Le truffe online non sfruttano soltanto problemi del software: possono usare urgenza, fiducia e autorevolezza apparente per farci compiere un'azione che normalmente metteremmo in dubbio. Nel video parto da una domanda del pubblico: perché a volte accettiamo una richiesta sospetta e come possiamo interrompere il meccanismo prima di consegnare dati o denaro?

L'ingegneria sociale prende di mira la decisione

Un attacco di ingegneria sociale cerca di influenzare il comportamento di una persona. L'obiettivo può essere ottenere informazioni, far autorizzare un accesso, convincere a installare qualcosa o indurre un pagamento.

Non richiede necessariamente un messaggio scritto male. Una richiesta può sembrare plausibile perché arriva in un momento di distrazione, richiama un servizio che usiamo o contiene informazioni che riconosciamo.

Nel video parlo della fiducia e della disponibilità ad aiutare. Sono aspetti che possono essere sfruttati, ma non considero la vittima semplicemente ingenua: anche una persona esperta può trovarsi stanca, sotto pressione o davanti a un pretesto ben costruito.

La lettura che ha ispirato il video

L'idea nasce anche dalla lettura di L'arte dell'inganno di Kevin Mitnick, scritto con William L. Simon. Mi interessa il modo in cui il libro porta l'attenzione sulle persone e sulle procedure, oltre che sulla tecnologia.

Nel video racconto un esempio nel quale un interlocutore si inserisce tra un cliente e una banca, presentandosi a ciascuno come qualcuno di fiducia per ottenere informazioni dall'altro. Il punto è mostrare come una richiesta apparentemente coerente possa essere parte di un inganno.

Non uso quel racconto come prova che Mitnick abbia personalmente sottratto somme specifiche a un cliente bancario. La spiegazione originale mescola l'esempio con considerazioni biografiche che non sono necessarie per capire il meccanismo e non vanno presentate come fatti verificati.

Autorità, paura e piccoli importi

Gli esempi che porto sono riconoscibili: un messaggio che sembra arrivare dalle Poste, da un ente pubblico o dalla banca; una piccola somma richiesta per evitare la sospensione di un servizio; una comunicazione che pretende una risposta immediata.

L'importo ridotto può far sembrare l'azione poco rischiosa, mentre l'urgenza riduce il tempo che dedichiamo alla verifica. Il danno, però, può riguardare anche i dati inseriti nella pagina o l'accesso autorizzato, non soltanto la cifra mostrata.

La guida NIST sul phishing richiama l'uso di messaggi ingannevoli e richieste di informazioni sensibili. Il canale non è limitato all'email: anche SMS, telefonate e messaggi sui social possono diventare il punto di contatto.

Non esiste una sequenza obbligatoria identica per tutti gli attacchi. Alcuni sono generici e inviati a molte persone; altri usano informazioni raccolte in precedenza per rendere credibile una richiesta mirata.

Verificare attraverso un canale indipendente

Controllare il mittente è utile, ma il nome visualizzato non basta a dimostrare l'identità di chi scrive. Anche una comunicazione ben presentata può essere ingannevole, e un account reale può essere compromesso.

Quando la richiesta riguarda denaro, credenziali o operazioni insolite, interromperei il percorso suggerito nel messaggio. Aprirei l'app ufficiale già conosciuta o cercherei il contatto attraverso un canale indipendente, evitando di usare il numero o il link fornito dalla comunicazione sospetta.

Non consegnerei password, codici temporanei o autorizzazioni di accesso a una persona che mi contatta chiedendoli. Il fatto che conosca il mio nome o un'informazione personale non dimostra che abbia diritto a riceverli.

La verifica non serve a diventare diffidenti verso chiunque. Serve a evitare che sia proprio chi avanza la richiesta a decidere anche come dovremmo confermarne l'autenticità.

Clickjacking e furto di sessione non sono la stessa cosa

Nel video collego il clickjacking alla copia del browser e delle password. Questa spiegazione va corretta.

Il clickjacking descritto da OWASP sfrutta elementi dell'interfaccia ingannevoli o sovrapposti per far eseguire un'azione diversa da quella che la persona crede di scegliere. Non significa, da solo, che un clic esporti tutte le password di Chrome o l'intero contenuto del browser.

Furto di credenziali, compromissione delle sessioni e malware che sottraggono informazioni sono problemi distinti, anche se possono comparire nello stesso attacco. Confonderli rende più difficile capire quale protezione sia pertinente.

La mia preferenza per Firefox non deve diventare una promessa di immunità. Anche l'uso di tecnologie Firefox in Tor Browser non dimostra che qualunque installazione Firefox sia protetta da ogni truffa o da ogni furto di account.

Linux non rende innocuo qualsiasi malware

Un'altra affermazione troppo forte della registrazione riguarda i malware su Linux. Non basta spostare nel cestino un file scaricato per annullare qualunque compromissione: se del codice malevolo è stato eseguito, le conseguenze possono coinvolgere altri file, dati o credenziali.

La possibilità che un programma dannoso funzioni dipende da piattaforma, modalità di esecuzione, privilegi e vulnerabilità. Non esiste una superiorità numerica universale come quella che esprimo nel video.

Soprattutto, una pagina falsa può convincere a inserire la password anche su Linux. Il sistema operativo non può impedire ogni decisione presa dall'utente dentro un servizio web. Esplorare il software libero rimane una scelta che considero interessante, ma non sostituisce le verifiche sull'identità dell'interlocutore.

Software affidabile e protezioni che si completano

Nel video suggerisco di scaricare un programma dal suo sito ufficiale o dai canali affidabili del sistema operativo. Per esempio, se cerco Thunderbird, parto dal progetto o dal gestore dei pacchetti della distribuzione, evitando di scegliere casualmente un sito che promette il download.

A questa abitudine si aggiungono aggiornamenti, password robuste e diverse per i vari servizi, gestione sicura degli accessi e autenticazione a più fattori. CISA descrive il ruolo della MFA e delle opzioni resistenti al phishing: non tutte le modalità hanno le stesse proprietà.

Un antivirus può aiutare contro determinati rischi; la conoscenza aiuta a riconoscere richieste anomale. Nessuno dei due elementi, da solo, garantisce protezione totale. La soluzione non è installare più programmi a caso, ma usare protezioni adeguate e procedure comprensibili.

Se hai già risposto a una richiesta sospetta

La priorità è limitare le conseguenze, non colpevolizzarsi. In base a ciò che è accaduto, può essere necessario cambiare credenziali attraverso il servizio autentico, controllare accessi e sessioni, segnalare il messaggio e contattare subito la banca se sono coinvolti dati finanziari o pagamenti.

Anche la guida NIST richiama il contatto tempestivo con l'istituto interessato. Non do per scontato un rimborso automatico: esito e procedure dipendono dall'operazione e dalle condizioni applicabili.

La lezione che volevo lasciare nel video è questa: quando una comunicazione ci spinge ad agire prima di ragionare, prendere tempo e verificare attraverso un altro canale può interrompere il passaggio più importante dell'inganno.