Le truffe online non sfruttano solo problemi del software. Usano urgenza, fiducia e autorevolezza apparente per farci fare una cosa che, con calma, non faremmo mai. La domanda arriva dal pubblico: perché a volte accettiamo una richiesta sospetta, e come si interrompe il meccanismo prima di consegnare dati o denaro?

L'ingegneria sociale prende di mira la decisione

Un attacco di ingegneria sociale punta a influenzare il comportamento di una persona: ottenere informazioni, far autorizzare un accesso, convincere a installare qualcosa, indurre un pagamento.

Non serve un messaggio scritto male. Una richiesta sembra plausibile perché arriva in un momento di distrazione, richiama un servizio che usi o contiene informazioni che riconosci.

Parlo di fiducia e disponibilità ad aiutare. Sono cose che vengono sfruttate, ma non considero la vittima ingenua: anche una persona esperta può essere stanca, sotto pressione, o trovarsi davanti a un pretesto costruito bene.

La lettura da cui parte questo discorso

L'idea nasce anche da L'arte dell'inganno di Kevin Mitnick, scritto con William L. Simon. Mi interessa come sposta l'attenzione sulle persone e sulle procedure, invece che sulla tecnologia.

C'è un esempio che uso spesso: qualcuno si inserisce fra un cliente e una banca, presentandosi a ciascuno come persona di fiducia per farsi dare informazioni dall'altro. Mostra bene come una richiesta perfettamente coerente possa essere il pezzo di un inganno.

Non lo uso come prova che Mitnick abbia sottratto somme specifiche a un cliente bancario: la mia esposizione originale mescolava l'esempio con considerazioni biografiche che non servono a capire il meccanismo e non vanno presentate come fatti.

Autorità, paura e piccoli importi

Gli esempi li riconosci tutti: un messaggio che sembra delle Poste, di un ente pubblico o della banca; una piccola somma per evitare la sospensione di un servizio; una comunicazione che vuole una risposta subito.

L'importo basso fa sembrare l'azione innocua, l'urgenza toglie il tempo per verificare. Ma il danno può riguardare i dati che inserisci nella pagina o l'accesso che autorizzi, non la cifra che vedi.

La guida NIST sul phishing richiama messaggi ingannevoli e richieste di informazioni sensibili. E il canale non è solo l'email: SMS, telefonate e messaggi sui social funzionano allo stesso modo.

Non esiste una sequenza identica per tutti gli attacchi. Alcuni sono generici e inviati a migliaia di persone; altri usano informazioni raccolte prima per costruire una richiesta su misura.

Verificare su un canale indipendente

Controllare il mittente è utile, ma il nome visualizzato non prova l'identità di chi scrive. E un account vero può essere stato compromesso.

Quando la richiesta riguarda denaro, credenziali o operazioni insolite, esci dal percorso che il messaggio ti propone. Apri l'app ufficiale che già usi, o cerca il contatto per conto tuo — non usare il numero o il link che ti hanno dato.

E non consegnare password, codici temporanei o autorizzazioni di accesso a chi te li chiede. Il fatto che conosca il tuo nome o un'informazione personale non gli dà diritto a riceverli: spesso quelle informazioni sono proprio il motivo per cui ti ha scelto.

La verifica non serve a diventare diffidenti con tutti. Serve a non lasciare che sia chi avanza la richiesta a decidere anche come dovresti confermarla.

Clickjacking e furto di sessione non sono la stessa cosa

Qui devo correggere un collegamento sbagliato che avevo fatto fra clickjacking e copia del browser e delle password.

Il clickjacking descritto da OWASP usa elementi dell'interfaccia ingannevoli o sovrapposti per farti eseguire un'azione diversa da quella che credi. Non significa che un clic esporti le password di Chrome o l'intero contenuto del browser.

Furto di credenziali, compromissione delle sessioni e malware che rubano informazioni sono problemi distinti, anche quando compaiono nello stesso attacco. Confonderli impedisce di capire quale protezione serva.

E la mia preferenza per Firefox non è una promessa di immunità. Nemmeno il fatto che Tor Browser usi tecnologie Firefox dimostra che qualunque installazione di Firefox sia protetta da truffe o furti di account.

Linux non rende innocuo qualsiasi malware

Un'altra cosa che avevo detto troppo forte. Non basta spostare nel cestino un file scaricato: se del codice malevolo è stato eseguito, le conseguenze possono riguardare altri file, dati o credenziali.

Che un programma dannoso funzioni dipende da piattaforma, modalità di esecuzione, privilegi e vulnerabilità. Non esiste la superiorità numerica universale che avevo suggerito.

E soprattutto: una pagina falsa ti fa inserire la password anche su Linux. Il sistema operativo non può impedirti di prendere una decisione dentro un servizio web. Esplorare il software libero resta una scelta che mi convince, ma non sostituisce la verifica di chi hai davanti.

Software affidabile e protezioni che si completano

Scarica un programma dal suo sito ufficiale o dai canali del tuo sistema operativo. Se cerco Thunderbird parto dal progetto o dal gestore dei pacchetti, non dal primo sito che promette il download.

A questa abitudine si aggiungono aggiornamenti, password robuste e diverse per ogni servizio, gestione degli accessi e autenticazione a più fattori. CISA descrive il ruolo della MFA e delle opzioni resistenti al phishing: non tutte le modalità sono equivalenti.

Un antivirus aiuta contro certi rischi, la conoscenza aiuta a riconoscere una richiesta anomala. Nessuno dei due da solo basta. E la soluzione non è installare più programmi: è usare protezioni adeguate e procedure che riesci a capire.

Se hai già risposto a una richiesta sospetta

La priorità è limitare le conseguenze, non prendersela con sé stessi. A seconda di che cosa è successo: cambia le credenziali dal servizio autentico, controlla accessi e sessioni attive, segnala il messaggio, e chiama subito la banca se sono coinvolti dati finanziari o pagamenti.

Anche la guida NIST insiste sul contatto tempestivo con l'istituto interessato. Non do per scontato nessun rimborso automatico: esito e procedure dipendono dall'operazione e dalle condizioni.

La lezione è una sola: quando una comunicazione ti spinge ad agire prima di ragionare, prendere tempo e verificare da un'altra parte interrompe il passaggio più importante dell'inganno.