Esempi di ingegneria sociale: 15 attacchi e come contrastarli

L'ingegneria sociale è, secondo le parole della US Cybersecurity and Infrastructure Security Agency (CISA), un attacco in cui "Un aggressore utilizza l'interazione umana (abilità sociali) per ottenere o compromettere informazioni su un'organizzazione o sui suoi sistemi informatici.". Funziona perché prende di mira le persone, non il software. Il Data Breach Investigations Report 2026 di Verizon ha rilevato che L'elemento umano era presente nel 62% delle violazioni, in aumento rispetto al 60% dell'anno precedente.

Ecco 15 esempi di ingegneria sociale in 3 set da 5. Ognuno è accompagnato da un segnale di allarme da cercare e da un'azione da intraprendere. Il set 1 copre la famiglia del phishing, il set 2 copre il pretexting e l'impersonificazione e il set 3 copre gli attacchi fisici e l'adescamento. Ogni set termina con un La nostra scelta, l'esempio che addestreremmo per primo, con una motivazione di una sola riga.

Tutte le aziende, le persone e i messaggi citati negli esempi seguenti sono inventati.

Set 1: La famiglia del phishing

1. Phishing via e-mail. Un messaggio che sembra provenire da una banca, un fornitore o dal tuo team IT ti chiede di cliccare su un link e accedere. La CISA afferma che gli attacchi di phishing utilizzano e-mail o siti web dannosi per sollecitare informazioni personali fingendosi un'organizzazione affidabile. Bandiera rossa: un indirizzo del mittente che imita un'azienda reale, un saluto generico come "Gentile Cliente" o un link il cui indirizzo non corrisponde al testo quando ci si passa sopra con il mouse. Stop: Non cliccare. Accedi al sito digitando direttamente l'indirizzo oppure segnala il messaggio.
2. Spear phishing. Lo stesso trucco, mirato a una sola persona. Il mittente usa il tuo nome, il nome del tuo responsabile e un progetto a cui lavori realmente, informazioni che possono essere ricostruite a partire da dati pubblici. Bandiera rossa: una richiesta stranamente specifica ma al contempo insolita, come ad esempio "inviami il contratto Atlas oggi stesso". Stop: Chiedi al mittente di contattarti tramite un canale diverso, ad esempio chiamando un numero che già conosci.
3. smishing. Phishing tramite SMS. La CISA descrive SMiShing come ingegneria sociale che sfrutta i messaggi SMS, con link, numeri o indirizzi che aprono un browser o effettuano una chiamata quando vengono toccati. Bandiera rossa: Un messaggio di testo con la scritta "pacco in sospeso" o "account bloccato" e un link breve. Stop: disinstallala e apri tu stesso l'app o il sito originale.
4. Vishing. Phishing tramite voce. Lo afferma la CISA. Vishing utilizza chiamate vocali e l'ID del chiamante può essere falsificato, quindi una chiamata che mostra un nome familiare non prova nulla. Bandiera rossa: Un interlocutore che fa pressione e chiede un codice o una password. Stop: Riaggancia e richiama il numero stampato sull'estratto conto o sul sito web dell'azienda.
5. Phishing tramite codice QR. Un codice QR nasconde l'indirizzo a cui conduce. L'FBI ha messo in guardia pacchi non richiesti contenenti un codice QR che richiede al destinatario informazioni personali e finanziarie o installa software per il furto di dati. Bandiera rossa: Un codice inaspettato, senza informazioni sul mittente. Stop: Non scansionare codici QR provenienti da fonti sconosciute.

La nostra scelta: esempio 4, vishing. Verizon ha scoperto che nelle simulazioni di phishing, il tasso di clic mediano in I vettori incentrati sui dispositivi mobili, come la messaggistica vocale e testuale, sono stati superiori del 40%. rispetto alla posta elettronica. Le persone hanno imparato a diffidare delle e-mail più rapidamente di quanto abbiano imparato a diffidare di una telefonata.

Set 2: Pretesti e impersonificazione

Verizon definisce il pretexting come una tattica dell'attaccante in cui Un rapporto di fiducia si costruisce attraverso scenari inventati Indurre l'utente a compiere un'azione che comprometta l'organizzazione, spesso tramite voce, ma anche via e-mail o SMS. Nel rapporto del 2026 ha rappresentato il 6% di tutte le violazioni, contro il 16% del phishing.

6. Frode ai danni di amministratori delegati e violazione della sicurezza delle email aziendali. Il Centro per la segnalazione dei crimini informatici (IC3) dell'FBI definisce compromissione della posta elettronica aziendale (BEC) Si tratta di una truffa che prende di mira le aziende e opera attraverso account di posta elettronica e altre comunicazioni compromesse per causare trasferimenti di fondi non autorizzati. Nel 2025, l'IC3 ha registrato 24,768 denunce di BEC (Business Email Compromise) e circa 3.05 miliardi di dollari di perdite segnalate. Bandiera rossa: Una richiesta urgente da parte di un dirigente di alto livello per pagare o acquistare carte regalo, con la clausola "non dirlo a nessuno". Stop: Confermare qualsiasi richiesta di pagamento telefonicamente o di persona.
7. Assistenza IT fasulla. Qualcuno afferma di essere dell'assistenza clienti e ha bisogno della tua password o dell'accesso remoto "per risolvere un problema". IC3 ricevuto 47,794 reclami relativi all'assistenza tecnica nel 2025con perdite dichiarate superiori a 2.1 miliardi di dollari. Bandiera rossa: Il reparto IT ti contatta per primo, chiedendoti una password o un codice monouso. Stop: I veri team IT non hanno bisogno della tua password. Riaggancia e apri un ticket seguendo la procedura standard.
8. Modifica fattura fornitore. Un'e-mail, apparentemente da un fornitore abituale, afferma che i suoi dati bancari sono cambiati. La definizione di BEC dell'IC3 comprende le truffe che prendono di mira aziende che lavorano con i fornitori ed effettuano regolarmente bonifici bancari. Bandiera rossa: nuove coordinate bancarie con una scadenza per il pagamento. Stop: Prima di apportare qualsiasi modifica, contatta il fornitore al numero di telefono già presente nei tuoi archivi.
9. Falso reclutatore. Un "reclutatore" si avvicina a un membro dello staff con un ruolo che sembra una promozione, poi chiede documenti personali o un compito di prova che richiede un download. IC3 ha ricevuto 24,688 denunce di truffe sul lavoro nel 2025. Bandiera rossa: un'offerta per la quale non avevi fatto domanda, con procedure rapide. Stop: Verificate le informazioni del selezionatore tramite la pagina "Lavora con noi" del sito web aziendale e non installate mai software per un colloquio di lavoro.
10. Voce deepfake. Una voce clonata che sembra quella del tuo regista chiede un pagamento urgente. IC3 dice La clonazione vocale può essere utilizzata per richiedere pagamenti tramite bonifico bancario. e che le aziende hanno segnalato perdite superiori a 30 milioni di dollari nel 2025 a causa di truffe BEC che coinvolgono l'intelligenza artificiale. Bandiera rossa: Un messaggio vocale o una chiamata che ti spinge ad agire prima ancora di poter verificare. Stop: Concordate una parola in codice o una regola di richiamata per i pagamenti, quindi una voce convincente non è sufficiente.

La nostra scelta: esempio 6, frode del CEO e BEC. Si tratta dell'esempio più costoso tra quelli citati, superando persino le truffe di assistenza tecnica secondo i dati IC3 del 2025, e l'intervento per fermarlo è economico: basta una telefonata a un numero conosciuto prima che venga effettuato qualsiasi trasferimento di denaro.

Set 3: Attacchi fisici e esche

Questi attacchi non richiedono una tastiera. Sono importanti perché uno sconosciuto all'interno dell'edificio può raggiungere ciò che un firewall protegge.

11. Inseguimento. Qualcuno ti segue attraverso una porta blindata "perché ha le mani occupate". Bandiera rossa: Una persona senza distintivo, rilassata e amichevole. Stop: Chiedi loro gentilmente di timbrare il badge da soli, oppure accompagnali alla reception.
12. Esca con chiavette USB. Una chiavetta USB con la dicitura "Revisione salariale 2027" viene lasciata nel parcheggio o nella hall. Bandiera rossa: qualsiasi unità rimovibile che non hai acquistato. Stop: Non collegare mai un dispositivo trovato per caso. Consegnalo al reparto IT, che potrà ispezionarlo in sicurezza.
13. Surf sulle spalle. Qualcuno legge il tuo schermo o ti osserva mentre digiti un PIN su un treno o a una postazione di lavoro condivisa. Bandiera rossa: una persona che sta troppo vicina o che inclina il telefono verso lo schermo. Stop: Utilizza un filtro per la privacy, blocca lo schermo quando ti allontani e siediti con le spalle al muro.
14. Rovistare nei cassonetti. Email stampate, organigrammi e verbali di riunione gettati in un normale cestino forniscono a un malintenzionato nomi, numeri di telefono e titoli di progetto per la prossima chiamata. Bandiera rossa: fogli di carta con nomi o numeri in un cestino aperto. Stop: Utilizza un distruggidocumenti o un cestino chiuso a chiave e mantieni la scrivania sempre in ordine.
15. Consegna falsa. Un corriere con una giacca con il logo aziendale chiede di poter entrare oltre la reception, oppure di lasciare un pacco nella sala server. Bandiera rossa: una consegna che nessuno ha ordinato, oppure una consegna che non può essere recapitata alla reception. Stop: Ritirate il pacco alla reception e, per i pacchi inattesi, verificate la presenza della persona indicata sull'etichetta.

La nostra scelta: esempio 11, il tailgating. Non richiede alcuna abilità e non costa nulla, e sono le buone maniere a farla funzionare. Fornite al personale un copione di cortesia, in modo che contestare qualcuno risulti normale e non maleducato.

Come fermare tutti e 15

I 15 esempi hanno una cosa in comune: ti spingono ad agire in fretta e da solo. Tre abitudini, però, infrangono questa regola.

1. Verificare tramite un secondo canale. Se una richiesta riguarda denaro, una password, un codice o l'accesso, confermala tramite un altro canale, utilizzando i dettagli di contatto che già possiedi. La CISA consiglia che se non sei sicuro che una richiesta sia reale, verificalo contattando direttamente l'aziendae non con le informazioni di contatto fornite nel messaggio.
2. Segnalalo. Il consiglio della CISA per i sospetti di phishing è di segnala il messaggio e poi cancellalo. Rendi la segnalazione un'abitudine da fare con un solo clic e senza attribuire colpe, in modo che la prima persona che nota qualcosa avvisi tutti gli altri.
3. Rallenta. Gli elenchi CISA linguaggio urgente o emotivamente accattivante Tra i segnali più comuni di phishing, la CISA sottolinea anche che una grammatica impeccabile non è più garanzia di sicurezza, dato che alcune email ora presentano un'ortografia perfetta grazie all'intelligenza artificiale. Quando un messaggio richiede rapidità, è il segnale di fermarsi.

L'allenamento è il modo in cui le abitudini si consolidano. Con l'elemento umano presente nel 62% delle violazioni, per Rapporto Verizon del 2026, una squadra che si è esercitata a individuare questi 15 esempi è una parte reale della tua difesa. Per un programma più ampio, consulta la nostra guida a formazione sulla sensibilizzazione alla sicurezza informatica.

Modi per ospitare una sessione di ingegneria sociale con AhaSlides

Svolgete i 15 esempi dal vivo, in una stanza o durante una videochiamata, mostrando le risposte sullo schermo man mano che i partecipanti rispondono.

1. Scegli la risposta: "Vero o una truffa?" Mostra un messaggio inventato per ogni esempio e chiedi se è autentico. Svela l'elemento sospetto e discuti.
2. Nuvola di parole: "La truffa più comune". La parola più grande indica cosa esercitarsi per primo.
3. Scala di valutazione: "Quanto sei sicuro di riuscire a individuare un falso?" Richiedi una valutazione da 1 a 5 prima e dopo la sessione e confronta le medie.
4. Domanda aperta: "Un messaggio sospetto che ho ricevuto". Raccogli esempi reali, omettendo i nomi, e usa il migliore come scenario per il turno successivo.

Il modello del corso su phishing e ingegneria sociale offre diapositive già pronte da adattare, mentre il modello di sensibilizzazione sulle minacce interne è un ottimo approfondimento per tutto il team.

Domande frequenti

Quali sono alcuni esempi di ingegneria sociale?

Phishing, pretexting, baiting e tailgating sono le tecniche principali. Questo articolo ne elenca 15, dal phishing e vishing via email al falso supporto IT, al baiting con chiavette USB e alle false consegne.

Qual è la tipologia più comune di ingegneria sociale?

Phishing. Il rapporto di Verizon del 2026 colloca il phishing al 16% di tutte le violazioni, contro il 6% del pretexting, e l'IC3 ha ricevuto 191,561 segnalazioni di phishing e spoofing nel 2025.

Come si previene l'ingegneria sociale?

Verifica le richieste tramite un secondo canale e segnala quelle sospette. Aggiungi brevi sessioni di formazione periodiche, perché gli attacchi cambiano più velocemente di qualsiasi corso singolo.

Che cos'è il pretexting?

Una storia inventata utilizzata per ottenere informazioni o accesso. L'aggressore conquista la fiducia attraverso uno scenario credibile, come una chiamata all'assistenza clienti, per poi chiedere una password, un pagamento o di tenere aperta una porta.

Dove iniziare

Scegliete un esempio e proponetelo alla prossima riunione di team. Se avete tempo solo per un esempio, optate per il vishing, poi chiedete a tutti cosa farebbero alla prossima chiamata inaspettata.