Le leve di ogni truffa: cosa preme l'attaccante nel tuo cervello

Autorità, fretta, riprova sociale, gentilezza, bisogno: le truffe usano le stesse leve del marketing. Conoscerle una per una è il primo modo per vederle arrivare.

Gennaio 2024, Hong Kong. Un impiegato dell'ufficio finanziario della società di ingegneria Arup riceve un'email dalla sede di Londra: serve una transazione riservata. Qualcosa non gli torna e lo pensa chiaramente: potrebbe essere phishing. Poi arriva l'invito a una videochiamata. Sullo schermo ci sono il direttore finanziario e altri colleghi che riconosce. Facce giuste, voci giuste. Il dubbio si scioglie e l'impiegato esegue 15 bonifici per 200 milioni di dollari di Hong Kong, circa 25,6 milioni di dollari americani. Tutte le persone nella chiamata erano ricostruzioni deepfake. [1]

La tecnologia era solo il mezzo. L'attaccante ha premuto, una dopo l'altra, tre leve che esistono da quando esiste la truffa: chi comanda lo chiede, gli altri sono d'accordo, bisogna fare in fretta e in silenzio.

Quali sono queste leve, e perché funzionano anche su chi ha già sentito puzza di bruciato?

In breve

Quasi ogni attacco di ingegneria sociale combina poche leve psicologiche: autorità, riprova sociale, urgenza, gentilezza, bisogno, distrazione, coerenza. Sono le stesse che usa il marketing onesto; cambia l'uso. L'urgenza e l'emozione servono soprattutto a spegnere il pensiero lento, quello che verificherebbe.

🟢 Solida: i singoli meccanismi sono studiati da decenni; la loro mappatura sugli attacchi reali si basa soprattutto su analisi di casi (🟡).

Il copione visto da chi lo subisce

Nel 2011 l'informatico di Cambridge Frank Stajano e Paul Wilson, esperto di truffe per la televisione britannica, hanno analizzato decine di raggiri reali e ne hanno ricavato sette principi. [2] Il punto di partenza: le vittime ci cascano, scrivono, «non perché sono credulone, ma perché sono umane».

Visti dal lato di chi riceve la telefonata o il messaggio, i sette principi suonano così.

1. Distrazione. La tua attenzione è tutta su un premio, una paura, un problema da risolvere. Intanto, ai margini, succede quello che conta: un costo in più, un codice da dettare, un link da aprire.
2. Conformità sociale. Qualcuno con un ruolo (la banca, la polizia, il capo) ti chiede di fare una cosa. Siamo educati a non mettere in dubbio l'autorità. Vedi Bias di autorità.
3. Branco. Anche il più sospettoso abbassa la guardia se gli altri sembrano fare lo stesso: i colleghi in videochiamata, il gruppo di "investitori" che festeggia i guadagni. Vedi Riprova sociale.
4. Disonestà. Ti viene offerta una piccola scorciatoia poco pulita. Da quel momento sei complice, e denunciare costa di più.
5. Gentilezza. Le persone vogliono aiutare. Il "figlio" in difficoltà, lo sconosciuto che chiede una mano, il collega che ha dimenticato il badge.
6. Bisogno e avidità. Chi sa cosa desideri (soldi, amore, salute, lavoro) sa anche cosa offrirti.
7. Tempo. Sotto pressione decidiamo con un'altra strategia, più rapida e meno accurata. L'attaccante crea la fretta apposta. Vedi Effetto scarsità.

Nel 2015 Ana Ferreira, Lynne Coventry e Gabriele Lenzini hanno messo a confronto questa lista con i principi di persuasione di Robert Cialdini e con altri cataloghi usati nella sicurezza, li hanno fusi in un elenco unico e lo hanno applicato a email di phishing reali. Risultato: le leve compaiono quasi sempre in combinazione, non da sole. [3] Il caso Arup ne è un esempio perfetto.

Le leve nel cervello

Il pensiero veloce prende il comando

Daniel Kahneman descrive la mente con due personaggi: un sistema 1 veloce e automatico e un sistema 2 lento e faticoso, quello che controlla e verifica. [4] Quando il sistema 2 è occupato, per esempio a tenere a mente una serie di cifre, il sistema 1 influenza di più le scelte. Una notte insonne o qualche bicchiere hanno lo stesso effetto.

Ora rileggi un copione di truffa: «Il suo conto è sotto attacco, deve spostare i soldi adesso, resti in linea, le detto il codice». È un carico cognitivo costruito a tavolino.

La paura spegne la regia

La neuroscienziata Amy Arnsten, a Yale, ha riassunto anni di studi in una frase netta: anche uno stress acuto lieve, se non controllabile, può causare «una perdita rapida e drammatica» delle capacità della corteccia prefrontale. [5] Sotto stress la regia del cervello passa dal controllo lento e riflessivo della corteccia prefrontale alle risposte rapide ed emotive dell'amigdala. 🟢 Solida per i meccanismi, studiati soprattutto in laboratorio e sugli animali; 🟡 Promettente il passaggio diretto alle truffe reali.

Lo studio sulla psicologia delle truffe preparato nel 2009 per l'Office of Fair Trading britannico da Stephen Lea, Peter Fischer e Kath Evans va nella stessa direzione: rispetto a chi non ci è cascato, le vittime dichiarano di riuscire meno a regolare e resistere alle emozioni suscitate dalle offerte truffaldine. [6]

Il cervello parte dal "vero"

C'è poi una leva che non si vede perché sta sempre accesa. Lo psicologo Timothy Levine la chiama truth-default: di base presumiamo che chi ci parla dica il vero, e lo facciamo senza nemmeno pensarci. Per uscirne serve un innesco: un motivo evidente per mentire, una storia incoerente, un fatto che non torna, l'avvertimento di qualcuno. [7] L'attaccante lavora per non far scattare nessuno di questi inneschi.

La tabella: stessa leva, due usi

I primi sei principi sono quelli di Cialdini nella versione 2021 del suo Influence, che aggiunge l'unità, il senso del "noi". [8] Le ultime due righe vengono da Stajano e Wilson. La differenza tra le due colonne si riconosce con una domanda: chi usa la leva sopporterebbe che tu verificassi? Il medico sì. Il finto direttore no.

Casi reali

Arup, Hong Kong (2024). Autorità più riprova sociale più segretezza. L'impiegato aveva dubitato dell'email; la videochiamata con volti noti ha spento il dubbio. Perdita: circa 25,6 milioni di dollari. Arup ha confermato l'uso di «voci e immagini false»; i suoi sistemi informatici non erano stati violati. [1]

La finta figlia rapita (Stati Uniti). Jennifer DeStefano riceve una chiamata: la voce è quella della figlia quindicenne, poi un uomo chiede un riscatto. Paura e urgenza al massimo. La voce era clonata con l'intelligenza artificiale e la figlia era al sicuro in gita sulla neve. Lo ha raccontato davanti a una commissione del Senato americano. [9]

I falsi avvocati "incaricati dalla Consob" (Italia, 2025). Persone che si presentano come studio legale contattano chi ha perso soldi nel trading online: dicono di essere stati incaricati dalla Consob di recuperarli, usano nomi e loghi di Consob, Agcom e Agcm, e chiedono un compenso o una "tassa" in anticipo. Autorità più bisogno: chi ha già perso vuole disperatamente recuperare. La Consob ha precisato di non avere alcun legame con loro e di non occuparsi di recupero crediti. [10]

I truffatori truffati (Torino, fine 2014). Due fratelli spagnoli che avevano comprato un falso Goya provano a rivenderlo come autentico a un finto sceicco, tramite un intermediario italiano. Ricevono 1,7 milioni di franchi svizzeri: banconote false. Disonestà e avidità: proprio la voglia di fare il colpo li ha resi bersagli perfetti. Lo racconta Maria Konnikova in The Confidence Game. [11]

I numeri

• Circa il 60% delle violazioni di dati analizzate nel Verizon Data Breach Investigations Report 2025 coinvolge l'elemento umano: un clic, un errore, una persona convinta a collaborare. [12]
• 12,5 miliardi di dollari di perdite per frode segnalate alla Federal Trade Commission americana nel 2024, il 25% in più rispetto al 2023. La quota di chi, dopo aver segnalato un tentativo, ha davvero perso soldi è salita dal 27% al 38%. Il primo canale di contatto è l'email, poi telefono e SMS. [13]

Cosa raccontano le vittime

Nei commenti a un avviso della FTC sulle truffe con voce clonata, una nonna racconta di aver ricevuto due chiamate con la voce del nipote: ha detto al chiamante di rivolgersi ai genitori e ha riattaccato. Un'altra racconta che lei e i nipoti hanno concordato una frase in codice: quando la chiede, chi chiama riattacca. [14] Sono testimonianze non verificate, ma mostrano che la paura si disinnesca con una regola decisa prima.

Il mito da smontare

"Ora che conosco le leve, non ci casco più." 🔴 Mito.

Sapere come funziona un trucco non basta a vederlo arrivare. In uno studio su 600 persone, Jingguo Wang, Yuan Li e H. Raghav Rao hanno misurato quanto i partecipanti si sentivano sicuri nel riconoscere email di phishing: la fiducia in sé stessi prediceva male l'accuratezza reale. La familiarità con le aziende citate nelle email aumentava l'eccesso di fiducia; lo sforzo cognitivo lo riduceva. [15] Vedi Eccesso di fiducia e Punto cieco dei bias. La difesa vera non è "stare attenti": sono regole decise prima.

Segnali d'allarme

• 🚩 Un'emozione forte arriva prima della richiesta: paura, euforia, senso di colpa.
• 🚩 Fretta senza una ragione esterna verificabile.
• 🚩 Un'autorità che ti chiede di non verificare o di non parlarne con nessuno.
• 🚩 "Lo stanno già facendo tutti" detto da chi non puoi controllare.
• 🚩 Una sequenza di richieste che cresce: prima un dato, poi un codice, poi i soldi.
• 🚩 Un'offerta che risponde esattamente al tuo bisogno del momento.
• 🚩 Una piccola scorrettezza proposta come "favore".

Come difendersi

• Dai un nome alla leva. Dire "questa è urgenza" rimette in moto il pensiero lento.
• Cambia canale. Riattacca e richiama un numero che hai già tu, non quello del messaggio.
• Compra tempo. Una richiesta vera sopravvive a dieci minuti di attesa. Una truffa di solito no.
• Decidi le regole prima, a mente fredda: le trovi nel protocollo anti-truffa.

Se è già successo, leggi Cosa fare se ci sei cascato.

Mettiti alla prova

Ricevi un SMS: "Gentile cliente, abbiamo bloccato un pagamento sospetto di 1.240 euro. Se non lo riconosci, chiama subito il nostro ufficio antifrode al numero indicato. Senza tua risposta entro 30 minuti l'operazione verrà confermata."

Attacco o richiesta vera? Quali leve riconosci?

Soluzione. Va trattato come un attacco, anche se il mittente sembra quello della tua banca: il nome del mittente si può falsificare. Le leve sono tre: autorità (la banca), paura di perdere soldi (Avversione alla perdita) e tempo (30 minuti). La mossa giusta è ignorare il numero indicato, aprire l'app della banca o chiamare il numero sul retro della carta.

Per approfondire

• Perché ci cascano anche i furbi
• Il protocollo anti-truffa
• Cosa fare se ci sei cascato
• Phishing: l'email che sembra vera
• Deepfake e voce clonata
• Ingegneria sociale: la guida completa
• Bias di autorità, Riprova sociale, Effetto scarsità
• Schede libro: The Confidence Game, Duped, Social Engineering di Hadnagy

Fonti

1. CNN Business, "British engineering giant Arup revealed as $25 million deepfake scam victim", 16 maggio 2024, ripreso da ABC17 News: https://abc17news.com/money/cnn-business-consumer/2024/05/16/british-engineering-giant-arup-revealed-as-25-million-deepfake-scam-victim/
2. Stajano, F., & Wilson, P. (2011). Understanding scam victims: seven principles for systems security. Communications of the ACM, 54(3), 70-75. https://www.cl.cam.ac.uk/~fms27/papers/2011-StajanoWil-scam.pdf
3. Ferreira, A., Coventry, L., & Lenzini, G. (2015). Principles of persuasion in social engineering and their use in phishing. In Human Aspects of Information Security, Privacy, and Trust (LNCS), Springer, 36-47. https://irisc-lab.uni.lu/principles-of-persuasion-in-social-engineering-and-their-use-in-phishing/
4. Kahneman, D. (2012). Pensieri lenti e veloci. Mondadori (cap. 1-3).
5. Arnsten, A. F. T. (2009). Stress signalling pathways that impair prefrontal cortex structure and function. Nature Reviews Neuroscience, 10(6), 410-422. https://pmc.ncbi.nlm.nih.gov/articles/PMC2907136/
6. Lea, S. E. G., Fischer, P., & Evans, K. M. (2009). The psychology of scams: Provoking and committing errors of judgement. Rapporto per l'Office of Fair Trading, University of Exeter. https://ore.exeter.ac.uk/repository/handle/10871/20958 ; sintesi in Schneier on Security, giugno 2009: https://www.schneier.com/blog/archives/2009/06/the_psychology_3.html
7. Levine, T. R. (2020). Duped: Truth-Default Theory and the Social Science of Lying and Deception. University of Alabama Press (proposizione 7).
8. Cialdini, R. B. (2021). Influence, New and Expanded. Harper Business.
9. "A Safe Word Can Protect against AI Impostor Scams", Scientific American: https://www.scientificamerican.com/article/a-safe-word-can-protect-against-ai-impostor-scams/
10. Consob, Comunicazione del 21 febbraio 2025: https://www.consob.it/web/area-pubblica/-/comunicazione-consob-del-2025-02-21
11. Konnikova, M. (2016). The Confidence Game: Why We Fall for It... Every Time. Viking (cap. 1).
12. Verizon, 2025 Data Breach Investigations Report; sintesi ADACOM: https://www.adacom.com/resources/articles/navigating-cyber-threat-trends-key-insights-from-verizon’s-2025-dbir
13. "FTC: Consumers Lost $12.5 Billion to Investment, Other Scammers in 2024", Insurance Journal, 10 marzo 2025: https://www.insurancejournal.com/news/national/2025/03/10/815001.htm
14. FTC Consumer Alert, "Scammers use AI to enhance their family emergency schemes", 20 marzo 2023, e commenti dei lettori: https://consumer.ftc.gov/node/80688
15. Wang, J., Li, Y., & Rao, H. R. (2016). Overconfidence in phishing email detection. Journal of the Association for Information Systems, 17(11). https://aisel.aisnet.org/jais/vol17/iss11/1/