Phishing e ingegneria sociale: riconosci la pressione, poi verifica

Qual è la differenza tra phishing e ingegneria sociale?

L'ingegneria sociale è qualsiasi tentativo di manipolare una persona per indurla a cedere informazioni, denaro o accessi; il phishing ne è la forma più comune, veicolata tramite email o siti web falsi. CISA cita anche la versione vocale, il vishing, e quella tramite messaggi di testo, lo smishing.

Immagina uno studio di architettura fittizio con 30 persone, Calloway Partners. Un martedì, Leah, l'assistente amministrativa, riceve tre comunicazioni. Un'email dall'«amministratore delegato», inviata alle 7.58am: 'Leah, sono in riunione tutto il giorno, devi pagare oggi il fornitore nell'allegato, le coordinate bancarie sono nuove, resta tra noi'. Un messaggio: 'Il tuo pacco è bloccato, paga qui £1.45 per la riconsegna'. E una telefonata da qualcuno che dice di lavorare per il fornitore informatico dello studio e le chiede di leggere ad alta voce un codice a sei cifre che le ha appena inviato 'per sistemare la tua casella email'. Sembrano tre cose diverse. Sono lo stesso inganno.

Quali tattiche usano i messaggi di phishing per mettere sotto pressione chi li riceve?

I messaggi di phishing usano cinque comuni tattiche di pressione, che NCSC elenca come autorità, urgenza, emozione, scarsità e attualità. Riconoscere la tattica è più affidabile che individuare un errore di battitura.

In che modo l'IA ha cambiato il phishing?

L'IA ha reso i messaggi di phishing più curati, quindi ortografia e grammatica corrette non dimostrano più che un messaggio sia autentico. Ora anche le indicazioni della CISA lo affermano esplicitamente. Gli aggressori possono anche scrivere con il tono di un collega, adattare un messaggio al tuo lavoro o imitare una voce familiare durante una chiamata. Questo rende meno utile la vecchia lista di controllo basata su errori ortografici e saluti insoliti, e rende più importante verificare la richiesta stessa. Una richiesta di trasferire denaro, modificare le coordinate bancarie, condividere un codice o aggirare una normale procedura va verificata, per quanto convincente possa sembrare.

Come si verifica un messaggio sospetto, passo dopo passo?

Per verificare un messaggio sospetto, usa un canale indipendente: non utilizzare mai i link, i numeri di telefono o l'indirizzo di risposta che contiene e contatta la persona o l'organizzazione tramite recapiti che sai già essere affidabili.

Come si presenta una risposta debole rispetto a una solida?

Una risposta poco efficace si fida delle apparenze. Leah vede il nome dell'amministratore delegato, risponde per chiedere se il pagamento sia davvero urgente, riceve subito un 'sì, per favore fallo ora' dallo stesso indirizzo falso e paga. Ignora il messaggio ma, volendo essere d'aiuto, legge il codice a chi le telefona, che lo usa per accedere alla sua casella di posta.

Una risposta efficace verifica la richiesta. Leah nota la combinazione di autorità, urgenza e segretezza e chiama il cellulare dell'amministratore delegato usando il numero nell'elenco del personale: lui non ha inviato nulla. Elimina il messaggio sul pacco senza toccare il collegamento. Dice a chi chiama che richiamerà il fornitore informatico, riaggancia e contatta il fornitore al numero riportato nel contratto dell'azienda: non hanno fatto alcuna chiamata. Segnala tutti e tre gli episodi al reparto informatico e inoltra l'email all'indirizzo per le segnalazioni. Non è stato effettuato alcun pagamento e non è stato condiviso alcun codice.

Cosa fare se hai già fatto clic o risposto?

Se hai già fatto clic, risposto o condiviso qualcosa, avvisa subito il tuo referente informatico: la rapidità limita i danni e nessuno dovrebbe essere colpevolizzato per una segnalazione. Da un altro dispositivo, cambia la password di ogni account per cui hai inserito le credenziali e attiva l'autenticazione a più fattori. Se sono coinvolti denaro o dati bancari, chiama subito la tua banca usando il numero sul suo sito o sulla tua carta.

Quali sono gli errori più comuni riguardo al phishing?

L'errore più comune è rispondere al messaggio sospetto per verificarlo, chiedendo così conferma proprio all'autore dell'attacco. Altri errori: fidarsi del nome visualizzato o dell'identificativo del chiamante, basarsi sugli errori di ortografia, fare clic sui link per annullare l'iscrizione, comunicare a voce codici monouso e tacere dopo un errore per imbarazzo.

Dove si colloca questa lezione in Tosheo.ai?

Questa lezione rientra nella categoria Sicurezza informatica e nel corso di sicurezza informatica. In Tosheo.ai l'attività pratica ti presenta una serie di messaggi fittizi, ti chiede di identificare la tattica usata in ciascuno, scrivere il passaggio di verifica e preparare una segnalazione; la griglia di valutazione mostra quale segnale d'allarme ti è sfuggito. È formazione di sensibilizzazione per dipendenti e responsabili, non un corso tecnico sulla sicurezza della posta elettronica.

Fonti e ambito

NCSC, come riconoscere un'email, un messaggio o una chiamata truffaldina (verificato il 19 October 2026) ↗

NCSC, segnalare un'email truffaldina (verificato il 19 October 2026) ↗

CISA, riconoscere e segnalare il phishing (verificato il 19 October 2026) ↗

CISA, evitare gli attacchi di ingegneria sociale e phishing (verificato il 19 October 2026) ↗