Social engineering: la guida completa.
Vulnerabile non è il software. Sei tu.

Il phishing è una tecnica specifica di social engineering. Social engineering è il termine ombrello che descrive la manipolazione psicologica: include phishing (email), smishing (SMS), vishing (telefono), pretexting (impersonazione), baiting (esche fisiche come USB), tailgating (entrare a piedi in zone riservate seguendo qualcuno). Tutti gli attacchi di social engineering condividono lo stesso obiettivo: bypassare la sicurezza tecnica facendo leva sulla psicologia umana.

Sono adattate dal lavoro di Robert Cialdini. (1) Autorità: l'attaccante impersona qualcuno di superiore o ufficiale (CEO, polizia, IT, banca). (2) Urgenza: scadenza artificiale che impedisce di riflettere ("entro 1 ora"). (3) Scarsità: opportunità unica che sparisce se non agisci subito. (4) Reciprocità: piccolo favore che obbliga moralmente a ricambiare. Una difesa robusta riconosce queste leve in azione e impone un "muro dei 60 secondi" prima di qualsiasi decisione.

Tre cose che funzionano davvero, in ordine: (1) simulazioni reali trimestrali (phishing email, telefonata vishing al team finanza, USB lasciata in parcheggio), debrief immediato senza colpa, (2) procedura "verifica fuori canale" obbligatoria per richieste sopra soglia, scritta e applicata anche al CEO, (3) parola d'ordine settimanale per autorizzare azioni anomale. Quello che NON funziona: corsi annuali di compliance, video lunghi obbligatori, slide con elenco di "red flag" che nessuno ricorda dopo 48 ore.

Sì, e spesso PIÙ delle persone non tecniche. Sviluppatori, sysadmin e CISO sono target di alto valore e gli attacchi contro di loro sono pretesti più sofisticati (recruiter falso su LinkedIn, finto contributor open source, falso ticket di supporto da fornitore). Il senso di "so come funziona, non mi inganni" è un fattore di rischio aggiuntivo. Le aziende migliori applicano le stesse procedure di verifica fuori canale a TUTTI, indipendentemente dal ruolo.

Tre concetti base: (1) nessuno che non conosci di persona dovrebbe chiederti soldi, password o foto private. Mai, per nessun motivo, anche se sembra urgente o pena ricatto; (2) chi ti chiede un favore strano in cambio di un altro favore ("ti regalo le V-Bucks se mi dai la tua password") quasi sempre vuole fregarti; (3) se qualcosa ti mette pressione emotiva (paura, fretta, vergogna), fermati e parla con un adulto prima di fare qualsiasi cosa. La parola d'ordine familiare aiuta: "se non sa la parola, non è chi dice di essere".

Prima di tutto: niente vergogna. Il social engineering colpisce persone intelligenti: è progettato per questo. Poi: (1) se hai inserito credenziali, segui i passi dell'incident phishing (cambia password, MFA, invalida sessioni); (2) se hai eseguito un bonifico, chiama subito la banca per richiedere il blocco anche se sono passate ore; (3) se hai dato accesso al computer, scollega il dispositivo dalla rete e fai analizzare; (4) segnala sempre (NCSC.ch in Svizzera, Polizia Postale in Italia); (5) racconta l'esperienza ai colleghi/famiglia: è la migliore vaccinazione collettiva.