L’ingegneria sociale (in inglese social engineering) è l’insieme delle tecniche con cui un truffatore convince una persona a fare qualcosa che la danneggia: aprire un allegato, dare una password, leggere un codice ricevuto per SMS, fare un bonifico. Non serve forzare un computer quando si può ingannare chi lo usa. Così cominciano molti degli attacchi che colpiscono privati e piccole aziende. Qui trovi le tecniche di ingegneria sociale più comuni, con esempi concreti, e le regole per non cascarci.
Gli attacchi di ingegneria sociale fanno leva su reazioni normali, che tutti abbiamo:
- la fretta: “il tuo conto sarà bloccato entro un’ora”;
- l’autorità: il messaggio sembra arrivare dalla banca, dalle Poste, dal capo, dalla polizia;
- la fiducia: scrive un amico o un familiare, o qualcuno che si presenta come tale;
- la paura: un virus sul computer, una multa, un pacco bloccato in dogana;
- l’occasione: un’offerta incredibile, un premio, un guadagno facile.
Chi attacca prepara il terreno: raccoglie informazioni dai social, dal sito dell’azienda, da vecchi furti di dati. Più dettagli veri contiene un messaggio, più sembra credibile.
Le tecniche più diffuse
Phishing via email
Un’email che imita quella di un servizio che usi, con un link a una pagina identica all’originale. Lì ti chiedono password, dati della carta o codici. La versione mirata, lo spear phishing, usa il tuo nome, il tuo ruolo e riferimenti reali al tuo lavoro.
Smishing: gli SMS truffa
Lo stesso schema via SMS: “pacco in giacenza”, “accesso anomalo al conto”, “rimborso in attesa”. I truffatori riescono anche a far comparire il messaggio nella stessa conversazione degli SMS veri della banca, perché falsificano il nome del mittente.
Vishing: la telefonata del finto operatore
Ti chiama un finto operatore della banca o un finto carabiniere: c’è un’operazione sospetta sul tuo conto e devi “mettere al sicuro” i soldi con un bonifico, oppure dettare il codice che ti è appena arrivato. Il numero sul display può sembrare quello vero. Nessuna banca ti chiede mai di spostare denaro per proteggerlo o di comunicare un codice di conferma.
“Ciao mamma, ho cambiato numero”
Un messaggio su WhatsApp da un numero sconosciuto: un figlio con il telefono rotto che deve pagare una cosa urgente. Nel 2023 la Polizia Postale ha messo in guardia contro questa truffa, segnalata da molte denunce. La regola è semplice: chiama il numero che hai già in rubrica prima di fare qualsiasi pagamento.
Il codice “inviato per errore”
Un amico ti scrive che ti ha mandato per sbaglio un codice di sei cifre e ti chiede di girarglielo. In realtà l’account dell’amico è già stato rubato, e quel codice serve a rubare anche il tuo. Era una delle “tre regole” di questo articolo già nel 2017: i messaggi che arrivano da amici vanno verificati, perché il loro account può essere in mano a qualcun altro.
Il finto supporto tecnico
Mentre navighi compare una finestra a tutto schermo: “il tuo computer è infetto, chiama questo numero”. Dall’altra parte qualcuno ti chiede di installare un programma di controllo remoto, poi si fa pagare per una “riparazione” o entra nel tuo home banking. Microsoft, Apple e gli altri produttori non mostrano mai numeri da chiamare in questo modo.
La truffa del CEO e delle fatture
È la versione aziendale. L’amministrazione riceve un’email che sembra del titolare, o di un fornitore abituale, con nuove coordinate bancarie per un pagamento urgente. Spesso la casella del fornitore è stata davvero violata, e il messaggio arriva nel mezzo di una conversazione vera.
Le offerte troppo convenienti
Telefoni a metà prezzo, investimenti che rendono il 20% al mese, case in affitto a cifre fuori mercato. Se un’offerta è incredibile, quasi sempre non è vera. Chi la propone vuole un anticipo, i tuoi documenti o i dati della carta.
Le regole per difendersi
- fermati quando c’è fretta: l’urgenza è il primo segnale. Una richiesta vera regge anche dieci minuti di verifica;
- verifica da un canale diverso: richiama la banca al numero sul retro della carta, il familiare al numero in rubrica, il fornitore al telefono che conosci già;
- non cliccare sui link dei messaggi che parlano di soldi, account o pacchi: apri tu il sito o l’app ufficiale;
- non dare mai codici ricevuti per SMS o app a nessuno, nemmeno a chi dice di chiamare dalla banca;
- non installare programmi su richiesta di uno sconosciuto, soprattutto quelli per il controllo remoto;
- attiva la verifica in due passaggi sugli account, a partire da WhatsApp, email e social;
- in azienda, stabilisci una regola scritta: le coordinate bancarie di un fornitore non si cambiano mai solo per email.
Le altre regole di base, dalle password al backup, sono nei nostri consigli di sicurezza informatica.
Se ci sei cascato
- chiama subito la banca per bloccare carte, bonifici e accessi;
- cambia le password degli account coinvolti da un dispositivo sicuro;
- se hai installato un programma di controllo remoto, disinstallalo e scollega il computer dalla rete;
- fai denuncia alla Polizia Postale e conserva messaggi, email, numeri di telefono e ricevute.
Se le prove devono essere usate in una causa o in un procedimento, è utile conservarle con un metodo che ne garantisca l’integrità. Trovi come lavoriamo nella pagina sul recupero dati forense e le perizie informatiche.
Domande frequenti
Il phishing è una delle tecniche di ingegneria sociale, quella fatta con email o pagine false. L’ingegneria sociale comprende anche telefonate, SMS, messaggi e contatti di persona.
Un antivirus mi protegge da queste truffe?
Solo in parte. Può bloccare un allegato infetto o un sito già segnalato, ma non può impedirti di dettare un codice al telefono o di fare un bonifico.
