Il fattore umano non è l'anello debole: perché la colpa non ferma il phishing

Un approfondimento, non l'attacco del giorno

Nei nostri dossier l'ingegneria sociale torna di continuo: il QR code che ruba la sessione, la finta verifica "non sono un robot" che fa incollare un comando, il tecnico impersonato al telefono. È il momento in cui l'attacco smette di essere tecnico e diventa umano. Vale la pena fermarsi su quel momento, perché è lì che si gioca la parte di sicurezza che nessuna patch copre.

Una minaccia prima, non un dettaglio

L'ENISA, l'agenzia dell'Unione per la cybersicurezza, nel suo Threat Landscape annuale colloca l'ingegneria sociale stabilmente tra le minacce principali in Europa. Non è un contorno: è uno dei modi più frequenti con cui gli attaccanti ottengono il primo accesso, perché aggira le difese perimetrali colpendo la decisione di una persona — cliccare, aprire, autorizzare, richiamare.

Il phishing e le sue varianti funzionano non perché le persone siano stupide, ma perché sono progettati per sfruttare come funzioniamo davvero: fretta, autorità, fiducia, contesto. Un messaggio che sembra venire dal capo, in un momento di carico, con una richiesta plausibile, batte la consapevolezza teorica di chiunque, prima o poi.

Perché la colpa è la reazione sbagliata

La risposta istintiva dopo un clic andato male è cercare il colpevole. È controproducente per una ragione precisa: una cultura della colpa insegna a nascondere gli errori, non a segnalarli. E nella difesa dal phishing la velocità di segnalazione è tutto — un dipendente che avvisa dieci minuti dopo aver cliccato consente di contenere; uno che tace per paura di essere punito regala all'attaccante ore preziose.

1. 01
   Clic o azione

   l'inganno riesce: succede, anche ai preparati
2. 02
   Segnalazione rapida

   possibile solo se non c'è paura della punizione
3. 03
   Contenimento

   reset credenziali, isolamento, analisi — prima che si propaghi
4. 04
   Apprendimento

   si corregge il processo, non si cerca il colpevole

Cosa funziona davvero, secondo il buon senso e le agenzie

Il messaggio che emerge dai materiali di consapevolezza dell'ENISA e dell'ACN è che la sicurezza delle persone si progetta, non si predica. Tre principi pratici valgono più di una slide.

Primo: rendere l'inganno inefficace, non solo riconoscibile. L'autenticazione a più fattori resistente al phishing fa sì che una credenziale rubata non basti; è una difesa che non dipende dal fatto che la persona non sbagli mai. Secondo: procedure verificabili per le richieste sensibili — un bonifico, un cambio di coordinate, un reset — con un canale di conferma indipendente, così che "me lo ha chiesto il capo via email" non sia sufficiente ad agire. Terzo: segnalazione facile e senza colpa, un pulsante o un indirizzo noti a tutti, e la promessa esplicita che chi segnala non viene punito.

Il punto

"Il fattore umano è l'anello debole" è una frase comoda perché scarica la responsabilità sulla persona e assolve il sistema. Ma un anello che si sa fragile si rinforza col design, non con il rimprovero. La cultura cyber non è convincere le persone a non sbagliare mai: è costruire un ambiente in cui un errore singolo non diventa una violazione, e in cui chi lo commette trova più conveniente dirlo subito che nasconderlo. Per approfondire, i materiali dell'ENISA e dell'ACN sono il punto di partenza da cui questo articolo è tratto.