Il giubbotto catarifrangente apre più porte del grimaldello: l'ingegneria sociale fisica

Una porta tenuta aperta per gentilezza, un finto tecnico con la scala, una chiavetta USB trovata nel parcheggio. Come si entra negli edifici senza forzare nulla, e come si ferma chi ci prova.

Promettentesocial-engineeringingannofiduciainfluenza

Ora di pranzo, davanti all'ingresso di un'azienda americana. Un uomo arriva con uno scatolone pesante pieno di telefoni e pezzi di computer. Ha le mani occupate. Un dipendente gentile gli tiene la porta. Un collega, più severo, protesta: "Dovresti vedere il suo badge prima di farlo entrare!". L'uomo con lo scatolone gli dà ragione, sorride, e indica col fianco la tasca dei pantaloni: "Il badge è lì, prendilo pure". Nessuno vuole infilare la mano nella tasca di uno sconosciuto. "Lascia stare, vai", sbuffa il collega. E l'uomo è dentro.

Non era un ladro. Era Christopher Hadnagy, pagato dall'azienda per testarne la sicurezza, e racconta di aver usato questo trucco più di una volta. Finché un giorno una dipendente ha detto "In questa tasca?" e ha controllato davvero.

Perché quasi tutti si fermano davanti a una tasca, e qualcuno no? E cosa rende una scala o un giubbotto giallo più efficaci di un passe-partout?

In breve

L'ingegneria sociale fisica serve a entrare in un luogo protetto, o a far entrare qualcosa, sfruttando le persone invece delle serrature. Si appoggia a regole sociali fortissime: tenere la porta, non mettere in imbarazzo, rispettare chi sembra al lavoro. La difesa più efficace è togliere alle persone il peso di dover "essere scortesi", con procedure chiare e un percorso facile per segnalare.

🟡 Promettente: i meccanismi psicologici sono solidi e alcuni studi sul campo sono robusti (le chiavette USB), ma gran parte delle prove sulle intrusioni fisiche viene da racconti di professionisti, non da ricerche controllate.

Come funziona l'attacco

Dal lato di chi lavora nell'edificio, l'intrusione quasi mai sembra tale.

Il tailgating (o piggybacking). Qualcuno ti segue attraverso una porta a badge. Ha le mani occupate, parla al telefono, ti ringrazia. Chiudergli la porta in faccia sembra maleducato.
Il personaggio. Tecnico della manutenzione, corriere, addetto alle pulizie, ispettore, "nuovo collega delle risorse umane". Il costume conta: giubbotto catarifrangente, casco, cassetta degli attrezzi, cartellina con fogli.
La conversazione. Chi entra crea in pochi secondi un piccolo legame: una battuta, un complimento, una domanda su qualcosa che ti sta a cuore. Poi cammina con te, e tu lo accompagni dentro.
L'oggetto lasciato. Una chiavetta USB trovata nel parcheggio o in corridoio, magari con un'etichetta curiosa. La vittima non incontra nessuno: è lei a portare l'oggetto dentro e a collegarlo.

Lo scopo può essere fotografare documenti, collegare un dispositivo alla rete, prendere un portatile, lasciare qualcosa. Qui ci fermiamo alla descrizione: ciò che conta è riconoscere la scena.

Le leve nel cervello

Autorità dei simboli. Negli esperimenti di Leonard Bickman (1974) un giovane chiedeva ai passanti piccole cose strane. Vestito da guardia otteneva molta più obbedienza che in abiti normali: in una versione il 92% contro il 42%, secondo la sintesi di Cialdini. Il giubbotto catarifrangente funziona come una divisa leggera. Vedi Bias di autorità.
Un motivo qualsiasi. Nello studio di Ellen Langer e colleghi (1978) alla fotocopiatrice di una biblioteca, la richiesta di passare avanti senza motivo funzionava nel 60% dei casi. Con un motivo vero ("perché ho fretta") nel 94%. Con un motivo vuoto ("perché devo fare delle fotocopie") nel 93%. "Sono qui per la manutenzione" è spesso un motivo vuoto che suona pieno.
Cortesia e imbarazzo. Chiedere un badge, o controllare una tasca, mette a disagio entrambi. La norma sociale di non umiliare un estraneo è più forte di una regola aziendale letta una volta.
Simpatia e somiglianza. Hadnagy racconta di essersi presentato a un dipendente come "Paul delle risorse umane", nuovo, e di avergli chiesto della sua auto appena comprata. Venti minuti di entusiasmo dopo, il dipendente lo aveva accompagnato fino all'ufficio. Vedi Effetto alone e Favoritismo di gruppo.
Riprova sociale. Se gli altri passano senza fare domande, perché dovresti farle tu? Vedi Riprova sociale.
Curiosità e altruismo. Le chiavette USB abbandonate non sfruttano la stupidità, ma due buone qualità: voler restituire un oggetto perso e voler sapere cosa c'è dentro.

Casi reali

Le chiavette dell'Università dell'Illinois (2016). Matthew Tischer, Zakir Durumeric, Elie Bursztein e colleghi hanno lasciato 297 chiavette USB in 30 punti del campus: parcheggi, corridoi, aule. Il 98% è stato raccolto. Nel 45% dei casi qualcuno ha aperto i file, e la prima chiavetta è stata collegata dopo meno di sei minuti. Alla domanda sul perché, il 68% ha risposto che voleva restituirla al proprietario, il 18% per curiosità. Il 68% non aveva preso alcuna precauzione. Le chiavette con le chiavi attaccate sono state aperte più spesso (53%), quelle con un indirizzo di restituzione meno (29%). Lo studio è stato presentato all'IEEE Symposium on Security and Privacy. Leva: altruismo e curiosità. Costo: nessuno, i file erano innocui e servivano a misurare.

I tester arrestati in Iowa (2019). La notte dell'11 settembre 2019 Gary DeMercurio e Justin Wynn, della società Coalfire, stavano testando su contratto la sicurezza dei tribunali per il sistema giudiziario dello Iowa. Al tribunale della contea di Dallas è scattato l'allarme. La polizia li ha identificati e stava per lasciarli andare, poi è arrivato lo sceriffo, secondo cui lo Stato non poteva autorizzare l'accesso a un edificio della contea. Arrestati, quasi 20 ore in cella, accusati di burglary, un reato grave (furto con scasso). Le accuse sono cadute all'inizio del 2020 e nel gennaio 2026 la contea ha chiuso la causa con un accordo da 600.000 dollari. Lezione: anche un test legittimo richiede un'autorizzazione scritta, firmata da chi ha davvero titolo, e il coinvolgimento delle autorità locali.

Il giubbotto giallo di Melbourne (2016). Il giornalista David Allegretti ha raccontato su VICE di essere entrato gratis, con un amico e due giubbotti catarifrangenti, in un cinema, allo zoo di Melbourne e a un concerto dei Coldplay. Il suo riassunto: basta "fingere di essere una persona importante". Leva: autorità visiva. Costo: qualche biglietto, ma il principio è lo stesso di un'intrusione vera.

I finti operai di Londra. La società di sicurezza CovertSwarm descrive un test in cui i suoi tecnici, con giubbotti ad alta visibilità e la storia di una manutenzione ordinaria, hanno raggiunto il piano della direzione, ottenuto badge validi per tutto l'edificio e preso un portatile aziendale. Nessuno li ha fermati o accompagnati. Il caso è raccontato dall'azienda stessa, quindi va letto anche come materiale promozionale.

La lista dei visitatori che ha funzionato. Non tutti i tentativi riescono. Hadnagy racconta un ingresso in cui una guardia lo aveva rimandato al banco accoglienza: lì l'addetto ha cercato il suo nome nella lista dei visitatori attesi, non l'ha trovato e lo ha fermato, nonostante pressioni e richieste d'aiuto. Una regola semplice, applicata senza eccezioni, ha retto. Il team è poi rientrato da un'altra porta dietro a un gruppo di fumatori.

I numeri

98% delle chiavette abbandonate raccolto, 45% aperto, prima apertura in meno di 6 minuti (Tischer et al., 2016).
92% contro 42% di obbedienza con e senza divisa da guardia in una delle condizioni di Bickman (1974), come riportato da Cialdini.
93% di persone che cedono il posto alla fotocopiatrice davanti a un "perché" senza contenuto (Langer et al., 1978).
Non esistono statistiche pubbliche affidabili sulle intrusioni fisiche nelle aziende italiane: chi le subisce raramente le denuncia o le rende note.

Cosa raccontano le vittime

In un filone del forum Reddit r/ActLikeYouBelong, il commento più votato riassume la "ricetta": casco, giubbotto ad alta visibilità, guanti e una scala grande, perché tutti pensano che tu stia facendo un lavoro importante. Altri raccontano di essere passati in cucine, magazzini e aree riservate con una cassetta degli attrezzi, e di essere stati fermati solo quando sembravano incerti. Sono racconti non verificabili, utili per capire quanto il fenomeno sia percepito come normale.
Il giornalista di VICE descrive la sorpresa più che l'abilità: "Non potevamo credere a quanto fosse facile".
La guida del governo britannico sul tailgating elenca proprio i personaggi più usati: il finto collega al telefono, la persona in difficoltà con uno scatolone pesante, il finto manutentore o corriere con giubbotto, casco o cassetta degli attrezzi.

Il mito da smontare

"Chi entra di nascosto si riconosce: è nervoso, si guarda intorno." 🔴 Mito. Chi entra con successo fa l'opposto: cammina deciso, saluta, chiede aiuto, sembra annoiato dal proprio lavoro. Le persone sono poco abili a riconoscere l'inganno dal comportamento: in media indovinano poco più del caso. I segnali utili non sono nell'aspetto, ma nei fatti: è atteso? Chi lo ha chiamato? Si può verificare?

Segnali d'allarme

🚩 Qualcuno ti segue attraverso una porta a badge senza passare il proprio.
🚩 Un tecnico o corriere che nessuno ha annunciato e che non va prima all'accoglienza.
🚩 Mani sempre occupate proprio davanti alle porte.
🚩 Fretta, nomi di dirigenti usati come lasciapassare ("mi manda il direttore").
🚩 Richieste di accesso "in più": un altro piano, un badge provvisorio, una stanza tecnica.
🚩 Una chiavetta USB, un cavo o un dispositivo trovato in giro o lasciato su una scrivania.
🚩 Fastidio o irritazione quando proponi di verificare.

Come difendersi

Per le persone:

Offri aiuto, non la porta. "Ti accompagno all'accoglienza" è gentile e sicuro insieme. Togli la scelta tra essere maleducato e rischiare.
Verifica i fatti, non l'abito. Chiedi chi lo ha chiamato e controlla con quella persona, usando un numero che trovi tu.
Se non te la senti di fermarlo, segnalalo. La guida britannica lo dice esplicitamente: chi non si sente a suo agio a intervenire usa il canale di segnalazione.
Le chiavette trovate vanno consegnate all'IT, mai collegate, nemmeno "per trovare il proprietario".

Per le aziende:

Lista dei visitatori e accoglienza obbligatoria per tutti, fornitori compresi, con verifica dell'ordine di lavoro.
Accompagnamento nelle aree sensibili e badge provvisori ben riconoscibili, da restituire all'uscita.
Porte che non si possono tenere aperte: tornelli, bussole, allarmi sulle porte lasciate aperte.
Una regola dichiarata da tutta la dirigenza: chiedere un badge non è mai maleducato, anche se lo chiedi al direttore.
Scrivanie pulite e computer bloccati quando ci si allontana.
Disattivare l'esecuzione automatica dei dispositivi USB e limitarne l'uso sui computer aziendali.
Test fisici autorizzati per iscritto, con il coinvolgimento dei proprietari degli edifici e delle forze dell'ordine locali, come insegna il caso Iowa.

Se è già successo

Se hai fatto entrare qualcuno che ora ti sembra sospetto, avvisa subito la sicurezza o l'accoglienza, con descrizione, orario e porta. Non inseguirlo. Se hai collegato una chiavetta trovata, scollega il computer dalla rete e chiama l'IT: prima intervengono, meno danni. Se mancano oggetti o documenti, presenta denuncia. Altri passi in Cosa fare se ci sei cascato.

Mettiti alla prova

Martedì, ore 9:10. Stai entrando in ufficio. Dietro di te arriva un uomo con giubbotto arancione, cartellina e una cassetta degli attrezzi. "Buongiorno! Controllo degli estintori, mi hanno detto terzo piano. Mi tiene la porta? Ho le mani piene." Sul giubbotto c'è il logo di una ditta che non conosci. All'accoglienza non c'è nessuno.

Attacco o richiesta vera?

Soluzione: può essere un tecnico vero, i controlli antincendio esistono. Ma non lo sai, e non è compito tuo indovinarlo. La risposta giusta è la stessa in entrambi i casi: "Certo, l'accompagno da chi gestisce la manutenzione". Un tecnico vero ha un ordine di lavoro e qualcuno che lo aspetta; per lui sono due minuti. Chi non ha nessuno che lo aspetta, di solito trova un motivo per andarsene.

Per approfondire

Fonti

Tischer, M., Durumeric, Z., Foster, S., Duan, S., Mori, A., Bursztein, E., & Bailey, M. (2016). Users Really Do Plug in USB Drives They Find. IEEE Symposium on Security and Privacy. https://zakird.com/papers/usb.pdf
Bickman, L. (1974). The social power of a uniform. Journal of Applied Social Psychology, 4(1), 47-61. Dati riportati in Cialdini, R. B. (2021), Influence, New and Expanded, Harper Business, cap. 5.
Langer, E., Blank, A., & Chanowitz, B. (1978). The mindlessness of ostensibly thoughtful action: The role of "placebic" information in interpersonal interaction. Journal of Personality and Social Psychology, 36(6), 635-642. Dati riportati in Cialdini (2021), cap. 1.
Hadnagy, C. (2018). Social Engineering: The Science of Human Hacking (2ª ed.). Wiley, capp. 2 e 6.
"Cybersecurity testers reach $600,000 settlement after wrongful arrest", KCRG, 30 gennaio 2026. https://www.kcrg.com/2026/01/30/cybersecurity-testers-reach-600000-settlement-after-wrongful-arrest
"Case dropped against Coalfire pen testers accused of burglary", Infosecurity Magazine, 24 febbraio 2020. https://infosecurity-magazine.com:443/news/coalfire-pen-testers-not-burglars
"Dark Reading Confidential: pen test arrests, five years later", Dark Reading. https://www.darkreading.com/vulnerabilities-threats/dark-reading-confidential-pen-test-arrests-five-years-later
"Journalist tells a story of how a hi-vis vest got him to places for free", Bird in Flight (da VICE), 29 dicembre 2016. https://birdinflight.com/en/news/industry/20161229-hi-vis-vest-vice.html
CovertSwarm, "Physical penetration testing: hi-vis jackets, London", case study. https://www.covertswarm.com/case-studies/physical-penetration-testing-hi-vis-jackets-london
UK Government Security, Tailgating, scheda di sensibilizzazione, aprile 2024. https://www.security.gov.uk/wp-content/uploads/2024/04/tailgating.pdf
Reddit, r/ActLikeYouBelong, "Confidence is key", marzo 2021 (consultato tramite mirror). https://www.reddit.com/r/ActLikeYouBelong/comments/lzohae/confidence_is_key/
Bond, C. F., & DePaulo, B. M. (2006). Accuracy of deception judgments. Personality and Social Psychology Review, 10(3), 214-234.