Social engineering
Le capacità manipolatorie dei truffatoriNella maggior parte dei casi, i cyber attacchi non fanno leva su lacune tecniche, ma si basano sulla manipolazione delle persone. Questa modalità operativa è nota come «social engineering» o «social hacking». In questa guida ne spieghiamo il funzionamento e illustriamo le misure per proteggersi.
Tempo di lettura: 12 minuti Ultimo aggiornamento: agosto 2026 Nuovo contributo
L'essenziale in breve
- «Social engineering» è un termine generico per indicare una serie di metodi di attacco che si basano sulla manipolazione delle persone e che sfruttano in modo mirato determinati comportamenti umani.
- Negli attacchi di social engineering, i malintenzionati si spacciano per una persona affidabile e inventano un pretesto credibile per indurre la vittima a rivelare dati, a installare malware o a effettuare bonifici bancari. A tal fine sfruttano emozioni come la fretta, la paura, il rispetto per l’autorità, la curiosità, l’avidità, la disponibilità o la compassione della vittima.
- Alcuni metodi frequenti del social engineering sono il phishing via e-mail, SMS, telefonate, codici QR o motori di ricerca, i siti web contraffatti e le reti WLAN fraudolente.
- Adottare il principio «non fidarsi è meglio» è il miglior modo di proteggersi. In particolare quando si ricevono richieste inaspettate o urgenti, un po’ di sana diffidenza non fa mai male. Non bisogna mai rivelare dati sensibili, inviare bonifici o installare software quando si è sotto pressione.
- Ogni organizzazione dovrebbe attuare misure di protezione, per sé e per i propri membri, svolgendo a cadenza regolare formazioni di sensibilizzazione interne e simulazioni di attacchi di phishing, definendo processi chiari che prevedano il principio del doppio controllo per i pagamenti e istituendo controlli degli accessi efficaci.
Cos’è il «social engineering»?
Il social engineering si basa sulla manipolazione mirata delle persone e sullo sfruttamento intenzionale di determinati comportamenti umani. Invece di far leva su lacune nella sicurezza dei sistemi, i truffatori puntano su fiducia, pressione, paura, rispetto dell’autorità, curiosità, avidità, disponibilità o compassione per incitare le persone a compiere specifiche azioni. Per esempio le spingono a rivelare dati sensibili, a effettuare pagamenti o a installare malware.
Non sempre si tratta di una manipolazione psicologica attiva. Talvolta i truffatori manipolano la vittima in modo «passivo». Per esempio seguono una persona che dispone dell’autorizzazione di accesso a un edificio per introdursi furtivamente, sfruttando quindi una disattenzione, tratto tipico del comportamento umano.
La maggior parte degli attacchi di social engineering in Svizzera avviene nello spazio digitale. Si registrano però anche attacchi nel mondo reale e attacchi ibridi, che combinano elementi fisici e digitali.
Come funzionano gli attacchi di social engineering?
Gli attacchi di social engineering si articolano solitamente in tre o quattro fasi. Prima di tutto il truffatore raccoglie informazioni sul proprio obiettivo, quali nomi, organigrammi, assenze (anche per ferie) e tecnologie in uso. A questo punto, nella maggior parte dei casi, studia un pretesto credibile su cui si fonderà l’attacco. Nella terza fase entra in contatto con la vittima e, adducendo il pretesto escogitato, cerca di istigarla a svolgere una determinata azione.
Per esempio chiede alla vittima di rivelare informazioni sensibili, di trasferire denaro, di scaricare un malware o di fornirgli l’accesso a un sistema o a un edificio. In base al tipo e all’obiettivo dell’attacco, nella quarta fase il truffatore utilizza le informazioni carpite e/o cancella le proprie tracce.
Gli attacchi di social engineering possono essere categorizzati in metodi digitali, fisici o ibridi. Nel campo della sicurezza IT si parla anche di «vettori di attacco».
Attacchi digitali
Negli attacchi di social engineering digitali i truffatori combinano spesso diversi dei seguenti vettori.
Attacchi ibridi
Gli attacchi di social engineering ibridi combinano tattiche fisiche e digitali. Ecco i vettori di attacco più frequenti:
Attacchi fisici
Gli attacchi di social engineering fisici puntano sulla manipolazione delle persone nel mondo reale, per esempio al fine di ottenere l’accesso a edifici o locali.
Sempre al sicuro con la cyber assicurazione della Mobiliare
La cyber assicurazione della Mobiliare è a fianco delle vittime di cyber truffe. Qui è possibile scoprire di più sulla cyber assicurazione e calcolare senza impegno il premio assicurativo, per poi decidere in tutta tranquillità.
Come riconoscere e prevenire il social engineering?
Il miglior modo di prevenire attacchi di social engineering è adottare il principio «non fidarsi è meglio». Questo vale in particolar modo quando si ricevono richieste impreviste e da evadere con urgenza. Oltre a questa sana diffidenza è possibile implementare misure di sicurezza mirate.
