Perché una delle minacce più difficili da fermare aggira qualsiasi firewall
Bologna, le 16:47. La giornata in ufficio è quasi finita. Luigi guarda la foto dei suoi due gemellini appena nati e pensa a tornare a casa. Squilla il telefono. Una donna agitata, con un accento dell’est, e in sottofondo il pianto di un bambino. Dice di chiamarsi Alena, di essere la moglie di un collega: il marito è partito di corsa per la Polonia, ha dimenticato un documento importante e lei, sola con un figlio di tre settimane, non sa come compilarlo. Può aiutarla?
Luigi la aiuta. Le chiede come si chiama il bambino: Marco, come uno dei suoi gemelli. Le dà un codice, una data, il codice dello stabilimento. Alla fine accetta di ricevere il documento sul suo indirizzo aziendale, per ricontrollarlo prima di inoltrarlo. “Lei è un angelo, signor Luigi!”
Luigi chiude la telefonata, felice di aver aiutato la moglie di un collega. Dall’altra parte non c’è nessuna Alena: c’è Màlinka.
Màlinka spegne l’MP3.
L’audio del bambino che piange si interrompe. Lei riprende il respiro. Ha funzionato. In pochi minuti, dall’altra parte del telefono, qualcuno ha appena aperto una porta che nessun firewall avrebbe potuto chiudere.
Se un attaccante dovesse scegliere tra forzare il tuo firewall e chiamare uno dei tuoi dipendenti, cosa pensi che sceglierebbe?
La risposta, quasi sempre, è la seconda.
Non perché i firewall siano inutili. Ma perché le persone sono più facili da ingannare di quanto nessuno ami ammettere. Sono disponibili, collaborative, distratte. Hanno figli appena nati, scadenze in ritardo, colleghi di cui si fidano. Vivono nel mondo reale, non in un manuale di sicurezza informatica.
Il social engineering è l’arte di sfruttare tutto questo. Non richiede codice, non richiede vulnerabilità, non richiede strumenti sofisticati. Richiede una comprensione precisa di come funziona la mente umana sotto pressione. Ed è per questo che è uno dei vettori di attacco più efficaci che esistano, e tra i più difficili da difendere.
Il problema che nessun aggiornamento può risolvere
Torna alla telefonata di Luigi. Una voce gentile, un po’ agitata. La moglie di un collega, un marito partito di corsa per un’emergenza familiare, un documento aziendale importante rimasto indietro. Un bambino piccolo che piange, una donna sola e in difficoltà che chiede solo un piccolo aiuto.
Cosa avresti fatto al suo posto?
La maggior parte delle persone aiuterebbe. Senza esitazione, senza sospetti. Perché è quello che si fa. Perché sembra la cosa giusta. Perché negare aiuto a qualcuno in difficoltà richiede uno sforzo emotivo che in quel momento non siamo disposti a fare.
Questo è esattamente il punto di partenza di un attacco di social engineering. Non una vulnerabilità tecnica, ma una vulnerabilità umana. E le vulnerabilità umane non si patchano con un aggiornamento software.
La mente umana non è un sistema sicuro
Nel 1984, lo psicologo Robert Cialdini pubblicò Influence (in italiano, Le armi della persuasione). Il libro descriveva sei principi che guidano il comportamento umano nelle decisioni sociali. Cialdini li aveva studiati per capire come funziona la persuasione legittima. Ma gli stessi principi, applicati con intenzione malevola, sono diventati il manuale non scritto di ogni ingegnere sociale.
Un attaccante esperto non improvvisa. Costruisce uno scenario in cui ogni risposta della vittima sembra quella giusta, quella che chiunque al suo posto darebbe.
Reciprocità. Chi ci fa un favore crea un debito emotivo. Un attaccante che si presenta come disponibile e premuroso lo sfrutta subito: la vittima vuole aiutare perché sente di dover ricambiare. La gentilezza è un’arma.
Simpatia. Siamo più disposti ad assecondare chi ci piace o con cui ci identifichiamo. Un dettaglio in comune, un figlio della stessa età, una città, una passione, basta per abbassare la guardia. A qualcuno con cui condividiamo qualcosa non si nega un favore.
Autorità. Tendiamo a obbedire a chi percepiamo come autorevole. Un tono professionale, un nome di collega citato con naturalezza, un riferimento a una procedura interna: bastano pochi elementi per costruire una credibilità che la vittima non ha motivo di mettere in dubbio. Verificare richiederebbe tempo. Fidarsi è più semplice.
Scarsità. È la tendenza ad attribuire più valore a ciò che percepiamo come raro o in via di esaurimento. Nel social engineering si manifesta quasi sempre nella sua forma più diretta: il tempo. Una scadenza imminente, un problema da risolvere subito, una finestra che si sta per chiudere. Quando il tempo stringe, la capacità critica si riduce: l’urgenza spegne la riflessione e attiva l’azione. Sotto pressione, il cervello prende scorciatoie. Gli attaccanti lo sanno.
Riprova sociale. Facciamo quello che fanno gli altri, specialmente in situazioni ambigue. Se la richiesta sembra normale, il tipo di cosa che chiunque farebbe al posto nostro, la soglia di attenzione si abbassa automaticamente.
Impegno e coerenza. Una volta detto sì a una piccola richiesta, tendiamo a restare coerenti. L’attaccante costruisce la conversazione in modo che ogni passo sembri la naturale continuazione del precedente. Non chiede tutto subito: chiede poco, poi ancora un po’, finché la vittima ha già dato tutto quello che serviva senza rendersene conto.
Rileggi la telefonata. Il bambino che piange e la fretta del marito: urgenza. Il nome “Marco” e i gemelli: simpatia. Il collega citato con naturalezza: autorità. Una domanda dopo l’altra, ognuna piccola, ognuna ragionevole: impegno e coerenza. Quattro principi in pochi minuti, e Luigi non ha avuto un solo momento in cui sembrasse sbagliato aiutare.
I canali che la tecnologia non controlla
L’industria della cybersecurity ha investito miliardi in strumenti per rilevare e bloccare gli attacchi prima che raggiungano le persone: filtri anti-phishing, analisi delle email, sandbox per gli allegati, intelligenza artificiale addestrata a riconoscere pattern sospetti. Strumenti che funzionano, entro certi limiti.
Il problema è che il social engineering non passa necessariamente attraverso quei canali.
Una telefonata non ha un filtro anti-spam. Un messaggio su LinkedIn non viene analizzato dal gateway di sicurezza aziendale. Un incontro a una fiera di settore non genera alert nel SIEM. Una conversazione in un bar tra un commerciale e qualcuno che si è presentato come potenziale cliente e stava raccogliendo informazioni sulla struttura interna dell’azienda non lascia tracce nei log.
Il social engineering è efficace proprio perché si muove negli spazi che la tecnologia non può presidiare. E quegli spazi sono ovunque.
Non è colpa di chi risponde al telefono
Secondo il Verizon Data Breach Investigations Report 2026, il fattore umano (un errore, una credenziale compromessa, un inganno) è stato presente in circa il 62% delle violazioni. Non una vulnerabilità tecnica: una persona che ha fatto qualcosa che non avrebbe dovuto fare, spesso in perfetta buona fede.
Questo dato non è una critica alle persone. È una descrizione della realtà.
I dipendenti non sono addestrati per vivere in uno stato di sospetto permanente. Non è il loro lavoro. Il loro lavoro è fare quello per cui sono stati assunti, e farlo bene richiede fiducia, collaborazione, disponibilità. Le stesse qualità che un ingegnere sociale cerca di sfruttare.
C’è anche un problema di contesto. Un dipendente che riceve una richiesta insolita alle 16:47 di un venerdì, con tre email urgenti ancora aperte e una riunione tra venti minuti, non è nella condizione ottimale per valutare criticamente ogni interazione. Il carico cognitivo è alto, la soglia di attenzione è bassa, e il cervello prende scorciatoie.
Gli attaccanti scelgono il momento con cura. Sanno che il venerdì pomeriggio è diverso dal martedì mattina. Sanno che il periodo di ferie, i momenti di cambiamento organizzativo, le crisi aziendali abbassano ulteriormente la guardia. Sanno che alcune persone, i nuovi assunti, chi lavora in ruoli di front office, chi gestisce le relazioni con fornitori e clienti, sono strutturalmente più esposte di altre.
Non è una questione di intelligenza o competenza. È una questione di condizioni.
La difesa è possibile. Ma parte da un posto diverso
Conoscere i meccanismi non rende immuni. Ma cambia la soglia di attenzione, e questo, nel social engineering, fa una differenza enorme.
Un dipendente che riconosce il principio di scarsità si ferma un secondo in più quando una richiesta non può aspettare. Uno che sa cos’è la riprova sociale si chiede perché qualcosa che sembra ovvio lo spinge ad agire senza verificare. Chi ha visto esempi concreti di attacchi, non slide astratte ma storie reali, riconoscibili, che potrebbero accadergli domani, sviluppa un istinto diverso.
La formazione sulla sicurezza informatica, quando è fatta bene, non insegna regole. Insegna a riconoscere pattern. E i pattern del social engineering sono sempre gli stessi: scarsità e urgenza, autorità, simpatia, una richiesta che sembra normale.
Ma la formazione da sola non basta. Serve una cultura aziendale in cui segnalare un dubbio non sia percepito come un rallentamento. In cui dire “aspetta, verifico” sia considerato professionale e non paranoico. In cui il processo di verifica delle identità, anche per richieste che sembrano ovvie, sia normalizzato.
Perché l’attaccante conta sul fatto che verificare sia scomodo. Conta sul fatto che mettere in dubbio una richiesta sembri scortese. Conta sul fatto che la pressione sociale e l’urgenza artificiale siano più forti del protocollo.
Togliergli questo vantaggio è possibile. Richiede tempo, intenzione e costanza. Ma è una difesa indispensabile contro una minaccia che aggira qualsiasi firewall.
Il tuo sistema di sicurezza è robusto quanto la persona che risponde al telefono alle 16:47 di un venerdì?