“Se la lettera arriva dal mio superiore, la apro.” È il riflesso di chiunque lavori in un’organizzazione con una gerarchia. Ed è proprio il riflesso che gli attaccanti hanno usato contro una delle diplomazie più antiche del mondo.
Cosa è successo al Vaticano?
Da inizio maggio 2020 il Vaticano e diverse organizzazioni cattoliche legate a Hong Kong sono state prese di mira da un gruppo che i ricercatori collegano allo Stato cinese. Il periodo era delicato: si preparava il rinnovo dell’accordo fra Santa Sede e Cina.
- L’esca: un’email con un documento che sembrava una lettera ufficiale del Vaticano, indirizzata al responsabile della missione di studio di Hong Kong.
- Cosa succedeva aprendolo: il documento installava un programma che permetteva agli attaccanti di controllare il computer da lontano e di muoversi nella rete.
- Gli obiettivi: oltre al Vaticano, la diocesi cattolica di Hong Kong, la missione di studio di Hong Kong e il Pontificio istituto missioni estere in Italia.
- Pechino ha definito le accuse “congetture”.
Il documento era una lettera ufficiale del Vaticano indirizzata al responsabile della missione di studio di Hong Kong. I ricercatori scrivono che non è chiaro se gli attaccanti l’abbiano costruita da soli o se abbiano ottenuto un documento autentico e lo abbiano trasformato in un’esca.
Perché una lettera “dall’alto” funziona così bene?
Perché nessuno controlla una lettera del proprio superiore: la apre e basta. La lettera era mirata: aveva il nome giusto, il mittente giusto, l’argomento giusto per quella persona in quel momento. Si chiama spear phishing, phishing “con la fiocina”: non una rete gettata a caso, ma un colpo preparato per un solo bersaglio.
Che la lettera fosse vera o costruita cambia poco. Un documento autentico, rubato o recuperato, è l’esca perfetta: il contenuto è vero, l’allegato no.
È lo stesso trucco di Fideuram e Revolut?
Sì: cambia il mezzo, non la leva. In tutti e tre i casi chi attacca si presenta con l’autorità di qualcuno a cui non si dice di no:
| Caso | Chi si fingeva | Il mezzo |
|---|---|---|
| Vaticano, 2020 | la Segreteria di Stato | una lettera ufficiale con un allegato |
| Revolut, 2026 | una Prefettura italiana | una PEC vera, da una casella violata |
| Fideuram, 2026 | l’amministratore delegato e un avvocato conosciuto | WhatsApp e una voce clonata |
Succede anche in Svizzera?
Sì, e a tutti, non solo alle istituzioni. L’Ufficio federale della cibersicurezza (UFCS) mette in guardia da email minatorie con loghi e timbri di polizie nazionali, cantonali o perfino dell’UFCS stesso: ti accusano di un reato grave e ti chiedono di pagare per evitare il procedimento.
I truffatori usano loghi e timbri di autorità di polizia nazionali, cantonali o internazionali. Il consiglio è ignorare questi messaggi e non farsi intimidire; chi ha già risposto deve interrompere il contatto e, in caso di danno, sporgere denuncia alla polizia.
È la stessa leva del Vaticano in versione di massa: un’autorità finta, un tono ufficiale, una richiesta a cui è difficile dire di no.
Il Metodo 3V applicato alla lettera “ufficiale”
Tre domande, anche quando chi scrive sta più in alto di te. È il Metodo 3V del libro «Sicurezza informatica per professionisti», spiegato nella guida al social engineering.
| Cosa chiederti | Nel caso della lettera | |
|---|---|---|
| Verifica | Chi me lo manda è davvero chi dice di essere? | Chiama l’ufficio o la persona al numero che conosci già: “Mi avete mandato voi questo documento?”. |
| Validazione | Anche se fosse lui, la richiesta ha senso? | Un documento riservato che arriva per email, in un formato che chiede di “abilitare” qualcosa? |
| Velocità controllata | Chi mi mette fretta, e perché? | ”Urgente”, “riservato”, “da leggere subito”: l’autorità più la fretta è la combinazione più pericolosa. |
Cosa fare se ricevi un documento “dall’alto” che non aspettavi
- Non aprire l’allegato finché non hai verificato.
- Verifica con una telefonata al numero che conosci, non a quello nel messaggio.
- Se l’hai già aperto, scollega il computer dalla rete e avvisa subito chi gestisce l’informatica.
- Se è un’email minatoria a nome della polizia, non rispondere e non pagare; se hai subito un danno, fai denuncia.
Segnala il messaggio: in Svizzera all’Ufficio federale della cibersicurezza UFCS, in Italia alla Polizia Postale. Se hai un dubbio su un link, controllalo su sito-ok.com senza aprirlo.
Domande frequenti
Come hanno fatto a violare il Vaticano?
Con un documento che sembrava una lettera ufficiale della Segreteria di Stato, inviato per email al responsabile della missione di studio di Hong Kong. Aperto, installava un programma che dava agli attaccanti il controllo del computer. I ricercatori collegano l'attacco a un gruppo legato allo Stato cinese; Pechino ha parlato di congetture.
Cos'è lo spear phishing?
È un phishing mirato: invece di mandare lo stesso messaggio a migliaia di persone, l'attaccante prepara un'esca per una persona sola, con il suo nome, il mittente giusto e un argomento che la riguarda. È più difficile da riconoscere, per questo serve verificare le richieste inattese anche quando sembrano venire da chi conosci.
Mi è arrivata un'email della polizia che mi accusa di un reato: è vera?
Quasi certamente no. L'UFCS segnala da tempo email minatorie con loghi e timbri di polizie e autorità che chiedono di pagare per evitare un procedimento. Le autorità vere non funzionano così. Non rispondere, non pagare e, se hai già risposto, interrompi il contatto e rivolgiti alla polizia.
La stessa leva, sei anni dopo, è nel caso Revolut e la falsa Prefettura. Se hai un’azienda, è il momento di scrivere la regola della verifica prima che serva.
