“Se è scritto lì, sarà vero.” È una scorciatoia utile nella vita di tutti i giorni: non possiamo verificare tutto. Chi ti vuole truffare lo sa, e costruisce apposta cose da leggere: siti, avvisi, notizie, messaggi.
Cos’è il social engineering?
È manipolare le persone invece dei computer. Invece di cercare una falla nel sistema, l’attaccante cerca il punto in cui una persona si fida: un logo, una divisa, un tono ufficiale, una scadenza. Poi le chiede di aprire la porta da dentro.
Un sito falso è lo strumento più semplice: costa pochissimo, si copia da quello vero in pochi minuti e lavora da solo, giorno e notte, su chiunque ci arrivi.
Le persone credono a quello che leggono
Per questo funziona anche l’avviso del pacco che non aspetti. Se un messaggio dice che un corriere sta cercando di consegnarti qualcosa, molti toccano il link anche senza aspettare niente: è scritto, ha il nome del corriere, sembra vero.
I truffatori ragionano come chi fa marketing: mandano lo stesso messaggio a migliaia di persone e sanno che basta una piccola parte per guadagnare. Non devono convincere te: devono convincere qualcuno, e il bombardamento continuo prima o poi trova la persona giusta nel momento giusto.
Il video: la manipolazione vista al cinema
Nel 2020 ho usato uno spezzone di un film che mostra in modo molto chiaro come si manipolano le persone con informazioni false. Su internet funziona allo stesso modo: siti fasulli, e-commerce fasulli, notizie fasulle. Lo spezzone è usato a scopo educativo con il permesso di 20th Century Studios.
Come riconosco un sito falso?
Non dalla grafica, che si copia: dai dettagli che il falsario non controlla.
- L’indirizzo nella barra in alto: lettere scambiate, parole in più, un dominio diverso dal solito.
- Prezzi o offerte troppo belli, soprattutto negli e-commerce: sconti enormi su prodotti esauriti altrove.
- Pagamenti strani: solo bonifico, solo carte prepagate o criptovalute.
- Niente dati veri dell’azienda: indirizzo, numero di registro, contatti verificabili.
- Il lucchetto c’è, ma non conta: dice solo che la connessione è cifrata, non chi c’è dall’altra parte.
Nel dubbio, controlla l’indirizzo su sito-ok.com prima di inserire dati o pagare.
Il Metodo 3V: controllare prima di credere
Tre domande che rompono l’automatismo “è scritto, quindi è vero”. È il Metodo 3V del libro «Sicurezza informatica per professionisti», spiegato nella guida al social engineering.
| Cosa chiederti | Davanti a un sito o a un messaggio | |
|---|---|---|
| Verifica | Chi me lo dice è davvero chi dice di essere? | Apri tu il sito ufficiale, scrivendo l’indirizzo, e cerca la stessa informazione. |
| Validazione | Anche se fosse lui, la richiesta ha senso? | Un pacco che non aspetti, un’offerta impossibile, un pagamento in criptovalute? |
| Velocità controllata | Chi mi mette fretta, e perché? | ”Ultimi pezzi”, “scade oggi”: la fretta serve a non farti controllare. |
Cosa fare se ci sei già cascato
- Hai pagato? Chiama subito la banca o l’emittente della carta per bloccare o contestare.
- Hai inserito una password? Cambiala dal sito vero, e ovunque usavi la stessa.
- Hai dato documenti o dati personali? Aspettati altri tentativi “su misura” e fai attenzione a richieste di prestiti o contratti a tuo nome.
Segnala il messaggio: in Svizzera all’Ufficio federale della cibersicurezza UFCS, in Italia alla Polizia Postale. Se hai un dubbio su un link, controllalo su sito-ok.com senza aprirlo.
Domande frequenti
Cos'è il social engineering, in parole semplici?
È il modo di ottenere qualcosa da una persona (una password, un pagamento, un accesso) convincendola invece di forzare un sistema informatico. Si basa sulla fiducia, sulla paura e sulla fretta. Per questo si combatte con le abitudini, come il Metodo 3V, più che con i programmi.
Come faccio a capire se un sito è falso?
Guarda l'indirizzo nella barra in alto, non la grafica. Diffida di offerte troppo convenienti, di pagamenti solo con bonifico o criptovalute e di siti senza dati aziendali verificabili. Il lucchetto non basta. Nel dubbio controlla il link su sito-ok.com prima di inserire dati.
Perché cadiamo in queste trappole anche se sappiamo che esistono?
Perché nella vita di tutti i giorni crediamo a quello che leggiamo: non possiamo verificare tutto. I truffatori sfruttano questa scorciatoia nel momento in cui siamo di fretta o preoccupati. Una regola fissa, come aprire sempre tu il sito ufficiale, funziona meglio della sola attenzione.
Perché queste leve funzionano anche con chi le conosce lo spiego in Phishing #3, perché il phishing funziona. Il quadro completo è nella guida al social engineering.
