Chi ci casca non è stupido. Questo va detto chiaro fin dal primo articolo. L’ingegneria sociale funziona perché punta su leve umane del tutto normali. La fretta di chi ha trenta mail da smaltire. Il rispetto istintivo per un capo o per una banca. La fiducia in un fornitore che si conosce da anni. Nessuno è immune, io compreso in un giorno storto. Questa rubrica non è una lista di figuracce da sbeffeggiare. È uno spazio dove racconto casi veri. Li raccolgo via via, lavorando con i clienti. Servono per imparare a riconoscere le tecniche, prima che riconoscano noi.

Le leve psicologiche dietro l’ingegneria sociale

Nella pratica l’ingegneria sociale ricicla sempre le stesse quattro leve. Le trovi descritte bene anche nella voce di Wikipedia sull’ingegneria sociale applicata alla sicurezza informatica. La prima è l’urgenza artificiale: scadenze finte, “il pagamento è bloccato”, “rispondi entro un’ora”. La seconda è l’autorità finta: una mail che sembra del titolare o della banca, con firma e logo copiati bene. La terza è la familiarità: un fornitore vero, un collega vero, un numero che conosci già. La quarta è la paura di perdere qualcosa: l’accesso, la fattura, la prenotazione confermata. Riconoscere queste quattro leve è già metà del lavoro. Vale per chiunque gestisca ogni giorno una casella di posta.

Il primo caso l’ho già raccontato per intero. È un tentativo di phishing alberghiero arrivato a un gestore di struttura ricettiva, con le schermate reali della mail truffa e i dettagli che l’hanno tradita. Da lì in avanti aggiungerò i casi nuovi che vedo passare, uno per volta. Senza nomi, e senza dati che possano far riconoscere nessuno.

L’ingegneria sociale non sparirà. Cambia solo il pretesto, non la meccanica di fondo. Per questo conviene studiarla con calma, non quando è già arrivata la mail sospetta e il cuore batte un po’ più forte.

Se nei prossimi mesi ti arriva qualcosa che ti sembra strano, scrivimi. Lo guardiamo insieme. Se è un caso istruttivo, potrebbe finire, in forma anonima, nella prossima puntata di questa rubrica.

The post Ingegneria sociale: il problema tra sedia e tastiera first appeared on Matteo Cisilino.

Il mittente usa un nome generico. Niente di sospetto a prima vista. L’oggetto è innocuo: “Disponibilità camera dal 10 al 12 novembre”. Il testo è in italiano abbastanza naturale. Ha qualche piccola imperfezione, il tipo che un madrelingua noterebbe, ma niente che faccia scattare un allarme immediato. Chi scrive dice di voler prenotare. Chiede conferma della disponibilità. Poi aggiunge un dettaglio che sembra innocuo: dichiara di aver allegato una copia del passaporto, “per facilitare la prenotazione”. C’è anche un piccolo dettaglio temporale: sarà in viaggio dal giorno 9, quindi preferirebbe avere già tutto confermato in anticipo.

Quella frase, “sarò in viaggio”, è una leva psicologica precisa. Non è un’urgenza aggressiva. Non chiede soldi subito. Crea solo una ragione plausibile per sbrigarsi, per rispondere prima di pensarci troppo. Ho visto lo screenshot di questa email, con il link oscurato per sicurezza. La trovo un esempio quasi da manuale di come si costruisce un tentativo di phishing alberghiero efficace: gentile, credibile, con un pizzico di urgenza calcolata.

Come funziona il phishing alberghiero in due passaggi

Il meccanismo ha due fasi distinte. Vale la pena capirle entrambe, perché da fuori sembrano banali e invece funzionano. La prima fase è l’email. Contiene un link abbreviato, del tipo che passa attraverso un redirector: un servizio che nasconde la vera destinazione dietro un indirizzo corto. Cliccandolo, non si vede subito dove si sta andando a finire. Questo è già il primo inganno, piccolo ma efficace.

La seconda fase è la pagina di destinazione. È una schermata che si finge una procedura di conferma o di pagamento. Graficamente ricorda quella di una piattaforma vera, a volte abbastanza bene da ingannare anche chi lavora nel settore da anni. È lì che succede il danno vero. Il gestore della struttura, convinto di dover verificare la disponibilità o confermare la prenotazione, inserisce le proprie credenziali. Può trattarsi di quelle dell’extranet di Booking o Airbnb. Oppure di quelle della propria casella email, o del pannello di gestione del sito. Da quel momento, le credenziali sono già in mano a chi ha mandato l’email. Il resto, agli occhi di chi è stato truffato, succede dopo, quando è troppo tardi per tornare indietro.

Perché chi gestisce una struttura è un obiettivo comodo

Chi lavora in una struttura ricettiva riceve decine di richieste simili ogni settimana. Email di ospiti, domande sulla disponibilità, richieste di conferma last minute. È un flusso costante, spesso gestito di fretta, tra un check-in e l’altro. Un messaggio in più, educato e plausibile, si mimetizza bene in quel flusso. Non spicca. Il punto debole non è la tecnologia del gestore. È il suo tempo limitato, e l’abitudine a rispondere in fretta a chi sembra un cliente vero. Per questo il phishing alberghiero funziona così bene: non punta a un sistema informatico, punta a una persona impegnata.

Le red flag da riconoscere

Ci sono segnali concreti. Nessuno da solo basta a dimostrare una truffa, ma insieme raccontano una storia chiara. Il contatto arriva per email diretta, non dal canale ufficiale della piattaforma: Booking e Airbnb hanno sistemi di messaggistica interna, e un ospite reale li usa quasi sempre. Il link è abbreviato o mascherato, quindi non si capisce dove porta leggendo solo l’indirizzo. Il messaggio chiede di “verificare la disponibilità” cliccando un link, invece di lasciare che il gestore controlli dal proprio pannello, digitando l’indirizzo a mano come farebbe sempre. Il tono è gentile, quasi premuroso. L’urgenza è misurata: non spaventa, ma spinge comunque ad agire in fretta, prima di pensarci su.

Perché l’ho messa sotto “Tra la sedia e la tastiera”

Ho aperto questa categoria sul sito apposta per i casi come questo. “Tra la sedia e la tastiera” è una battuta che chi lavora in sicurezza informatica conosce bene. Indica il punto esatto in cui succede quasi sempre il danno: la persona davanti allo schermo, non il software. La piattaforma di prenotazione non ha colpe in questo episodio specifico. Il problema non è un bug di Booking o di Airbnb. È il momento in cui un umano, magari di fretta, clicca un link che non doveva cliccare. Capirlo aiuta a difendersi meglio. Non basta un antivirus. Serve l’abitudine di fermarsi un secondo prima di cliccare, ogni volta.

Se le credenziali finiscono comunque nelle mani sbagliate, va valutato se cambiarle subito, ovunque siano usate. Ne ho parlato quando ho raccontato la rotazione delle credenziali del database dopo una violazione. Il contesto tecnico è diverso, ma il principio resta lo stesso.

Cosa fare per proteggere la propria struttura

La prima regola è semplice, ma va ripetuta spesso: mai inserire credenziali cliccando un link arrivato per email, nemmeno se sembra urgente. Se qualcuno scrive dicendo di voler prenotare, si verifica dal proprio pannello. Si digita l’indirizzo a mano, non si segue un link mandato da uno sconosciuto. La seconda regola riguarda l’autenticazione a due fattori. Va attivata su ogni account che conta: extranet della piattaforma, casella email, pannello del sito. Anche se le credenziali vengono rubate, un secondo fattore blocca comunque l’accesso, nella maggior parte dei casi. La terza regola è la segnalazione. Ogni messaggio sospetto va segnalato alla piattaforma, che usa questi dati per bloccare altri tentativi simili. Non è un caso che la gestione di questi episodi sia uno dei motivi dell’indagine europea. Il problema del phishing alberghiero riguarda anche le piattaforme, non solo i singoli gestori.

Chi vuole seguire gli sviluppi può leggere la ricostruzione dell’agenzia AGI sull’inchiesta della Commissione contro Booking.com. Riassume bene cosa sta succedendo. E perché riguarda anche chi gestisce una struttura piccola, non solo le grandi catene.

Se hai già cliccato o inserito dei dati

Se è già successo, conviene muoversi in fretta. Cambia subito la password dell’account coinvolto. Cambiala anche ovunque la stessa password sia stata riusata: è un errore comune, e chi ruba credenziali lo sa bene. Attiva la verifica in due passaggi, se non l’avevi già fatto. Controlla la cronologia degli accessi dell’account. Cerca sessioni o dispositivi che non riconosci. Avvisa la piattaforma, che ha procedure dedicate per gli account compromessi. Se nella mail avevi allegato documenti veri, tienili d’occhio: un documento d’identità rubato può essere riusato altrove, non solo per altre truffe legate al settore alberghiero.

Il caso che ho visto non ha fatto danni. Chi l’ha ricevuto si è fermato un attimo prima di cliccare, e me l’ha segnalato. È bastato quello. La tecnologia aiuta, i filtri antispam aiutano, ma alla fine la differenza la fa sempre la persona che decide se cliccare o no. Il problema del phishing alberghiero, quasi sempre, resta tra la sedia e la tastiera.

The post Phishing alberghiero: l’email-truffa che ho visto arrivare a un gestore di struttura first appeared on Matteo Cisilino.