Luglio 2026. Wind Tre riceve una sanzione da 1,7 milioni di euro dal Garante Privacy. Il motivo? Un’esfiltrazione di dati che ha coinvolto 365.000 clienti.
La cosa interessante è come è successo.
Niente attacco hacker sofisticato. Niente vulnerabilità zero-day. Niente codice malevolo che sfonda i firewall.
Gli attaccanti hanno semplicemente chiamato due punti vendita, si sono finti tecnici dell’assistenza, e hanno convinto gli operatori a dargli accesso ai sistemi aziendali.
Fine. Erano dentro.
Questo si chiama social engineering. Ed è il motivo per cui la tecnologia da sola non basterà mai a proteggerti.
Cos’è il social engineering
Il social engineering è l’arte di manipolare le persone per fargli fare qualcosa che non dovrebbero fare. Rivelare una password. Aprire un file. Autorizzare un accesso. Fare un bonifico.
Non è un attacco ai sistemi. È un attacco alle persone.
E funziona perché sfrutta qualcosa che nessun firewall può bloccare: la psicologia umana.
La fiducia. La fretta. La paura di fare brutta figura. Il desiderio di essere d’aiuto. La deferenza verso l’autorità.
Un hacker che vuole entrare nella tua azienda ha due strade: passare mesi a cercare vulnerabilità tecniche, oppure alzare il telefono e convincere qualcuno a farlo entrare. Indovina quale sceglie.
Il caso Wind Tre: anatomia di un attacco
Vediamo cosa è successo nel dettaglio, perché è un caso da manuale.
Gli attaccanti hanno identificato il punto debole: i punti vendita. Negozi con operatori che hanno accesso ai sistemi aziendali, ma che non hanno la formazione di un reparto IT.
Hanno chiamato fingendosi tecnici dell’assistenza. Probabilmente hanno usato un pretesto credibile: “Dobbiamo fare una verifica di sicurezza”, “C’è un problema con il sistema, dobbiamo controllare”, “È un aggiornamento urgente”.
Gli operatori, in buona fede, hanno seguito le istruzioni. Hanno dato accesso ai sistemi.
Da lì, gli hacker hanno avuto campo libero. Hanno esfiltrato i dati di 365.000 clienti. Per 41.000 di loro, hanno ottenuto anche i dati di pagamento.
Il Garante ha accertato “carenze nella gestione delle credenziali di accesso e dei certificati digitali”. In altre parole: una volta dentro, gli attaccanti si sono mossi liberamente perché non c’erano controlli adeguati.
Ma il punto d’ingresso è stato umano. Due persone che si sono fidate della voce al telefono.
Le 5 tecniche di social engineering più usate
Gli attacchi di social engineering assumono forme diverse. Conoscerle è il primo passo per riconoscerle.
- Pretexting (pretesto)
L’attaccante costruisce una storia credibile per ottenere informazioni o accesso. Si finge un collega dell’IT, un fornitore, un cliente importante, un’autorità. Il caso Wind Tre è un esempio perfetto: “Sono del supporto tecnico, devo fare una verifica.” - Phishing
La versione digitale del pretexting. Mail che sembrano provenire dalla banca, dal corriere, dal capo. Link che portano a siti falsi. Allegati che installano malware. Il 74% degli attacchi inizia così. - Baiting (esca)
L’attaccante lascia un’esca appetitosa. Una chiavetta USB nel parcheggio con scritto “Buste paga 2026”. Un link a un “video esclusivo”. Un download gratuito di un software costoso. La curiosità fa il resto. - Tailgating (accodamento)
L’attaccante entra fisicamente in un’area riservata seguendo qualcuno che ha il badge. “Mi tiene la porta? Ho le mani occupate.” Funziona perché nessuno vuole essere scortese. - Quid pro quo
L’attaccante offre qualcosa in cambio di informazioni. “Se mi dai la password, risolvo il problema subito.” “Compila questo form e vinci un premio.” Uno scambio che sembra conveniente, ma non lo è.
Perché funziona: la psicologia dell’inganno
Il social engineering funziona perché sfrutta meccanismi psicologici radicati. Non è stupidità di chi ci casca. È biologia.
Autorità
Siamo programmati per obbedire a chi percepiamo come autorità. “Sono il direttore IT” o “Chiamo dalla sede centrale” attiva un riflesso di deferenza. Non vogliamo sembrare quelli che ostacolano, che fanno domande scomode, che non collaborano.
Urgenza
“È urgente”, “Devo risolverlo entro un’ora”, “Il sistema va giù tra 10 minuti”. L’urgenza disattiva il pensiero critico. Non c’è tempo per verificare, per chiedere conferma, per pensarci. Bisogna agire.
Reciprocità
Se qualcuno ci fa un favore, ci sentiamo in obbligo di ricambiare. “Ti ho risolto quel problema la settimana scorsa, ora mi serve un piccolo aiuto.” È difficile dire no a chi ci ha aiutato.
Simpatia
Ci fidiamo di chi ci piace. Gli attaccanti costruiscono rapport, fanno complimenti, trovano punti in comune. “Anche tu sei di Bari? Che coincidenza!” La simpatia abbassa le difese.
Paura
“Se non lo fai subito, il sistema verrà bloccato”, “Ci saranno conseguenze disciplinari”, “Perderai i dati”. La paura spinge all’azione immediata per evitare la conseguenza minacciata.
Questi meccanismi funzionano su tutti. Non esiste nessuno immune. L’unica difesa è la consapevolezza: sapere che esistono e imparare a riconoscerli.
I segnali d’allarme che i dipendenti devono riconoscere
Ogni attacco di social engineering ha segnali riconoscibili. Bisogna allenarsi a vederli.
Richieste insolite
“Mi serve la password”, “Fammi entrare nel sistema”, “Mandami quel file riservato”. Qualsiasi richiesta che esce dalla normale routine dovrebbe far scattare un campanello.
Urgenza eccessiva
“Deve essere fatto subito”, “Non c’è tempo per i canali normali”, “È un’emergenza”. L’urgenza è la bandiera rossa più comune. Gli attaccanti la usano sempre.
Elusione delle procedure
“Non disturbare il responsabile per questo”, “Facciamo prima così”, “È solo una cosa veloce”. Chi cerca di bypassare i protocolli ha qualcosa da nascondere.
Informazioni personali sospette
L’attaccante sa il tuo nome, il tuo ruolo, il nome del tuo capo. Questo non significa che sia legittimo. Queste informazioni si trovano su LinkedIn in due minuti.
Pressione emotiva
Complimenti eccessivi, tono aggressivo, minacce velate. Qualsiasi tentativo di manipolare emotivamente è un segnale.
Richieste di riservatezza
“Non parlarne con nessuno”, “È una cosa riservata”, “Solo io e te dobbiamo saperlo”. La segretezza serve a impedire verifiche.
La regola d’oro: se qualcosa sembra strano, probabilmente lo è. Meglio verificare e sembrare paranoici che non verificare e aprire la porta a un attaccante.
Come costruire una cultura della diffidenza sana
La formazione tecnica non basta. Serve un cambio culturale.
I dipendenti devono sentirsi autorizzati a fare domande, a verificare, a dire “no, prima controllo”. E devono sapere che non ci saranno conseguenze negative per questo.
Legittimazione del dubbio
Il messaggio deve essere chiaro: è giusto dubitare. È giusto chiedere conferma. È giusto non fidarsi ciecamente. Nessuno verrà rimproverato per aver verificato troppo.
Procedure di verifica chiare
Se qualcuno chiede qualcosa di insolito, cosa devo fare? A chi devo chiedere conferma? Come verifico l’identità di chi chiama? Le procedure devono essere semplici e conosciute da tutti.
Canali di segnalazione
Dove segnalo una mail sospetta? Una telefonata strana? Un comportamento anomalo? Il canale deve essere facile, rapido, senza burocrazia.
Nessuna colpa
Se un dipendente cade in un attacco e lo segnala immediatamente, non deve essere punito. La punizione crea paura, la paura crea silenzio, il silenzio aggrava i danni.
Formazione continua
Non un corso una tantum. Formazione regolare, aggiornata, pratica. Simulazioni di phishing. Esempi reali. Test periodici.
La cultura della sicurezza non si costruisce con un regolamento. Si costruisce con l’esempio, la ripetizione e il rinforzo positivo.
Caso studio: l’azienda che ha fermato l’attacco
Non tutti i tentativi di social engineering hanno successo. Ecco un esempio virtuoso.
Un’azienda metalmeccanica con 80 dipendenti riceve una telefonata. Chi chiama dice di essere del supporto Microsoft e segnala un “problema critico di sicurezza” sui server aziendali. Chiede di poter accedere da remoto per risolvere.
L’operatore che riceve la chiamata ha fatto la formazione anti-phishing due mesi prima. Qualcosa non gli torna.
Invece di procedere, dice: “Mi lasci un riferimento, la faccio richiamare dal nostro responsabile IT.”
Il chiamante insiste, parla di urgenza, di danni imminenti. L’operatore tiene la posizione.
Chiama il responsabile IT. Il responsabile verifica: nessun ticket aperto con Microsoft, nessuna segnalazione in corso.
Era un tentativo di social engineering. Bloccato sul nascere.
Cosa ha funzionato? La formazione. La procedura chiara. Il supporto dell’azienda nel verificare. La cultura del “meglio un controllo in più”.
Checklist: la tua azienda è preparata?
Verifica la tua situazione:
1. I dipendenti sanno cos’è il social engineering
2. Esiste una procedura per verificare richieste insolite
3. I dipendenti sanno a chi segnalare comportamenti sospetti
4. È stata fatta formazione negli ultimi 12 mesi
5. Vengono fatte simulazioni di phishing periodiche
6. I dipendenti si sentono autorizzati a dire “no, verifico prima”
7. Chi segnala un sospetto non viene punito
8. Le credenziali di accesso sono strettamente personali
9. Esiste un protocollo per le richieste telefoniche di assistenza
10. I punti vendita/sedi remote ricevono la stessa formazione della sede centrale
Meno di 7 spunte? Hai una porta aperta che aspetta solo che qualcuno bussi.
Il social engineering non è un problema tecnico. È un problema umano.
Puoi avere il firewall più costoso del mercato, la rete più segmentata, i backup più ridondanti. Ma se qualcuno convince un tuo dipendente a farlo entrare, tutto quel castello crolla.
La tecnologia è necessaria ma non sufficiente. La vera difesa è nella testa delle persone. Nella loro consapevolezza, nel loro addestramento, nella cultura aziendale che li circonda.
Il caso Wind Tre lo dimostra: 1,7 milioni di euro di multa per un attacco iniziato con una telefonata.
Quanto costa formare i tuoi dipendenti? Sicuramente meno.
Vuoi sapere se i tuoi dipendenti riconoscerebbero un attacco di social engineering?
Exasys offre un programma completo di Security Awareness: formazione, simulazioni di phishing, test di ingegneria sociale. Misuriamo il tuo livello di rischio e costruiamo una cultura della sicurezza.
→ Richiedi una valutazione gratuita su exasys.it/consulenza
Vuoi scoprire il livello di sicurezza della tua azienda? Contatta il team di Exasys per una consulenza personalizzata.
