La psicologia della frode: sei leve che l’ingegneria sociale continua a usare

Un venditore che suonava alla porta con una storia verosimile e un foglio timbrato lavorava sugli stessi tasti che oggi preme una mail con l’oggetto “pagamento in sospeso, chiusura di mese”. È cambiato il supporto, è cambiata la scala, è cambiata la velocità. La sequenza della persuasione è rimasta quasi intatta, e questa permanenza è l’oggetto della psicologia dell’ingegneria sociale.

Questa continuità spiega perché l’ingegneria sociale resista così bene al passare del tempo. Una vulnerabilità tecnica si corregge con una patch. Le regolarità del comportamento umano su cui poggia una frode sono anteriori a qualsiasi sistema informatico e non hanno un aggiornamento disponibile. Guardarle da vicino cambia il disegno di un programma di Cybersecurity awareness, perché capire quale leva viene attivata porta in un luogo diverso rispetto a insegnare a riconoscere l’involucro del messaggio.

Perché l’ingegneria sociale non ha bisogno di una falla tecnica?

L’ingegneria sociale ottiene che una persona autorizzata faccia di sua volontà ciò che l’attaccante non può fare con i propri mezzi. Invece di forzare un controllo, lo richiede. E lo richiede nella lingua dei segnali che usiamo per decidere in fretta a chi credere, così la richiesta arriva prima del sospetto.

Quando qualcuno decide se dare seguito a una richiesta, raramente valuta le prove. Legge segnali: chi la firma, con quanta fretta arriva, se altri l’hanno già fatto, se somiglia a quello di sempre. Queste scorciatoie funzionano perché il mondo quotidiano è in buona parte cooperativo, e senza di esse nessuna organizzazione potrebbe lavorare alla velocità a cui lavora.

L’attaccante lavora sul segnale prima che sulla prova. Quando abbiamo sostenuto che il phishing non è un problema di conoscenza, il fuoco era sul lato di chi riceve e sul perché sapere non basta nell’istante della decisione. Qui il fuoco cambia lato e descrive quale tasto sceglie di premere chi attacca.

Quali sono le sei leve di persuasione che attiva una frode?

La psicologia sociale descrive sei principi dell’influenza che attraversano quasi ogni situazione in cui qualcuno riesce a far accettare una richiesta a un altro. Il lavoro di Robert Cialdini li ha sistematizzati osservando venditori, raccoglitori di fondi e negoziatori professionisti. Nessuno è stato formulato pensando alla cybersecurity e ognuno ha la sua versione in una frode digitale.

1. Autorità. La richiesta scende da una posizione con il potere di premiare o sanzionare. Una mail firmata dalla direzione finanziaria, o una presunta comunicazione dell’Agenzia delle Entrate, riceve raramente la domanda che meriterebbe.
2. Scarsità. La finestra si chiude. Restano due ore per confermare, il posto sta finendo, la scadenza cade oggi. L’urgenza non aggiunge informazione, sottrae tempo di analisi.
3. Riprova sociale. Gli altri l’hanno già fatto. “Il resto del team ha già validato i propri dati” trasforma un’anomalia in una routine condivisa.
4. Reciprocità. Qualcosa è stato dato prima. Il falso supporto tecnico che “risolve” un problema minore prima di chiedere le credenziali compra un debito che la maggior parte delle persone onora.
5. Simpatia. La richiesta arriva da qualcuno affine o gradevole. Un profilo che condivide lo stesso datore di lavoro, la stessa città o la stessa professione ottiene un’attenzione che uno sconosciuto non ottiene.
6. Impegno e coerenza. Un piccolo sì apre la porta a uno grande. Confermare un dato innocuo all’inizio della conversazione lascia la persona sostenuta dalla propria coerenza quando arriva la richiesta vera.

Conviene non confondere queste leve con le condizioni di chi riceve il messaggio. Il carico di lavoro o la fretta descrivono lo stato di chi decide. Le leve descrivono la manovra di chi chiede. Un attacco efficace combina le due cose, ed è per questo che lo stesso messaggio rende in modo diverso il lunedì alle nove e il venerdì alle sette di sera.

Perché le stesse leve funzionano nella posta, al telefono e nel video?

Perché la leva non vive nel canale. Vive nella relazione che il messaggio finge di avere con chi lo riceve. Cambiare supporto cambia la trama del segnale falsificato, non il meccanismo che lo rende credibile.

La frode via posta aziendale (BEC, Business Email Compromise) lo mostra con chiarezza. Secondo il rapporto annuale dell’IC3 dell’FBI, quella categoria ha accumulato 3,046 miliardi di dollari di perdite dichiarate nel 2025, seconda soltanto alla frode negli investimenti. La cifra resta sopra i 2,7 miliardi per tre anni consecutivi, con una tecnica che quasi sempre poggia sull’autorità e sulla scarsità combinate.

La telefonata aggiunge presenza e toglie la traccia scritta, il che rafforza l’autorità e accorcia il margine per verificare. Il codice QR stampato sposta la richiesta su un oggetto fisico che l’occhio non sa verificare, ed è per questo che simulare un attacco con codice QR misura qualcosa di diverso dal simulare una mail. Il video sintetico porta la falsificazione del segnale al punto in cui la prova audiovisiva smette di essere una garanzia, questione che abbiamo già affrontato dall’angolo del metodo prima del contenuto.

Un catalogo di canali, allora, invecchia in fretta. Un catalogo di leve invecchia molto più lentamente. La conseguenza pratica emerge nel momento di progettare un programma. Se l’inventario delle minacce è organizzato per supporto, ogni nuova tecnologia obbliga ad aggiungere un modulo. Se è organizzato per leva, la nuova tecnologia entra come un esempio in più di qualcosa che le persone hanno già imparato a notare.

Si può allenare il riconoscimento di una leva?

Si può, ma non memorizzando l’elenco. Riconoscere una leva per nome durante una formazione e notarla mentre opera su di sé sono due abilità diverse. La seconda è quella allenabile, e consiste nell’accorgersi dello stato interno che la leva produce prima di accorgersi dell’intenzione che ha collocato quella leva lì.

Quello stato ha segnali abbastanza riconoscibili. Compare una fretta che non corrisponde all’oggetto reale, mette a disagio contraddire chi sembra avere un grado gerarchico e costa dire no a chi ha appena fatto un favore. L’allarme utile non sta nel messaggio, che di solito è impeccabile, ma in ciò che il messaggio risveglia.

Una formazione che lavora su questo piano somiglia poco a un elenco di indicatori sospetti. Mette la persona in situazioni in cui la leva agisce davvero, dà un nome a ciò che ha sentito quando la richiesta è arrivata e lascia installato un unico comportamento di uscita, cioè verificare attraverso un canale diverso da quello che ha portato la richiesta.

La regola è facile da ricordare perché non richiede di diagnosticare la tecnica dell’attaccante. Basta notare la fretta e riportare la decisione su un terreno dove il segnale falsificato perde forza, qualcosa di semplice come chiamare il numero interno che era già in rubrica.

Da qui il fatto che l’intervento più efficace sia quello che arriva nel momento della decisione e non settimane prima, logica che abbiamo già esplorato parlando dei nudge che arrivano nel momento giusto. E da qui anche il fatto che la risposta organizzativa corretta verso chi è caduto sia ridisegnare l’ambiente di decisione prima di sanzionare, distinzione che abbiamo sviluppato separando errore, negligenza e intenzione.

Come lo affronta SMARTFENSE

Nella piattaforma di SMARTFENSE le simulazioni sono progettate intorno alla leva e non soltanto al formato. Una simulazione di attacco di phishing che fa appello all’autorità di un dirigente mette alla prova qualcosa di diverso da una che fa appello alla simpatia di un collega, anche quando entrambe arrivano per posta ed entrambe misurano il click.

Lo stesso criterio attraversa gli strumenti aperti del sito. Il verificatore di esposizione alla frode via posta aziendale permette di vedere quanto sia facile impersonare l’identità di un dominio, che è la materia prima con cui si fabbrica il segnale di autorità. Conoscere la superficie tecnica dell’inganno aiuta a capire quale leva resti a portata dell’attaccante.

Quello che ogni nuova tecnologia porta sono canali, non leve. Le leve c’erano già. Un programma di Cybersecurity awareness che insegna a riconoscerle prepara le persone alla frode che ancora non esiste.