Nell’informatica esiste un acronimo poco elegante ma onestissimo: PEBKAC, “Problem Exists Between Keyboard And Chair”. Tradotto senza giri di parole: il problema è tra la sedia e la tastiera. Non è il firewall che si rompe. Non è l’antivirus che dorme. È la persona davanti allo schermo che clicca, che digita una password dove non deve, che si fida di un messaggio scritto bene. Di questo parla l’ingegneria sociale. E di questo parla questa rubrica, che porta lo stesso nome un po’ ironico.
Chi ci casca non è stupido. Questo va detto chiaro fin dal primo articolo. L’ingegneria sociale funziona perché punta su leve umane del tutto normali. La fretta di chi ha trenta mail da smaltire. Il rispetto istintivo per un capo o per una banca. La fiducia in un fornitore che si conosce da anni. Nessuno è immune, io compreso in un giorno storto. Questa rubrica non è una lista di figuracce da sbeffeggiare. È uno spazio dove racconto casi veri. Li raccolgo via via, lavorando con i clienti. Servono per imparare a riconoscere le tecniche, prima che riconoscano noi.
Le leve psicologiche dietro l’ingegneria sociale
Nella pratica l’ingegneria sociale ricicla sempre le stesse quattro leve. Le trovi descritte bene anche nella voce di Wikipedia sull’ingegneria sociale applicata alla sicurezza informatica. La prima è l’urgenza artificiale: scadenze finte, “il pagamento è bloccato”, “rispondi entro un’ora”. La seconda è l’autorità finta: una mail che sembra del titolare o della banca, con firma e logo copiati bene. La terza è la familiarità: un fornitore vero, un collega vero, un numero che conosci già. La quarta è la paura di perdere qualcosa: l’accesso, la fattura, la prenotazione confermata. Riconoscere queste quattro leve è già metà del lavoro. Vale per chiunque gestisca ogni giorno una casella di posta.
Il primo caso l’ho già raccontato per intero. È un tentativo di phishing alberghiero arrivato a un gestore di struttura ricettiva, con le schermate reali della mail truffa e i dettagli che l’hanno tradita. Da lì in avanti aggiungerò i casi nuovi che vedo passare, uno per volta. Senza nomi, e senza dati che possano far riconoscere nessuno.
L’ingegneria sociale non sparirà. Cambia solo il pretesto, non la meccanica di fondo. Per questo conviene studiarla con calma, non quando è già arrivata la mail sospetta e il cuore batte un po’ più forte.
Se nei prossimi mesi ti arriva qualcosa che ti sembra strano, scrivimi. Lo guardiamo insieme. Se è un caso istruttivo, potrebbe finire, in forma anonima, nella prossima puntata di questa rubrica.
Lascia un commento