La telefonata all'help desk: come una chiamata gentile ha fermato casinò e supermercati

MGM, Caesars, Marks & Spencer, Co-op, Twitter: gli attaccanti non hanno forzato nulla, hanno chiesto aiuto all'assistenza IT. Perché funziona e come si chiude la porta.

Solidasocial-engineeringtruffeingannofiducia

Settembre 2023, Las Vegas. Le slot machine si spengono, le chiavi elettroniche delle camere smettono di funzionare, alla reception si torna alla carta e alla penna. MGM Resorts, uno dei più grandi gruppi di casinò al mondo, è in ginocchio. La cronaca ricostruisce poi l'inizio della storia, e non ha niente di cinematografico. Secondo le ricostruzioni giornalistiche, qualcuno ha telefonato all'assistenza informatica interna fingendosi un dipendente. Aveva un nome vero, un ruolo vero, qualche dettaglio preso da LinkedIn. Ha chiesto di reimpostare l'accesso. L'operatore lo ha aiutato.

Il conto, scritto da MGM nei documenti per la SEC: circa 100 milioni di dollari di impatto. Un mese prima, lo stesso gruppo criminale aveva colpito Caesars passando da un fornitore esterno di assistenza IT.

Come può una telefonata educata valere 100 milioni? E perché la persona più gentile dell'azienda è diventata la porta d'ingresso?

In breve

Molti degli attacchi più costosi degli ultimi anni non sono partiti da un virus ma da una chiamata all'help desk, l'ufficio che per mestiere sblocca account e reimposta password. Chi chiama finge di essere un collega in difficoltà e sfrutta la voglia di aiutare, la fretta e il rispetto per i ruoli. La difesa non è "stare più attenti": è una procedura di verifica che l'operatore può applicare senza sentirsi scortese.

🟢 Solida: il meccanismo è documentato da documenti ufficiali (SEC, NY DFS, CISA, HHS) e da più casi indipendenti.

Come funziona l'attacco

Visto dal lato dell'operatore, l'attacco sembra una giornata normale.

Arriva una chiamata. Chi parla si presenta con nome, reparto e, a volte, numero di matricola o ultime cifre di un documento. Le informazioni sono giuste: vengono da profili professionali, siti aziendali o vecchie fughe di dati.
C'è un problema credibile. "Ho cambiato telefono e non ricevo più il codice", "La VPN non mi fa entrare", "Sono in trasferta e domani ho la presentazione". Problemi che l'help desk sente ogni giorno.
C'è una pressione. Il collega è un dirigente, è di fretta, è un po' irritato. A volte dice di non poter ricevere una richiamata perché "è in riunione".
La richiesta è piccola e di routine. Reimpostare una password, registrare un nuovo telefono per l'autenticazione a più fattori (MFA). Due minuti di lavoro.

Da quel momento chi ha chiamato entra con un'identità valida. Furto di dati, ransomware ed estorsione vengono dopo.

Esiste anche la versione rovesciata: l'attaccante finge di essere l'help desk e chiama i dipendenti, come a Twitter nel 2020 e a Retool nel 2023.

Le leve nel cervello

Voglia di aiutare e reciprocità. L'help desk esiste per risolvere problemi. Rifiutare aiuto a un collega in difficoltà va contro il ruolo e contro un istinto sociale profondo. Christopher Hadnagy, che fa questi test per mestiere, racconta di un addetto che, dopo qualche minuto di chiacchiere cordiali, sussurra "non dovrei farlo, ma..." e aggira da solo la regola. Vedi Reciprocità.
Autorità. "Sono il vicepresidente" cambia il tono della conversazione. Contraddire un dirigente costa, verificare la sua identità sembra un'offesa. Vedi Bias di autorità.
Urgenza e sovraccarico. Code di chiamate e obiettivi sui tempi di risposta premiano chi chiude in fretta. Nessuno viene premiato per aver fatto aspettare un dirigente. Il sistema veloce del cervello prende il comando, ed è quello che serve all'attaccante.
Default della verità. Lo psicologo Timothy Levine ha mostrato che partiamo dal presupposto che chi ci parla dica il vero, e cambiamo idea solo davanti a un segnale forte. In media riconosciamo le bugie poco meglio del caso (54% in una meta-analisi di Bond e DePaulo su oltre 200 studi). Una voce calma con i dati giusti non accende nessun segnale.
Rappresentatività. "Ho perso il telefono" è il caso tipico di ogni help desk, quindi sembra vero. Vedi Euristica della rappresentatività.

Casi reali

MGM Resorts, settembre 2023. Secondo i resoconti di stampa, un attaccante ha chiamato l'help desk fingendosi un dipendente, dopo aver studiato informazioni pubbliche su LinkedIn, e ha ottenuto il reset di password e MFA. Leva: credibilità più routine. Costo: nel documento 8-K del 5 ottobre 2023 MGM stima un impatto di circa 100 milioni di dollari sull'Adjusted Property EBITDAR di settembre e meno di 10 milioni di spese una tantum. MGM non ha pagato il riscatto. Fonti: SEC, Insurance Journal.

Caesars Entertainment, agosto-settembre 2023. Nel suo 8-K del 14 settembre 2023 Caesars parla di "un attacco di ingegneria sociale a un fornitore esterno di supporto IT". Gli attaccanti hanno copiato il database del programma fedeltà. Il Wall Street Journal ha riferito un riscatto di 15 milioni di dollari, cifra che Caesars non ha commentato. Fonti: SEC, Insurance Journal.

Twitter, luglio 2020. Il rapporto del New York Department of Financial Services ricostruisce tutto. Gli attaccanti, guidati da un diciassettenne, hanno telefonato ai dipendenti dicendo di chiamare "dall'Help Desk dell'IT" per un problema alla VPN, frequente dopo il passaggio al lavoro da casa. Li hanno mandati su una pagina identica a quella vera, e alcuni hanno approvato la notifica MFA. Risultato: 130 account compromessi (Obama, Musk, Biden tra gli altri), 45 usati per twittare una truffa in bitcoin, circa 118.000 dollari raccolti secondo il rapporto. Per il rapporto, l'attacco non ha richiesto "nessuna delle tecniche sofisticate" tipiche del settore. Il capo, Graham Ivan Clark, è stato condannato a tre anni.

Retool, agosto 2023. Un SMS finto dell'IT su un problema di stipendi, poi una telefonata con una voce che imitava un collega dell'IT, generata con un deepfake secondo l'azienda. Il dipendente ha letto al telefono un codice MFA. Gli attaccanti hanno preso il controllo degli account di 27 clienti cloud, soprattutto nel settore delle criptovalute. Fonte: The Hacker News, che riporta le dichiarazioni di Retool.

Marks & Spencer e Co-op, aprile 2025. Gli attaccanti, collegati dalla stampa al gruppo Scattered Spider, hanno telefonato alle linee di supporto IT fingendosi dirigenti e hanno manipolato le procedure di reset delle password. Il presidente di M&S, Archie Norman, ha parlato ai parlamentari britannici di una "sofisticata impersonificazione" che ha coinvolto una terza parte. Gli ordini online di M&S sono rimasti fermi 46 giorni; il danno stimato è di circa 300 milioni di sterline di utile operativo (circa 350 milioni di euro). Co-op ha dichiarato costi per 206 milioni di sterline e il furto dei dati di tutti i suoi 6,5 milioni di soci. Dopo questi casi il National Cyber Security Centre britannico ha chiesto alle organizzazioni di rivedere le procedure di reset delle password dell'help desk. Fonti: Computing, Reuters, Computer Weekly, Information Security Buzz.

I numeri

Circa 60% delle violazioni di dati coinvolge l'elemento umano: errori, clic, persone convinte a collaborare (Verizon DBIR 2025, su 12.195 violazioni confermate).
30% delle violazioni coinvolge una terza parte, il doppio dell'anno precedente (Verizon DBIR 2025). Caesars, M&S e molti altri casi passano da fornitori esterni, help desk compresi.
64% delle vittime di ransomware non ha pagato; il riscatto mediano pagato è sceso a 115.000 dollari (Verizon DBIR 2025).
27.085 procedimenti per truffe e crimini economico-finanziari online in Italia nel 2025, con oltre 269 milioni di euro sottratti (Polizia Postale, resoconto 2025).

Cosa raccontano le vittime

Reddit non era raggiungibile durante la ricerca: usiamo i resoconti ufficiali come esempi di linguaggio reale.

Nel rapporto su Twitter si legge che alcuni dipendenti avevano segnalato le chiamate strane al team antifrode interno, ma "almeno un dipendente ha creduto alle bugie" degli attaccanti. Bastava uno.
L'allerta del Dipartimento della Salute americano (aprile 2024) descrive chiamate agli help desk degli ospedali da numeri con prefisso locale. Chi chiamava dava le ultime quattro cifre del numero di previdenza sociale e la matricola, diceva di avere il telefono rotto e, se proponevano una richiamata, rispondeva di essere "troppo impegnato".
Dopo l'attacco a Retool, il responsabile dell'ingegneria ha scritto che, per colpa della sincronizzazione dei codici nel cloud, l'autenticazione a più fattori era diventata "silenziosamente" un fattore solo. Il dipendente aveva solo seguito le istruzioni di quello che sembrava un collega.

Il mito da smontare

"I nostri sistemi sono sicuri: abbiamo l'autenticazione a due fattori." 🔴 Mito. Se l'help desk può registrare un nuovo telefono a chiunque sappia raccontare una storia credibile, il secondo fattore diventa la storia. Nel caso MGM l'MFA c'era: è stato reimpostato. La sicurezza di un sistema è pari a quella della sua procedura di recupero.

Segnali d'allarme

🚩 Chi chiama chiede di reimpostare password o MFA e di registrare un nuovo dispositivo nella stessa chiamata.
🚩 Rifiuta la richiamata al numero registrato: "sono in riunione", "il telefono è rotto".
🚩 Usa il proprio ruolo come argomento: "sono il direttore, non ho tempo".
🚩 Conosce dati personali "giusti" ma non sa cose banali del lavoro quotidiano.
🚩 La richiesta arriva fuori orario, da un numero nuovo, o durante un'emergenza vera (un guasto, un trasloco di sistemi).
🚩 Un "tecnico" ti chiama per un problema che non hai segnalato e ti chiede un codice o un accesso.

Come difendersi

Per le aziende:

Mai reset di MFA sulla sola parola. Richiamata al numero già registrato in anagrafica, conferma del responsabile diretto, o verifica di persona o in videochiamata con documento. È quanto suggerisce l'allerta HHS.
Regola dei due per gli account privilegiati. Reset di amministratori e dirigenti solo con l'approvazione di una seconda persona. Il rapporto NY DFS chiede un secondo approvatore per le azioni ad alto rischio.
MFA resistente al phishing. CISA raccomanda chiavi FIDO/WebAuthn, che non si possono "dettare" al telefono. Vedi SIM swap e MFA fatigue.
Togliere la fretta dalle metriche. Se l'operatore è valutato sul tempo medio di chiamata, la verifica gli costa punti. Le chiamate di reset vanno escluse da quelle metriche.
Il diritto di dire no. Scrivere nero su bianco che nessun operatore verrà mai rimproverato per aver fatto aspettare un dirigente. E premiare chi segnala.
Avvisare la persona vera. Ogni reset genera un avviso automatico all'utente e al suo responsabile, su un canale diverso.
Fornitori inclusi. Se l'help desk è esternalizzato, le regole di verifica vanno nel contratto.

Per i dipendenti: l'help desk vero non ti chiede mai un codice. Se succede, riattacca e richiama il numero interno ufficiale.

Se è già successo

Se sei un operatore e temi di aver aiutato la persona sbagliata, segnalalo subito alla sicurezza: ogni minuto conta. Se sei un dipendente e hai dato un codice o una password, avvisa l'IT dal numero ufficiale e cambia le credenziali. Per i passi completi, anche verso la Polizia Postale (commissariatodips.it), leggi Cosa fare se ci sei cascato.

Mettiti alla prova

Venerdì, ore 18:40. Squilla il telefono dell'assistenza IT. "Ciao, sono Marta Rinaldi, responsabile commerciale. Sono in aeroporto, ho perso il telefono e non riesco a entrare nella posta. Tra un'ora ho una call con un cliente importante. Mi registri il nuovo numero per i codici? Ti do la matricola." La matricola è giusta. Quando proponi di chiamare il suo responsabile, sbuffa: "È in ferie, dai, ci metti un attimo".

Attacco o richiesta vera?

Soluzione: non puoi saperlo dalla voce, ed è proprio il punto. Ci sono tre segnali: venerdì sera, fretta, rifiuto della verifica. Potrebbe essere davvero Marta. La procedura giusta è la stessa in entrambi i casi: nessun nuovo numero senza verifica su un canale indipendente (un secondo responsabile, il numero registrato, una videochiamata con documento). Se è Marta, perderà un'ora. Se non lo è, l'azienda avrà evitato il peggio.

Per approfondire

Fonti

MGM Resorts International, Form 8-K, 5 ottobre 2023, SEC. https://www.sec.gov/Archives/edgar/data/789570/000119312523251667/d461062d8k.htm
Caesars Entertainment, Form 8-K, 14 settembre 2023, SEC. https://www.sec.gov/Archives/edgar/data/1590895/000119312523235015/d537840d8k.htm
J. Rebholz, articolo sugli attacchi a MGM e Caesars, Insurance Journal, 31 gennaio 2024. https://www.insurancejournal.com/news/national/2024/01/31/758619.htm
New York State Department of Financial Services, Twitter Investigation Report, ottobre 2020. https://www.dfs.ny.gov/system/files/documents/2026/07/Twitter-Investigation-Report.pdf
"Twitter hackers posed as IT staff, used VPN issues as a lure", TechTarget, 16 ottobre 2020. https://www.techtarget.com/cybersecurity/news/252490684/Twitter-hackers-posed-as-IT-staff-used-VPN-issues-as-a-lure
"Mastermind of Twitter crypto hack gets 3-year prison term", Finance Magnates, 16 marzo 2021. https://www.financemagnates.com/cryptocurrency/news/mastermind-of-twitter-crypto-hack-gets-3-year-prison-term/
"Retool falls victim to SMS-based phishing attack", The Hacker News, 18 settembre 2023. https://thehackernews.com/2023/09/retool-falls-victim-to-sms-based.html
"M&S ends service contract with TCS after £300m cyberattack", Computing, 27 ottobre 2025. https://www.computing.co.uk/news/2025/security/m-s-ends-contract-with-tcs
"M&S Chair details ransomware attack, declines to confirm if payment was made", Infosecurity Magazine, 8 luglio 2025. https://www.infosecurity-magazine.com/news/ms-chairman-declines-ransom-payment/
"After 46-day cyberattack pause, M&S resumes online orders", Reuters (via StreetInsider), 10 giugno 2025. https://www.streetinsider.com/Reuters/After+46-day+cyberattack+pause%2C+M%26S+resumes+online+orders/24916574.html
"Co-op declares cyber attack damage cost it £206m", Computer Weekly, 25 settembre 2025. https://www.computerweekly.com/news/366632018/Co-op-declares-cyber-attack-damage-cost-it-206m
K. Doyle, "Attackers tricked IT help desks at M&S and Co-op", Information Security Buzz, 7 maggio 2025. https://informationsecuritybuzz.com/attackers-tricked-it-help-desks-ms-co/
CISA e FBI, Scattered Spider, advisory AA23-320A (aggiornato luglio 2025). https://cisa.gov/news-events/cybersecurity-advisories/aa23-320a
HHS Health Sector Cybersecurity Coordination Center, Social Engineering Attempts Targeting IT Help Desks, Sector Alert, 3 aprile 2024. https://www.hhs.gov/sites/default/files/help-desk-social-engineering-sector-alert-tlpclear.pdf
Verizon, 2025 Data Breach Investigations Report, comunicato. https://verizon.com/about/news/2025-data-breach-investigations-report ; sintesi Help Net Security, 23 aprile 2025. https://www.helpnetsecurity.com/2025/04/23/verizon-2025-data-breach-investigations-report-dbir/
"Report annuale Polizia Postale 2025", Cybersecurity360. https://www.cybersecurity360.it/news/report-annuale-polizia-postale-2025-la-normalita-dellattacco-il-dovere-della-resilienza/
Levine, T. R. (2020). Duped: Truth-Default Theory and the Social Science of Lying and Deception. University of Alabama Press.
Bond, C. F., & DePaulo, B. M. (2006). Accuracy of deception judgments. Personality and Social Psychology Review, 10(3), 214-234.
Hadnagy, C. (2018). Social Engineering: The Science of Human Hacking (2ª ed.). Wiley, cap. 6.