Il corso antiphishing non basta per sempre: cosa dicono gli studi sulla memoria della sicurezza

Dopo un corso contro il phishing riconosciamo meglio le email truffa, ma l'effetto svanisce in pochi mesi. Ecco cosa funziona davvero, secondo gli studi sul campo.

Ottobre. L'ufficio del personale organizza la formazione annuale sulla sicurezza informatica. Tre ore di slide: mittenti strani, link sospetti, allegati da non aprire. Tutti escono convinti: "A me non succede". A marzo arriva un'email dal "servizio stipendi" con oggetto "Aggiornamento coordinate bancarie entro oggi". È scritta bene, ha il logo giusto, arriva in un giorno pieno di riunioni. Qualcuno clicca. E non è per forza la persona più distratta dell'ufficio.

Cosa è successo alle tre ore di ottobre? Erano inutili, o semplicemente non erano pensate per durare? La ricerca sul campo ha cominciato a dare risposte precise, e non sono quelle che le aziende vorrebbero sentire.

In breve

L'idea che un corso contro il phishing protegga le persone per sempre è falsa. I benefici della formazione si misurano subito dopo e per alcuni mesi, poi calano. Gli studi suggeriscono richiami periodici, nell'ordine di alcuni mesi, e anche così la formazione da sola non basta: servono strumenti tecnici e una cultura in cui segnalare è facile.

🔴 Mito. Uno studio sul campo in una pubblica amministrazione tedesca mostra che l'effetto è ancora significativo dopo quattro mesi ma non più dopo sei.

Da dove nasce il mito

Il mito nasce da un modo di pensare la formazione che viene dalla scuola e dagli obblighi normativi. Si fa un corso, si firma il registro, si archivia l'attestato. Molte norme e standard di sicurezza chiedono alle organizzazioni di "formare il personale", e il modo più semplice di dimostrarlo è un evento con una data. Una volta fatto, la casella è spuntata.

C'è anche un motivo commerciale. Il mercato della "security awareness" vende pacchetti chiavi in mano, e un corso annuale è facile da comprare, pianificare e rendicontare.

Infine c'è un motivo psicologico. Chi esce da un buon corso si sente più competente, e quella sensazione è reale. Ma sentirsi preparati non coincide con esserlo sei mesi dopo, in una giornata stressante, davanti a un'email ben costruita. Christopher Hadnagy, uno dei divulgatori più noti del social engineering, racconta nel suo manuale il caso di un cliente che resisteva benissimo alle truffe telefoniche, su cui il personale veniva addestrato con scenari realistici e test di routine, ma cadeva facilmente nel phishing, per cui faceva solo pochi moduli video all'anno. Il suo consiglio è di testare il phishing ogni mese, non una volta l'anno.

Cosa dice davvero la ricerca

Lo studio della scheda: Reinheimer e colleghi, 2020. Benjamin Reinheimer, Melanie Volkamer e colleghi del Karlsruhe Institute of Technology hanno presentato al convegno SOUPS 2020 (USENIX) uno studio sul campo in un ufficio pubblico tedesco per la geoinformazione. Il programma era un corso in presenza di tre o quattro ore, con circa 40 partecipanti per sessione, tenuto da istruttori interni formati apposta.

Per misurare l'effetto nel tempo, i ricercatori hanno diviso i dipendenti in gruppi testati in momenti diversi: prima del corso, subito dopo, a 4, 6, 8 e 12 mesi. Il test era un questionario online con 20 screenshot di email, 10 di phishing e 10 legittime, da classificare. Il punteggio teneva conto sia della capacità di riconoscere le truffe sia della tendenza a sospettare di tutto. In totale sono stati analizzati 409 dipendenti.

I risultati sono chiari. Subito dopo il corso la capacità di distinguere le email migliora molto: il tasso di riconoscimento del phishing sale da circa il 62% all'80%. Dopo quattro mesi il miglioramento è ancora significativo. Dopo sei mesi non lo è più, e a otto mesi la situazione è simile. Gli autori concludono che conviene un richiamo dopo circa sei mesi.

Hanno poi testato quattro tipi di richiamo a sei mesi: un testo con figure, un video con la stessa storia, esempi interattivi (email cliccabili con i punti sospetti evidenziati) e un testo breve con le sole regole. I richiami basati su video ed esempi interattivi sono risultati i migliori, con effetti che durano almeno altri sei mesi. Il testo breve non è bastato.

Due limiti: il test usa screenshot e un gioco di ruolo, non email vere nella casella di posta; e ogni gruppo era composto da persone diverse, quindi non si segue la stessa persona nel tempo.

Kumaraguru e colleghi, 2009: la memoria a un mese. Il gruppo di Lorrie Cranor e Alessandro Acquisti alla Carnegie Mellon ha condotto lo studio "School of Phish" (SOUPS 2009) con 515 tra docenti, personale e studenti, divisi a caso in tre gruppi. Il metodo era la formazione "incorporata": chi cliccava un'email di phishing simulata riceveva subito una breve lezione a fumetti. Dopo 28 giorni, nel gruppo di controllo clicca il 44% circa, nei gruppi formati circa il 24-26%. Un risultato incoraggiante, ma il periodo osservato è di un solo mese.

Lain, Kostiainen e Čapkun, 2022: 15 mesi in una grande azienda. Al convegno IEEE Security & Privacy 2022 i ricercatori del Politecnico di Zurigo hanno presentato uno studio su oltre 14.000 dipendenti, seguiti per 15 mesi con quasi 118.000 email di phishing simulate. Circa un dipendente su tre ha cliccato almeno una volta. Sorpresa: la formazione incorporata, la pagina informativa mostrata dopo il clic, non ha ridotto la vulnerabilità. Nel gruppo che la riceveva i clic erano anzi un po' di più. Gli autori ipotizzano un falso senso di sicurezza. Il risultato positivo è un altro: i dipendenti, con un pulsante per segnalare, sono diventati un sistema di rilevamento collettivo, e le loro segnalazioni hanno portato alla luce centinaia di email di phishing vere.

Ho e colleghi, 2025: 19.500 dipendenti sanitari. Grant Ho, Stefan Savage, Geoffrey Voelker e colleghi della UC San Diego hanno presentato all'IEEE Security & Privacy 2025 uno studio su oltre 19.500 dipendenti di UC San Diego Health, con 10 campagne in otto mesi. La formazione incorporata ha ridotto i clic solo di circa il 2%. Il 75% delle persone ha passato un minuto o meno sulla pagina di formazione, e un terzo l'ha chiusa senza leggerla. Dopo otto mesi più della metà dei dipendenti aveva cliccato almeno un'email simulata. E il tipo di esca contava più della formazione: una finta richiesta di cambio password di Outlook ha ingannato l'1,8%, una finta modifica della politica sulle ferie il 30,8%.

Cosa tiene insieme questi studi. Un corso ben fatto migliora la capacità di riconoscere il phishing, ma l'effetto è temporaneo, e i formati più usati nelle aziende, come la pagina mostrata dopo il clic, possono avere effetti minimi. La formazione funziona meglio come abitudine ripetuta che come evento, e funziona meglio se è attiva e realistica.

Perché il cervello ci casca

Il mito si regge su due errori di intuizione.

Pensiamo alla memoria come a un archivio. Ciò che abbiamo imparato ci sembra "salvato". In realtà le conoscenze che non usiamo si indeboliscono, e la psicologia lo sa dai tempi di Hermann Ebbinghaus e della sua curva dell'oblio, alla fine dell'Ottocento. Le stesse ricerche sull'apprendimento mostrano due rimedi molto solidi: ripassare a intervalli distanziati e mettersi alla prova, cioè richiamare attivamente l'informazione invece di rileggerla. Un corso annuale sfrutta poco l'uno e l'altro.

Pensiamo al riconoscimento come a un ragionamento. Davanti a una slide sul phishing ragioniamo con calma. Davanti alla casella di posta, alle 17:30, rispondiamo in automatico. Le email truffa sono costruite per agire proprio lì: urgenza ("entro oggi"), autorità ("l'ufficio del direttore"), scarsità o paura ("il tuo account verrà sospeso"). In quelle condizioni non usiamo la regola imparata, usiamo l'abitudine. E un'abitudine si costruisce con la ripetizione, non con una lezione.

C'è poi l'eccesso di fiducia. Dopo il corso ci sentiamo protetti, e chi si sente protetto controlla meno. È l'ipotesi del falso senso di sicurezza avanzata dai ricercatori di Zurigo. Il fatto che i più vulnerabili siano spesso i più sicuri di sé è un tema ricorrente nella ricerca sui bias.

Cosa significa in pratica

Al posto del mito, cosa dire. "La formazione contro il phishing è come un vaccino con richiamo: protegge, ma per un periodo limitato. E da sola non basta."

Per chi gestisce la sicurezza in azienda:

• Pianifica richiami brevi ogni quattro-sei mesi, non un solo corso annuale. Lo studio di Karlsruhe suggerisce di non superare i sei mesi.
• Preferisci video con storie concrete ed esempi interattivi, cioè email vere o realistiche in cui la persona deve trovare da sola i segnali sospetti. Il semplice promemoria testuale funziona meno.
• Non affidarti alla sola pagina "hai cliccato su un'email di prova". Gli studi più grandi mostrano che pochissimi la leggono.
• Metti un pulsante "segnala phishing" ben visibile e rispondi a chi segnala. Le segnalazioni collettive sono uno strumento di difesa più forte del singolo dipendente perfetto.
• Non punire chi clicca. La vergogna spinge a nascondere gli errori, e un clic nascosto è molto più pericoloso di uno segnalato subito.
• Accompagna la formazione con difese tecniche: filtri della posta, autenticazione a più fattori, procedure di verifica per pagamenti e cambi di coordinate bancarie.

Per le piccole imprese e i professionisti. Basta poco: dieci minuti ogni qualche mese per guardare insieme due o tre esempi recenti di truffe, magari arrivate davvero in ufficio. E una regola d'oro: ogni richiesta di denaro o di credenziali va verificata con un altro canale, per esempio una telefonata a un numero già noto.

Per tutti, nella vita privata. Il phishing oggi arriva via SMS, WhatsApp, finti corrieri e finte banche, e con l'intelligenza artificiale i testi sono sempre più curati. Gli errori di grammatica non sono più un segnale affidabile. Contano il contesto e la richiesta: chi ti chiede di fare qualcosa subito, e perché?

Le domande che ci fanno

Ogni quanto va ripetuta la formazione? Gli studi disponibili indicano un intervallo di quattro-sei mesi. Nello studio di Reinheimer l'effetto non era più significativo a sei mesi; un richiamo a quel punto lo prolungava di almeno altri sei.

Le campagne di phishing simulato funzionano? Servono soprattutto a misurare e a mantenere viva l'attenzione. Da sole, con la classica pagina informativa dopo il clic, hanno mostrato effetti piccoli o nulli negli studi più grandi. Funzionano meglio se fanno parte di un programma con richiami attivi e un sistema di segnalazione.

Se la formazione funziona poco, tanto vale non farla? No. Funziona, ma per un tempo limitato e meglio in certi formati. Il punto è smettere di considerarla un vaccino a vita e integrarla con strumenti tecnici e procedure di verifica.

L'intelligenza artificiale rende inutili i vecchi consigli? Rende inutili quelli superficiali, come cercare gli errori di ortografia. Restano validi quelli sul contesto: urgenza, richieste di denaro o password, mittenti che si spacciano per autorità. E resta valida la regola della verifica con un secondo canale.

Per approfondire

• La scheda del quiz
• Eccesso di fiducia
• Bias di autorità
• Effetto scarsità
• Ripassare a intervalli: l'effetto spaziatura
• Mettersi alla prova per ricordare: l'effetto test
• Falso mito o scienza? Il quiz

Fonti

1. Reinheimer B., Aldag L., Mayer P., Mossano M., Duezguen R., Lofthouse B., von Landesberger T., Volkamer M. (2020). An investigation of phishing awareness and education over time: When and how to best remind users. Proceedings of the Sixteenth Symposium on Usable Privacy and Security (SOUPS 2020), USENIX. https://www.usenix.org/conference/soups2020/presentation/reinheimer
2. Kumaraguru P., Cranshaw J., Acquisti A., Cranor L., Hong J., Blair M. A., Pham T. (2009). School of phish: A real-world evaluation of anti-phishing training. Proceedings of the 5th Symposium on Usable Privacy and Security (SOUPS 2009). https://www.heinz.cmu.edu/~acquisti/papers/Acquisti_Real-World_Evaluation_of_Anti-Phishing_Training.pdf
3. Lain D., Kostiainen K., Čapkun S. (2022). Phishing in organizations: Findings from a large-scale and long-term study. 2022 IEEE Symposium on Security and Privacy. Preprint: https://arxiv.org/abs/2112.07498
4. Ho G., Mirian A., Luo E., Tong K., Lee E., Liu L., Longhurst C. A., Dameff C., Savage S., Voelker G. M. (2025). Understanding the efficacy of phishing training in practice. 2025 IEEE Symposium on Security and Privacy. Sintesi: UC San Diego Today, https://today.ucsd.edu/story/cybersecurity-training-programs-dont-prevent-employees-from-falling-for-phishing-scams
5. Ebbinghaus H. (1885). Über das Gedächtnis. Duncker & Humblot. https://wellcomecollection.org/works/sm7eqjpr
6. Hadnagy C. (2018). Social Engineering: The Science of Human Hacking. 2ª ed., Wiley, capitolo sulla mitigazione ("Implement Applicable Security-Awareness Programs"). https://investors.wiley.com/news/news-details/2018/Social-Engineering-The-Science-of-Human-Hacking-Second-Edition-2018-7-30/default.aspx