La tua azienda ha appena ricevuto una mail dal CEO che chiede un bonifico urgente. Il mittente è corretto, lo stile è identico. Solo che non è il CEO. È un attacco di social engineering, e ti costa 50.000 euro se qualcuno clicca "invia".
Noi, di Meteora Web, lavoriamo con PMI da quasi un decennio. Abbiamo visto account compromessi, password rubate con una telefonata, fatture pagate a falsi fornitori. Il social engineering non è un problema da IT: è un problema di business. Perché il fatturato si perde quando un dipendente scambia una truffa per una richiesta legittima.
Questa guida pillar ti dà la cassetta degli attrezzi completa: tecniche, difese, strumenti e formazione. Partiamo dal nemico più subdolo: quello che sfrutta la fiducia umana, non un bug del software.
Phishing, Spear Phishing, Whaling e Business Email Compromise
Il phishing è ancora il vettore d'attacco più efficace. Ma non è più la mail piena di errori con il principe nigeriano. Oggi le campagne sono personalizzate, studiate su misura per la vittima.
Spear Phishing: quando l'attaccante ti conosce
Non arriva a caso: il criminale ha raccolto informazioni su di te (ruolo, fornitori, progetti). La mail contiene riferimenti reali, nomi, date. Basta un allegato infetto o un link a una pagina di login falsa. Esempio concreto: a un nostro cliente, agenzia di comunicazione, è arrivata una mail dal "COMUNE DI [...]" con richiesta di preventivo. Il PDF allegato era un malware. L'unica difesa? Formazione + filtro allegati.
Whaling: il grande pesce nel mirino
Whaling è spear phishing contro il vertice aziendale (CEO, CFO). L'attaccante studia il linguaggio, le abitudini, i viaggi. Finge di essere un avvocato, un fornitore fidato. Business Email Compromise (BEC): fattura modificata, cambio IBAN falso. Nel 2023, i danni BEC hanno superato i 50 miliardi di dollari globali (FBI IC3).
Sponsored Protocol
Cosa fare adesso: Implementa una regola di verifica per ogni modifica di coordinate bancarie: chiamata di conferma su un numero conosciuto. Mai via mail. E attiva il DMARC, DKIM, SPF per ridurre lo spoofing.
Vishing: truffe telefoniche che aggirano ogni firewall
Il telefono è un cavallo di Troia. Un dipendente risponde a un finto tecnico IT che chiede la password per un "aggiornamento urgente". Oppure riceve una chiamata dalla "banca" che chiede il codice OTP. Vishing (voice phishing) sfrutta l'autorità percepita e l'urgenza.
Noi abbiamo visto un caso: un commercialista ha ricevuto una chiamata dall'"Agenzia delle Entrate" - voce robotica realistica - che richiedeva i dati del cassetto fiscale. La vittima ha fornito le credenziali. Risultato: F24 falsi e un carico da 80.000 euro.
Difese concrete contro il vishing
- Mai condividere password o OTP al telefono, chiunque chiami.
- Stabilire un codice di verifica interno per chiamate critiche.
- Usare un sistema di call routing che blocchi numeri sospetti (CNAM spoofing è comune).
- Addestrare il personale a riagganciare e chiamare il numero ufficiale di ritorno.
Cosa fare adesso: Stampa un poster con la procedura "Se ti chiamano chiedendo dati sensibili: riaggancia e chiama il numero che conosci". Attaccalo vicino a ogni telefono aziendale.
Pretexting e Impersonation: la fiducia costruita su misura
Pretexting è quando l'attaccante crea un copione credibile per ottenere informazioni o accesso fisico. Finge di essere un tecnico delle pulizie, un corriere, un revisore contabile. Impersonation è l'atto di fingersi qualcun altro (spesso online o via mail).
Sponsored Protocol
Nel 2019, un attacco a MGM Resorts ha usato un finto help desk per resettare password. Più vicino a noi: un nostro cliente, uno studio legale, ha ricevuto una mail da un "collega avvocato" con richiesta di urgenza per fascicolo digitale. L'attaccante aveva studiato il nome del professionista su LinkedIn. Il collaboratore ha inviato il documento tramite link falso.
Come difendersi: Implementa un processo di verifica a due fattori per ogni richiesta di accesso a dati sensibili, anche da colleghi apparenti. Usa strumenti di identity verification come badge RFID per l'accesso fisico e single sign-on (SSO) con MFA per l'accesso logico.
Deepfake e AI Fraud: quando il nemico ha il tuo stesso volto
L'AI generativa rende il social engineering un'arma di precisione. Deepfake audio o video: un CEO "chiama" il CFO chiedendo un trasferimento urgente. La voce è clonata con pochi secondi di registrazione pubblica (YouTube, podcast). Già successo: nel 2020, un manager di una banca di Hong Kong ha trasferito 35 milioni di dollari dopo una telefonata con un deepfake del direttore.
Come riconoscerli? Cerca artefatti: movimenti labiali non sincronizzati, sfarfallio nelle transizioni, battiti di ciglia innaturali. Ma la qualità migliora ogni mese. La difesa migliore è procedurale: nessun pagamento o cambio dati autorizzato solo via audio/video. Richiedi sempre un secondo canale di conferma (es. email + chiamata su numero predefinito).
Cosa fare adesso: Definisci una regola aziendale: qualsiasi richiesta finanziaria o di accesso a dati critici deve essere verificata con un codice segreto condiviso in precedenza. Il codice può essere una frase concordata tra i vertici.
Social Media OSINT: cosa gli attaccanti trovano su di te
LinkedIn, Instagram, Facebook, persino il sito aziendale. Gli attaccanti raccolgono informazioni pubbliche per personalizzare l'attacco. Ruolo, organigramma, viaggi, gusti personali, fornitori. Un tuo post con la foto del badge aziendale può rivelare la struttura delle tessere. Un check-in in aeroporto dice "non sono in ufficio".
Sponsored Protocol
Noi, di Meteora Web, consigliamo ai clienti una revisione periodica della presenza social. Non si tratta di censura, ma di consapevolezza: sapere cosa è esposto e ridurre le falle.
Strumenti per l'OSINT difensivo
Usa Google Alerts per il tuo dominio e i nomi dei dirigenti. Servizi come Have I Been Pwned per controllare credenziali esposte. Piattaforme di social listening per monitorare menzioni sospette. Ma la cosa più importante: chiedi ai dipendenti di non pubblicare informazioni sulla gerarchia aziendale, orari di lavoro, foto di badge o schermate di sistemi interni.
Cosa fare adesso: Fai una sessione di OSINT sul tuo stesso team: cerca su Google, LinkedIn, Facebook. Scopri cosa un attaccante può vedere in 10 minuti. Prepara una policy sui social media aziendali.
Phishing Simulation: testare la consapevolezza aziendale
Non basta formare: bisogna misurare. Le simulazioni di phishing (con strumenti come GoPhish, KnowBe4, PhishInsight) inviano mail finte ai dipendenti e tracciano chi clicca. Il tasso di click è un KPI sanitario.
Attenzione: non serve umiliare chi cade. Serve migliorare. Le simulazioni vanno accompagnate da micro-formazione immediata (es. un breve video dopo il click). Noi consigliamo di partire con campagne baseline (senza formare prima) per avere un dato reale, poi introdurre training e verificare il miglioramento.
Cosa fare adesso: Scegli uno strumento di phishing simulation e lancia una campagna mensile. Obiettivo: ridurre il tasso di click sotto il 5% entro sei mesi. Tieni traccia dei recidivi e offri loro formazione aggiuntiva.
Sponsored Protocol
Security Awareness Training: programmi che funzionano davvero
Il training non è un video noioso una volta all'anno. Deve essere continuo, contestuale, interessante. Ecco gli ingredienti di un programma efficace secondo la nostra esperienza:
- Microlearning: pillole di 5 minuti, una al mese, su un tema specifico (phishing, vishing, password, AI deepfake).
- Esempi reali: mostra attacchi veri che hanno colpito aziende simili. Fai vedere la mail, la telefonata, il video deepfake.
- Simulazioni: abbinate al training, con feedback immediato.
- Gamification: leaderboard, premi per chi segnala più phishing veri.
- Report periodico: mostra al management il trend di miglioramento (es. click rate diminuito del 40%).
Cosa fare adesso: Scrivi un piano annuale di awareness: 12 argomenti, 12 simulazioni, 12 riunioni da 15 minuti. Inizia con "Riconoscere un'email di phishing" e "Come proteggere le password".
Multi-Factor Authentication (MFA) come barriera
La MFA non blocca il social engineering, ma ne riduce l'impatto. Se un dipendente cede la password, il secondo fattore (OTP, notifica push, chiave hardware) può fermare l'attacco. Attenzione: il phishing può rubare anche il token OTP se la pagina falsa è un proxy in tempo reale (evilginx). Meglio usare FIDO2/WebAuthn: resistente al phishing.
Noi, di Meteora Web, imponiamo MFA su tutti gli account aziendali: email, CRM, ERP, hosting. Per i clienti, consigliamo di passare a Passkey o YubiKey per gli account critici.
Cosa fare adesso: Attiva MFA su tutti i servizi che lo supportano. Per quelli che non lo supportano, valuta un Single Sign-On (SSO) con MFA obbligatoria.
Sponsored Protocol
Segnalare Phishing: procedure aziendali e tool
Un dipendente che riceve una mail sospetta deve sapere cosa fare. Non cancellarla e dimenticarla. La procedura standard: inoltro a un indirizzo dedicato (es. phishing@azienda.it) con oggetto "Sospetta". L'IT analizza, blocca il mittente, aggiunge firma alle blacklist.
Esistono tool automatici: PhishAlarm (KnowBe4), Proofpoint, o semplici integrazioni con il client email (un pulsante "Segnala phishing"). Noi abbiamo costruito per un cliente un bot Telegram: il dipendente inoltra la mail sospetta a un numero, il bot la analizza con un modello di ML e risponde con un verdetto.
Cosa fare adesso: Definisci la procedura e comunicala a tutti. Metti un banner nella firma email: "Se ricevi una mail sospetta, inoltra a phishing@azienda.it".
In sintesi — cosa fare adesso
- Valuta il rischio: fai un'analisi delle tue vulnerabilità al social engineering. Esamina processi, accessi, informazioni pubbliche.
- Forma tutti: programma annuale di awareness security con microlearning e simulazioni.
- MFA su tutto: attiva autenticazione a due fattori resistente al phishing (FIDO2).
- Procedure di verifica: nessun pagamento o modifica dati senza doppio canale (es. telefono + email).
- Monitora e migliora: KPI come click rate nelle simulazioni, report di segnalazioni, tempo di risposta agli incidenti.
Il social engineering è il rischio più concreto per le PMI. Si sconfigge con tecnologia, procedure e testa delle persone. Noi di Meteora Web aiutiamo le aziende a costruire questa difesa a 360°, dal dominio al fatturato. Se vuoi un check-up gratuito della tua esposizione, contattaci.
