, non come un'ammissione di colpa.
Strumenti tecnici per limitare il danno del fattore umano
La formazione riduce il rischio ma non lo elimina. Gli strumenti tecnici creano strati di protezione aggiuntivi che limitano il danno anche quando un dipendente cade in una trappola.
DMARC, DKIM e SPF sono i tre protocolli fondamentali per l'autenticazione email. Configurati correttamente, impediscono che il dominio aziendale venga usato per inviare email di phishing, proteggendo sia i destinatari esterni che il proprio personale da email falsamente attribuite all'azienda. Sorprendentemente, molte PMI italiane non li hanno configurati o li hanno configurati solo parzialmente (policy SPF presente ma DMARC assente o in modalità solo monitor).
Un email gateway con sandboxing (come Microsoft Defender for Office 365, Proofpoint, Mimecast) analizza gli allegati in un ambiente isolato prima della consegna, verifica i link in tempo reale e applica filtri anti-phishing basati su machine learning. Non elimina il rischio ma riduce significativamente il volume di minacce che arrivano nella casella degli utenti.
L'MFA su tutti gli account è il salvavita quando le credenziali vengono compromesse: anche se un dipendente inserisce username e password su una pagina di phishing, l'attaccante non può completare il login senza il secondo fattore. È la misura di sicurezza con il miglior rapporto costo/impatto disponibile oggi. L'endpoint protection di nuova generazione (EDR) intercetta l'esecuzione di malware anche quando viene scaricato a seguito di un click su link di phishing. La browser isolation esegue le pagine web rischiose in un ambiente sandboxed remoto, impedendo che codice malevolo raggiunga il dispositivo dell'utente.
Nerd Herd Security Awareness: formiamo il tuo team
Da anni lavoriamo con aziende di ogni dimensione, dalla PMI familiare alla media impresa strutturata, per costruire programmi di security awareness efficaci e misurabili. Il nostro approccio non è quello del "corso obbligatorio da spuntare": progettiamo percorsi formativi calibrati sul profilo di rischio specifico dell'azienda, sui ruoli dei partecipanti e sul livello di consapevolezza di partenza.
Il programma include una baseline assessment iniziale, spesso una simulazione di phishing non annunciata, per misurare il punto di partenza. I risultati, anonimi e aggregati, guidano la progettazione del training: se il 40% del personale clicca su una simulazione di fattura urgente, sappiamo dove concentrare l'attenzione. La formazione viene erogata in moduli brevi, distribuiti nel tempo, con scenari aggiornati rispetto alle campagne reali in circolazione.
Le simulazioni periodiche continuano nel tempo, con messaggi progressivamente più sofisticati man mano che il livello di consapevolezza aumenta. Misuriamo il trend nel tempo: tasso di click, tasso di segnalazione, comportamenti post-click. Questi dati permettono di dimostrare il ROI del programma e di adattare continuamente i contenuti.
Per le aziende che vogliono andare oltre la formazione, offriamo anche assessment tecnici del canale email (verifica di DMARC/DKIM/SPF, configurazione del gateway, test di consegna di payload simulati) e supporto nell'implementazione delle misure tecniche complementari. Il risultato non è una forza lavoro immune agli attacchi (questo non esiste) ma un'organizzazione significativamente più resiliente, dove le minacce vengono riconosciute, segnalate e gestite.
Se volete capire come si posiziona la vostra azienda di fronte al rischio di social engineering, il modo migliore per scoprirlo è testarlo. Contattateci per un'analisi iniziale gratuita: vi proporremo un piano di lavoro concreto, proporzionato alle vostre esigenze e al vostro budget.