Social engineering: cos'è e perché conta la formazione

Il social engineering è l'insieme delle tecniche che manipolano una persona, invece di forzare un sistema, per ottenere credenziali, dati o un pagamento. Phishing, pretexting, vishing, baiting e truffa del CEO sono sue forme. Nell'edizione 2026 del Verizon DBIR il fattore umano risulta presente nel 62% delle violazioni confermate: la formazione non è un adempimento, è un controllo di sicurezza.

Qui il tema è guardato dal lato dell'azienda: quanto pesa il fattore umano nei dati, quali tecniche contano oltre l'e-mail, come si costruisce un percorso di formazione che sposta il rischio e cosa serve dopo un clic già avvenuto.

Che cos'è il social engineering

Il social engineering (in italiano ingegneria sociale) è un attacco che punta alla decisione di una persona. L'attaccante non cerca una vulnerabilità nel software: costruisce un contesto credibile, fatto di urgenza e autorità, e chiede un'azione che di per sé è normale. Inserire le credenziali su un portale, approvare una notifica, cambiare un IBAN, condividere lo schermo. L'analisi Fastweb e Vodafone nel Rapporto Clusit 2026 lo descrive così: "il social engineering non sfrutta le falle dei sistemi informatici, ma utilizza metodi che hanno come scopo quello di ottenere informazioni personali tramite l'inganno", e consiste nell'ingannare le persone toccando leve psicologiche e comportamentali.

Due conseguenze pratiche. La prima: non esiste una configurazione che chiuda il problema, perché l'azione la compie un utente autorizzato. La seconda: chi ci casca non è distratto né ingenuo. I messaggi sono costruiti bene, spesso con strumenti di intelligenza artificiale, e arrivano nel momento in cui una richiesta del genere è plausibile.

Quanto pesa davvero il fattore umano

Il riferimento più ampio è il Verizon Data Breach Investigations Report 2026, costruito su oltre 31.000 incidenti reali, di cui oltre 22.000 violazioni confermate in 145 Paesi. Due numeri: il fattore umano è presente nel 62% delle violazioni, in leggero aumento rispetto al 60% dell'edizione precedente, e il Social Engineering è il terzo pattern di violazione più frequente, con il 16% del totale.

Senza tirare la coperta: lo stesso rapporto dice che il vettore di accesso iniziale più frequente nel suo dataset è ora lo sfruttamento di vulnerabilità, al 31%, in crescita dal 20% dell'anno prima, davanti a phishing (16%), abuso di credenziali come prima azione (13%) e pretexting (6%). Il fattore umano non è l'unica porta, è quella che resta aperta nella maggioranza dei casi, e le credenziali sono il filo conduttore: prese in qualsiasi punto della catena di attacco, compaiono nel 39% delle violazioni.

In Europa il quadro è più sbilanciato sulle persone. L'ENISA Threat Landscape 2025, su 4.875 incidenti raccolti tra il 1 luglio 2024 e il 30 giugno 2025, scrive che le tattiche di ingegneria sociale restano il principale punto di ingresso per gli attaccanti, con il phishing (incluse le varianti vocali, il malspam e il malvertising) che vale circa il 60% dei casi osservati, contro il 21,3% dello sfruttamento di vulnerabilità. I due numeri non misurano la stessa cosa. Il DBIR conta violazioni confermate raccolte dai suoi contributor e tiene separate le voci Phishing e Pretexting, che quindi non compaiono mai sommate in un'unica categoria; ENISA conta incidenti raccolti in prevalenza da fonti aperte sul perimetro europeo e mette sotto la parola phishing anche vishing, malspam e malvertising. Cambiano il campione, il confine delle categorie e il periodo osservato: ecco perché l'ordine cambia. Quello che non cambia è che l'interazione con l'utente sta in cima o subito sotto in tutti e due.

In Italia, la Relazione annuale ACN 2025 registra tra i principali vettori di attacco rilevati dal CSIRT Italia l'e-mail al 40% e gli account validi al 24%, contro l'11% dello sfruttamento di vulnerabilità, e commenta una netta prevalenza di modalità che sfruttano l'interazione con l'utente e l'impiego di account validi. Il Rapporto Clusit 2026 colloca la categoria Phishing / Social Engineering al 12,4% delle tecniche di attacco in Italia nel 2025, quarta posizione, in aumento rispetto al 10,6% del 2024 e con una crescita del 66% negli incidenti noti, e attribuisce il rimbalzo all'uso dell'AI, che rende semplice creare messaggi, testuali e vocali, molto più verosimili. Il contesto completo sta negli attacchi cyber in Italia.

Le tecniche che contano in azienda

Phishing

La forma più nota e la più industrializzata: un messaggio asincrono, di massa o mirato, che porta a una pagina di raccolta credenziali o a un allegato. Resta il caso singolo più frequente della famiglia e lo abbiamo trattato a parte in phishing: cosa significa per un'azienda. Qui interessa il resto, cioè quello che i filtri della posta vedono meno.

Pretexting

L'attaccante costruisce una relazione di fiducia con uno scenario inventato e resta in linea mentre la vittima agisce. Il DBIR 2026 lo distingue dal phishing per la sua natura sincrona e lo indica in crescita come accesso iniziale a violazioni ransomware ed estorsioni. La differenza non è accademica: le contromisure e la formazione necessarie per i due scenari, scrive il rapporto, sono piuttosto distinte.

Vishing e smishing

Vishing è il social engineering per telefono, smishing quello via SMS o messaggistica. ENISA definisce il vishing come un attacco di phishing condotto tramite chiamate vocali per indurre la vittima a rivelare informazioni sensibili. Il DBIR 2026 quantifica lo spostamento: il 41% delle violazioni del pattern Social Engineering coinvolge vettori sociali oltre alla sola e-mail e nelle simulazioni il tasso di successo mediano sui canali mobile (voce e messaggi) è del 40% più alto rispetto all'e-mail (circa 2% contro 1,4%), e il rapporto avverte che il campione delle simulazioni non e-mail è piccolo, 35 campagne contro 8.395. Sono i canali dove l'azienda ha meno controllo tecnico e meno log.

Truffa del CEO e BEC

Il Business Email Compromise e la CEO fraud non installano nulla: puntano a far autorizzare un pagamento o a far cambiare le coordinate bancarie di un fornitore, spesso inserendosi in una conversazione reale. Il capitolo della Polizia Postale nel Rapporto Clusit 2026 li indica come le dinamiche prevalenti del financial cybercrime a danno delle imprese italiane, senza però pubblicare i volumi. Le sole cifre confrontabili sono quelle dell'Internet Crime Complaint Center dell'FBI, che raccoglie denunce da oltre 200 Paesi ma per la quasi totalità delle perdite statunitensi: il rapporto IC3 2025 riporta 24.768 segnalazioni di BEC e perdite dichiarate per oltre 3 miliardi di dollari (3.046.598.558), contro 21.442 segnalazioni e 2,77 miliardi nel 2024, e oltre 30 milioni di dollari di perdite in truffe BEC con componente di intelligenza artificiale, dove il testo imita il CEO e la voce viene clonata per chiedere un bonifico.

Baiting, ClickFix e quishing

Qui l'esca sta fuori dalla casella: pagine di download che imitano strumenti legittimi, annunci malevoli, risultati di ricerca manipolati. Il DBIR 2026 indica come tipi principali di questa famiglia i download spinti da abuso della SEO e gli attacchi ClickFix, dove la pagina si presenta come un CAPTCHA e chiede all'utente di aprire un terminale e incollare un comando. Vale la proporzione: bloccati a livello di browser, gli attacchi ClickFix pesano circa il 2,7% del totale, dietro alle pagine di phishing tradizionali e ai download malevoli. Il quishing, per ENISA il phishing basato su codici QR, sposta il clic su un telefono che l'azienda spesso non gestisce.

Perché la formazione pesa più della tecnologia

Non perché la tecnologia serva poco, ma perché su questa famiglia di attacchi ha già dato quasi tutto, e la parte restante dipende da una decisione umana. Il segnale più chiaro è lo spostamento dei canali. I gateway di posta funzionano: nell'analisi Fastweb e Vodafone pubblicata nel Rapporto Clusit 2026 la tecnica di social engineering via e-mail risulta in ulteriore diminuzione, letta come un miglioramento dei presidi nel riconoscere le minacce e-mail. Nello stesso periodo gli attacchi si sono spostati su telefono, messaggistica e chat aziendali, cioè dove quei presidi non arrivano. E con messaggi generati dall'AI, insegnare alle persone a fiutare il testo sospetto è una strategia in perdita.

Il secondo segnale è che i bersagli sono cambiati. Il DBIR descrive uno schema ricorrente: l'attaccante genera un finto problema IT iscrivendo l'utente a decine di servizi di spam, poi un collega dell'help desk scrive in chat, si offre di aiutare e ottiene l'accesso al desktop. Nessun codice eseguito, nessun allegato da analizzare. Il rapporto è esplicito: addestrare help desk e customer support a non essere disponibili quando dall'altra parte c'è un attaccante non è semplice come dire, nella formula del rapporto, "controlla se la mail è esterna, se viene da una fonte di cui ti fidi e se usa un linguaggio corretto".

Come si costruisce un percorso di formazione che sposta il rischio

Sei criteri, verificabili su quello che già esiste in azienda.

1. Parti dai ruoli, non dall'organigramma. Chi dispone pagamenti, chi gestisce l'anagrafica fornitori, chi lavora all'help desk, chi ha privilegi amministrativi e chi compare con nome e ruolo sul sito. Il DBIR nota che il pretexting è costruito su misura del ruolo bersaglio, quindi anche la formazione deve esserlo.
2. Insegna una procedura, non un sospetto. La verifica fuori canale su ogni variazione di IBAN o pagamento fuori standard, con una telefonata al numero già in anagrafica e mai a quello indicato nel messaggio, toglie efficacia alla dinamica su cui il BEC si regge, e non richiede di riconoscere nulla.
3. Copri i canali non e-mail. Telefono, SMS, chat aziendale, richieste via social, codici QR. Se l'unico esercizio che fate è la simulazione e-mail, state allenando il canale che regge già meglio degli altri.
4. Scrivi la regola dell'help desk. Come si verifica l'identità di chi chiede un reset password o un cambio del secondo fattore, quali richieste non si eseguono al telefono, chi può derogare.
5. Misura il tempo di segnalazione, non la classifica dei clic. Azzerare i clic non è realistico: il tasso mediano nelle simulazioni e-mail resta intorno all'1,4% anche dove si fa formazione da anni. Serve che il primo segnale arrivi in minuti, e una regola dichiarata aiuta: chi segnala non viene rimproverato, nemmeno quando ha già cliccato. Dieci falsi allarmi costano meno di una segnalazione mancata.
6. Includi chi decide. La truffa del CEO funziona anche perché nessuno chiede conferma a un amministratore delegato. Se la regola di verifica vale per tutti, vertici compresi, smette di essere un atto di sfiducia.

Cosa serve dopo che qualcuno ha già cliccato

La formazione riduce la probabilità, non la porta a zero. La seconda metà del lavoro è ridurre il tempo tra l'accesso dell'attaccante e la sua scoperta, e qui la tecnologia torna decisiva. Il social engineering riuscito produce raramente un danno immediato: produce un accesso legittimo. È il motivo per cui gli account validi pesano il 24% dei vettori rilevati da ACN e l'abuso di credenziali compare nel 39% delle violazioni DBIR. Chi entra con le credenziali giuste non fa scattare l'antivirus, perché si comporta come un utente.

• Revocare sessioni e token, non solo cambiare la password. Il solo cambio password lascia vivo l'accesso già ottenuto.
• Guardare casella e identità. Regole di inoltro create di recente, deleghe, applicazioni autorizzate via OAuth, nuovi metodi di autenticazione aggiunti dopo il fatto.
• Bloccare il denaro in transito. Se il pretesto era un pagamento, amministrazione e banca vanno avvisate prima di ogni analisi: la finestra di recupero di un bonifico si misura in ore.
• Avere qualcuno che guarda fuori orario. La rilevazione su identità e endpoint serve a poco se il primo essere umano che legge l'allarme lo fa il lunedì mattina. È la scelta tra costruire un presidio interno e comprarne uno gestito, smontata in MDR, cos'è e quando serve e in cosa fa un SOC.

Cosa chiede la normativa

La parola social engineering non compare nel testo, ma gli obblighi la coprono. Il D.Lgs. 138/2024, che recepisce la direttiva NIS2, include tra le misure minime dell'articolo 24, comma 2, le pratiche di igiene di base e di formazione in materia di sicurezza informatica (lettera g) e l'uso dell'autenticazione a più fattori o continua (lettera l), oltre alla gestione degli incidenti (lettera b).

L'articolo 23 mette la formazione in cima alla gerarchia: gli organi di amministrazione e direttivi dei soggetti essenziali e importanti sono tenuti a seguire una formazione in materia di sicurezza informatica e promuovono l'offerta periodica di una formazione coerente a quella per i propri dipendenti, ed è lo stesso articolo a renderli responsabili delle violazioni previste dal decreto. Il perimetro si verifica nella guida completa alla NIS2.

In sintesi

Il social engineering ottiene un risultato manipolando una persona invece di forzare un sistema: phishing, pretexting, vishing e smishing, baiting, quishing, truffa del CEO. Il fattore umano compare nel 62% delle violazioni del DBIR 2026 e in Italia l'e-mail resta il primo vettore rilevato da ACN, con il 40%. La formazione pesa più della tecnologia perché gli attacchi si sono spostati sui canali dove i filtri non arrivano, e funziona solo se insegna procedure verificabili invece di sospetti, se copre telefono e chat oltre alla posta e se misura il tempo di segnalazione invece della classifica dei clic. Quello che non può fare è accorgersi dell'attaccante già entrato con credenziali valide: quella è una questione di rilevazione e risposta, ventiquattro ore su ventiquattro.

Se vuoi capire quanto tempo passerebbe oggi, nella tua azienda, tra un accesso con credenziali rubate e il momento in cui qualcuno se ne accorge, parliamone: partiamo da quello che hai già in casa.