Ingegneria sociale: la guida completa

Come si convince una persona a fare ciò che non dovrebbe: le fasi di un attacco, le leve nel cervello, i casi veri e le regole per difendersi. La mappa di tutta la sezione.

Febbraio 2025. Nelle segreterie di alcuni dei più noti imprenditori italiani arrivano telefonate dal "Ministero della Difesa". Poi al telefono c'è lui, il ministro Guido Crosetto: la voce è la sua, il tono è quello che si sente in televisione. La richiesta è delicata. Alcuni giornalisti italiani sono stati rapiti in Medio Oriente, serve un aiuto economico urgente e riservato per liberarli, e la Banca d'Italia rimborserà tutto.

Quasi tutti si fermano. Uno no: Massimo Moratti, ex presidente dell'Inter, fa due bonifici per quasi un milione di euro. Il denaro passa su un conto nei Paesi Bassi, e lì la polizia riesce a bloccarlo. La voce era clonata con l'intelligenza artificiale. [1][2]

Moratti non è uno sprovveduto. Ha guidato per decenni un'azienda petrolifera e una squadra di calcio. Allora la domanda è un'altra: che cosa, in quella telefonata, ha convinto il suo cervello?

In breve

L'ingegneria sociale (in inglese social engineering) è l'insieme delle tecniche con cui si convince una persona a fare qualcosa contro il proprio interesse: rivelare una password, aprire un allegato, autorizzare un pagamento, far entrare uno sconosciuto. Non si attacca il computer: si attacca la fiducia.

🟢 Solida: le leve psicologiche che usa sono tra le più studiate della psicologia sociale, e i dati di polizia e aziende di sicurezza confermano ogni anno che la persona è il punto d'ingresso più comune.

Perché ti riguarda

Non è un problema delle grandi aziende. È il crimine più diffuso del nostro tempo, e colpisce soprattutto le persone comuni.

• Negli Stati Uniti l'FBI ha ricevuto nel 2025 più di un milione di denunce di crimini via internet, con perdite dichiarate per 20,9 miliardi di dollari, il 26% in più dell'anno prima. La voce più pesante sono le truffe sugli investimenti: 8,6 miliardi. [3]
• Nel rapporto Verizon 2026 sulle violazioni di dati, il 62% degli incidenti coinvolge l'elemento umano: un clic, un errore, una persona convinta a collaborare. [4]
• In Italia la Polizia Postale ha trattato nel 2025 oltre 27.000 casi di criminalità economico-finanziaria online, con più di 269 milioni di euro sottratti. [5]

E sono solo i casi denunciati. Molte vittime non parlano per vergogna, come spieghiamo in Perché ci cascano anche i furbi.

Come funziona un attacco, in quattro fasi

Quasi ogni attacco, dalla truffa al telefono all'intrusione in una multinazionale, segue lo stesso percorso. Lo descriviamo per riconoscerlo, non per ripeterlo.

1. Raccolta di informazioni. L'attaccante studia il bersaglio: profili social, organigramma, fornitori, abitudini. Più sa, più sembrerà "uno di noi".
2. Il pretesto. Costruisce un personaggio credibile: il direttore in viaggio, il tecnico della banca, il carabiniere, il figlio con il telefono rotto, l'innamorato lontano.
3. Il rapporto. Crea fiducia e quasi sempre una pressione: fretta, segretezza, paura, lusinga.
4. Lo sfruttamento. Ottiene l'azione: il bonifico, il codice ricevuto per SMS, la password, la porta aperta.

Christopher Hadnagy, che da vent'anni simula attacchi su commissione delle aziende, nota che la parte più lunga è la prima: un buon pretesto si costruisce sui dettagli veri. [6] Per questo la miglior difesa comincia prima dell'attacco, riducendo ciò che di noi si trova in giro.

Le leve nel cervello

Gli attacchi funzionano perché usano scorciatoie mentali che, nella vita normale, ci servono. Sono le stesse del marketing. Cambia solo chi le usa e per cosa.

Sotto tutte c'è una regola ancora più profonda. Lo psicologo Timothy Levine l'ha chiamata default della verità: partiamo dal presupposto che chi ci parla dica il vero, e cambiamo idea solo davanti a un segnale forte. [7] È una strategia efficiente, perché la maggior parte delle persone mente poco. Ma gli attaccanti vivono proprio nell'eccezione. E quando proviamo a capire se qualcuno mente, ci azzecchiamo nel 54% dei casi, poco più che lanciando una moneta. [8]

Tutto questo è approfondito in Le leve psicologiche dell'ingegneria sociale.

La mappa della sezione

Gli attacchi digitali

• Phishing: l'email che sembra vera
• Smishing e vishing: l'SMS del corriere e la telefonata della "banca"
• La frode del CEO: quando il capo chiede un bonifico urgente
• Deepfake e voce clonata: il volto e la voce non bastano più
• Scambio di SIM e notifiche a raffica: come aggirano l'autenticazione a due fattori

Le truffe alle persone

• La truffa del "Ciao mamma"
• Le truffe agli anziani: finto carabiniere, finto incidente, finto tecnico
• Le truffe sentimentali: quando l'amore è il cavallo di Troia
• Pig butchering e trading truffa: l'investimento che cresce solo sullo schermo

Le aziende

• Attacchi all'help desk: una telefonata, e cade un casinò
• Ingegneria sociale fisica: entrare con un giubbotto e un sorriso
• Gli attacchi che hanno fatto storia

Psicologia e difesa

• Le leve psicologiche
• Perché ci cascano anche i furbi
• Il protocollo anti-truffa: le regole per famiglie e piccole aziende
• Cosa fare se ci sei cascato: i primi 60 minuti

Tre miti da smontare

"Ci cascano solo gli ingenui." 🔴 Mito. Il caso Crosetto, il caso Arup (25 milioni di dollari persi da un impiegato che si era insospettito ed è stato convinto da una videochiamata con colleghi falsi) e decine di altri mostrano il contrario. Le leve colpiscono il cervello di tutti, e chi si crede immune spesso abbassa la guardia. [9]

"Basta un corso una volta l'anno." 🔴 Mito, nella forma in cui viene venduto. Uno studio dell'Università della California a San Diego su 19.500 dipendenti ha trovato che chi aveva appena fatto la formazione annuale non cliccava meno degli altri sulle email di phishing simulate. [10] La difesa vera sta nelle procedure, non solo nella testa delle persone.

"Me ne accorgerei, se fosse un falso." 🔴 Mito. Oggi una voce si clona con pochi secondi di audio. Non si riconosce il falso ascoltando meglio: lo si scopre verificando su un altro canale.

Le cinque regole d'oro

1. La fretta è il segnale. L'urgenza non serve a convincerti: serve a non farti pensare. Più qualcuno ti mette fretta, più hai diritto alla lentezza.
2. Verifica su un altro canale, scelto da te. Riattacca e richiama il numero che hai già in rubrica, non quello del messaggio.
3. Una parola d'ordine di famiglia, decisa a voce e mai scritta, per le richieste di soldi "urgenti".
4. Nessuno di serio ti chiede codici, password o segreti. Né la banca, né la polizia, né il tecnico.
5. Se chi ti chiede qualcosa non sopporterebbe che tu lo verificassi, non è una richiesta: è un attacco.

Trovi la versione completa, con il perché di ogni regola, nel protocollo anti-truffa.

Mettiti alla prova

Ricevi questo SMS: "Gentile cliente, è stato rilevato un accesso anomalo al suo conto da un nuovo dispositivo. Se non è stato lei, chiami subito il numero dell'ufficio sicurezza riportato qui sotto per bloccare l'operazione."

Attacco o avviso vero?

Soluzione. Va trattato come un attacco finché non è verificato. Ci sono tre leve in due righe: autorità (la banca), paura (accesso anomalo) e urgenza (subito). E c'è il segnale più importante: ti chiede di usare il canale che ti fornisce lui. La mossa giusta è ignorare quel numero e chiamare quello sul retro della tua carta o nell'app ufficiale. Se l'avviso era vero, la banca lo saprà.

Per approfondire

• Le leve psicologiche dell'ingegneria sociale
• Il protocollo anti-truffa
• Gli attacchi che hanno fatto storia
• Bias di autorità, Riprova sociale, Effetto scarsità
• Schede libro: Social Engineering di Christopher Hadnagy, The Confidence Game di Maria Konnikova, Duped di Timothy Levine
• Tutti i bias cognitivi

Fonti

1. "Non solo Moratti, Esselunga denuncia la truffa del finto Crosetto", Calcio e Finanza, 11 febbraio 2025. https://www.calcioefinanza.it/2025/02/11/vittime-truffa-crosetto-moratti-esselunga/
2. "Italian police freeze cash from AI-voice scam that targeted business leaders", Reuters, ripreso da Cyprus Mail, 12 febbraio 2025. https://cyprus-mail.com/2025/02/12/italian-police-freeze-cash-from-ai-voice-scam-that-targeted-business-leaders
3. FBI Internet Crime Complaint Center, 2025 Internet Crime Report; sintesi in "Cybercrime losses break the $20 billion mark", Help Net Security, aprile 2026. https://www.helpnetsecurity.com/?p=365202
4. Verizon, 2026 Data Breach Investigations Report; sintesi in "62% of Breaches Involved the Human Element", Abnormal AI. https://abnormal.ai/blog/blog-verizon-2026-dbir-key-takeaways
5. "Report annuale Polizia Postale 2025", Cybersecurity360. https://www.cybersecurity360.it/news/report-annuale-polizia-postale-2025-la-normalita-dellattacco-il-dovere-della-resilienza/
6. C. Hadnagy, Social Engineering: The Science of Human Hacking, 2ª ed., Wiley, 2018, cap. 1.
7. T. R. Levine, Duped: Truth-Default Theory and the Social Science of Lying and Deception, University of Alabama Press, 2020.
8. C. F. Bond Jr., B. M. DePaulo, "Accuracy of deception judgments", Personality and Social Psychology Review 10(3), 2006.
9. "British engineering giant Arup revealed as $25 million deepfake scam victim", CNN Business, 16 maggio 2024.
10. G. Ho, A. Mirian et al., "Understanding the Efficacy of Phishing Training in Practice", IEEE Symposium on Security and Privacy, 2025. https://today.ucsd.edu/story/cybersecurity-training-programs-dont-prevent-employees-from-falling-for-phishing-scams