Cybersecurity come postura culturale: perché il social engineering attacca la mente prima dei sistemi.

di PAOLO POLETTI ♦

Chiariamo anzitutto che il social engineering è l’insieme delle tecniche con cui un attaccante manipola una persona per indurla a rivelare informazioni, concedere un accesso, autorizzare un’operazione o compiere un’azione dannosa.

Le forme più comuni sono il phishing via e-mail; lo spear-phishing, mirato e personalizzato; lo smishing tramite SMS o messaggistica; il vishing attraverso telefonate; il pretexting, fondato sulla costruzione di un’identità o di una situazione credibile; e la Business E-mail Compromise (BEC), nella quale l’attaccante si finge un dirigente, un fornitore o un interlocutore fidato per ottenere pagamenti, dati o modifiche operative. A queste tecniche si aggiunge il quishing, che utilizza QR code ingannevoli, stampati su volantini, avvisi o documenti oppure inviati in formato digitale, per indirizzare la vittima verso siti fraudolenti o false procedure di autenticazione.

Urgenza, paura, autorità, promessa di vantaggio e, sempre più spesso, deepfake audio e video potenziate dalla AI, completano il dispositivo manipolativo. In sintesi, l’attaccante non forza direttamente il sistema: induce qualcuno a farlo al suo posto.

Il ricorso a queste tecniche non è affatto marginale. Le cybergang possono disporre di malware sofisticati, ma hanno comunque bisogno di introdurli nei sistemi: il phishing resta uno dei mezzi più economici, semplici e scalabili per ottenere credenziali, indurre l’apertura di un allegato o convincere la vittima ad avviare un contenuto malevolo. Secondo il Rapporto CLUSIT (Associazione Italiana per la Sicurezza Informatica) relativo al 2025, in Italia phishing e ingegneria sociale sono stati all’origine del 12,4% degli incidenti censiti, con un aumento del 66% rispetto all’anno precedente; a livello mondiale la crescita è stata del 75%. Anche l’Autorità per la Cybersicurezza Nazionale conferma la rilevanza del fenomeno: nel corso del 2025 ha rilevato almeno 2.457 URL di phishing e ha indicato ripetutamente le campagne malevole veicolate tramite e-mail tra i principali vettori osservati. Il dato è significativo: anche quando la fase successiva dell’attacco impiega malware molto evoluti, la porta d’ingresso può restare una comunicazione ingannevole dal costo minimo.

La sicurezza informatica, perciò, non è più soltanto una questione di firewall, password, antivirus, backup o procedure tecniche. Tutti questi strumenti restano indispensabili, ma non bastano. La vera sicurezza nasce da una postura culturale: un modo stabile di pensare, organizzare, decidere e comportarsi davanti al rischio digitale.

Parlare di cybersecurity come “postura culturale” significa riconoscere che l’IT non è più un settore separato dalla vita sociale. È parte della nostra cultura quotidiana e ridisegna la realtà in cui viviamo, rendendola ibrida: in parte materiale e in parte digitale, mediata da piattaforme, dati, identità elettroniche, sistemi informativi e intelligenza artificiale.

La dimensione virtuale non è meno reale di quella materiale. Produce effetti concreti sul lavoro, sulle relazioni, sulla salute, sull’accesso ai servizi, sulla reputazione personale, sul consenso politico e sulla sicurezza collettiva. La cybersecurity, quindi, non è un accessorio tecnico né una competenza riservata agli specialisti: è una componente essenziale della nostra vita digitale e, dunque, della nostra vita reale.

Se una parte crescente della nostra identità e delle nostre relazioni passa attraverso sistemi informativi, proteggere quei sistemi significa tutelare le condizioni della nostra autonomia, della nostra libertà e della nostra convivenza. La sicurezza informatica diventa così una responsabilità culturale, organizzativa e sociale.

Anche una struttura dotata di tecnologie avanzate può restare vulnerabile se le persone non comprendono il rischio, se le procedure sono confuse o se l’urgenza prevale sulla verifica. La cultura della sicurezza consiste proprio nel trasformare l’attenzione al rischio digitale in un’abitudine condivisa: non una reazione occasionale dopo l’incidente, ma un modo ordinario di pensare e agire in una realtà nella quale fisico e digitale sono ormai inseparabili.

La tesi sperimentale di Pierpaolo Greco, elaborata nell’ambito del Master “Intelligence Specialist” dell’Università degli Studi LINK e intitolata “Architettura cognitiva della vittima: modelli neuro-psicologici e training adattivo contro il Social Engineering”, si inserisce in questa prospettiva. Il lavoro parte da una domanda molto concreta: perché, anche in presenza di sistemi tecnologicamente avanzati, il social engineering continua a funzionare?

La risposta proposta dalla tesi è netta: il social engineering non attacca prima di tutto la macchina, ma la mente. Non sfrutta necessariamente una vulnerabilità tecnica del sistema informatico, bensì manipola una persona attraverso messaggi, richieste, finte identità, urgenze o situazioni apparentemente legittime, inducendola a fornire credenziali, aprire un allegato, autorizzare un pagamento o comunicare informazioni riservate. L’aggressore non forza la porta digitale: induce qualcuno ad aprirla.

Da qui il superamento della formula tradizionale dell’utente come “anello debole”: un’immagine comoda, ma riduttiva. L’essere umano non è vulnerabile semplicemente perché sbaglia. Lo è perché percepisce, ricorda, reagisce e decide secondo meccanismi mentali normali. La mente riconosce schemi, cerca familiarità, risparmia energie, reagisce rapidamente alle minacce, tende a fidarsi dell’autorità e a conformarsi al gruppo. Meccanismi utili nella vita quotidiana possono così diventare leve manipolative.

La tesi riformula quindi il social engineering non come un semplice insieme di truffe digitali, ma come un processo strutturato di manipolazione cognitiva. L’attaccante costruisce uno stimolo capace di attivare una sequenza prevedibile: percezione, attenzione, memoria, emozione, bias cognitivi, motivazione e decisione.

Quando riceviamo un messaggio digitale, infatti, non lo valutiamo in modo puramente razionale e astratto. Prima lo riconosciamo come familiare o sospetto; poi gli attribuiamo importanza; quindi lo colleghiamo a esperienze e procedure già note; infine, lo carichiamo emotivamente, come minaccia, urgenza, opportunità o dovere. Solo alla fine decidiamo. Il social engineering non interrompe questo percorso: vi si inserisce e lo sfrutta.

Il primo passaggio è la percezione. Un messaggio efficace deve apparire credibile attraverso il linguaggio, il tono, il mittente e il richiamo a procedure note. L’obiettivo iniziale non è ancora convincere, ma impedire che si attivi il sospetto.

Questo meccanismo è oggi reso più pericoloso dall’intelligenza artificiale generativa e dai deepfake audio e video. In passato molti tentativi di phishing potevano essere riconosciuti attraverso errori grammaticali, grafiche approssimative o indirizzi palesemente anomali. Oggi gli attaccanti possono produrre messaggi impeccabili, personalizzati e coerenti con lo stile comunicativo di un’azienda o di un dirigente, fino a imitarne voce, volto e inflessioni. Non basta più cercare il falso nelle imperfezioni del messaggio: occorre verificare il processo e rispettare i protocolli, indipendentemente dall’apparenza del canale utilizzato.

Il secondo passaggio è l’attenzione. L’attaccante introduce urgenza, rischio o rilevanza personale e restringe il campo mentale della vittima, che tende così a concentrarsi sulla minaccia o sull’adempimento richiesto, trascurando il contesto complessivo.

Il terzo passaggio è la memoria. Molti attacchi imitano procedure già conosciute, come l’aggiornamento di una password, una verifica amministrativa o una richiesta del reparto IT. La vittima riconosce uno schema familiare e tende a eseguire uno script già appreso, senza riesaminare criticamente ogni dettaglio.

Entrano poi in gioco emozioni e bias cognitivi. Paura, ansia, desiderio di evitare una perdita, fiducia nell’autorità e conformità al gruppo riducono la distanza tra stimolo e azione. Una richiesta apparentemente proveniente dal vertice gerarchico sfrutta l’autorità; il riferimento al comportamento dei colleghi attiva la riprova sociale; la promessa di un beneficio agisce sulla motivazione; la minaccia di perdere l’accesso a un servizio fa leva sull’avversione alla perdita.

A quel punto la decisione non appare più come una scelta da ponderare, ma come la risposta più immediata e naturale. L’attacco non obbliga la vittima: costruisce un contesto nel quale cliccare, rispondere o autorizzare un’operazione diventa l’azione cognitivamente più economica.

L’elemento sperimentale della tesi è particolarmente interessante. Greco è stato guidato all’utilizzo di TRIBE V2 (Trimodal Brain Encoder), un modello neurocomputazionale multimodale sviluppato da Meta AI per prevedere pattern di attivazione cerebrale a partire da stimoli testuali, audio e video. Nella ricerca il modello viene applicato a diversi scenari di phishing per osservare come urgenza, paura, autorità, perdita o vantaggio possano produrre configurazioni coerenti con l’elaborazione semantica, emotiva e decisionale.

Naturalmente non si tratta di “leggere” il cervello della singola vittima né di sostituire la sperimentazione neuroscientifica diretta. Il modello opera “in-silico”, cioè mediante una simulazione al computer anziché su persone reali. Serve a rendere visibile una dinamica: il social engineering non sfrutta un singolo errore, ma attiva e coordina in sequenza più componenti cognitive.

La tesi richiama inoltre la corrispondenza di queste dinamiche con circuiti cerebrali coinvolti nell’attenzione, nella risposta emotiva e nel controllo decisionale. Il punto decisivo, tuttavia, non è localizzare l’attacco in una singola area del cervello, bensì comprendere che il comportamento umano segue regolarità prevedibili. È su queste regolarità che l’attaccante costruisce messaggi credibili, urgenti o emotivamente rilevanti.

Ne emerge una vera pipeline cognitiva dell’attacco: percezione credibile, cattura dell’attenzione, attivazione della memoria, risposta emotiva, bias cognitivi, motivazione, decisione e azione. Il problema, dunque, non è il singolo “clic sbagliato”: il clic è soltanto l’ultimo atto di una sequenza già preparata.

Da qui deriva la motivazione più forte della ricerca: se gli attacchi sono costruiti sui meccanismi reali della cognizione, anche la difesa deve essere progettata tenendo conto di quei meccanismi. Non basta invitare genericamente gli utenti a “stare attenti”. Occorre costruire ambienti organizzativi nei quali sia più difficile cadere nella trappola.

Il primo rimedio è culturale. La cybersecurity deve diventare una competenza diffusa e non una responsabilità confinata all’ufficio IT o alle funzioni di Information Security Management. Chiunque utilizzi sistemi informativi, gestisca dati, firmi documenti o autorizzi operazioni è parte del perimetro di sicurezza. Ciò non significa attribuire all’utente la colpa dell’incidente, ma riconoscere che la sicurezza è un comportamento collettivo, sostenuto da responsabilità tecniche, organizzative e manageriali.

Decisiva è anche la qualità delle relazioni interne. Se le funzioni IT e di Information Security Management vengono percepite come distanti, punitive o eccessivamente burocratiche, chi commette un errore o nutre un dubbio tenderà a tacere. Una comunicazione accessibile e priva di giudizio, invece, trasforma le persone in un sistema di allerta precoce. La possibilità di segnalare subito un clic accidentale o una richiesta sospetta, senza timore di conseguenze sproporzionate, riduce il vantaggio dell’attaccante e rafforza la resilienza dell’organizzazione.

Il secondo rimedio è formativo. La formazione non deve essere soltanto nozionistica, periodica e uguale per tutti. Deve essere adattiva, esperienziale e fondata su scenari realistici. Non può basarsi esclusivamente sulla compliance né, peggio, sulla minaccia della sanzione o su logiche di FUD – Fear, Uncertainty, Doubt, cioè paura, incertezza e dubbio – perché un approccio punitivo o allarmistico genera distanza, passività e rimozione del problema.

Poiché la cybersecurity fa ormai parte della cultura quotidiana, deve essere proposta come una competenza che consente di lavorare meglio e con maggiore sicurezza, nell’interesse di tutti. La sua utilità si estende inoltre alla vita privata e alle relazioni digitali. La formazione efficace non trasmette soltanto regole e non insegna solo a riconoscere una “mail falsa”: aiuta a individuare le leve cognitive dell’attacco – urgenza, autorità, paura, promessa di vantaggio, pressione sociale, richiesta di segretezza – e allena riflessi critici validi tanto sul lavoro quanto nella vita quotidiana.

Il terzo rimedio è organizzativo. Le procedure devono impedire che una singola persona, sotto pressione, possa compiere da sola un’azione ad alto rischio. Pagamenti, modifiche di coordinate bancarie, trasferimenti di dati e richieste anomale devono prevedere controlli incrociati, conferme su canali separati e tracciabilità. La sicurezza non può dipendere dall’eroismo attentivo del singolo.

Il quarto rimedio riguarda la progettazione dei sistemi e del lavoro. Interfacce confuse, avvisi troppo numerosi e procedure che premiano sempre la rapidità creano vulnerabilità. La buona progettazione deve introdurre pause, segnali chiari e verifiche contestuali nei momenti critici. Deve anche tenere conto dell’iper-connessione, della frammentazione dell’attenzione e del sovraccarico informativo che caratterizzano il lavoro contemporaneo. Stanchezza, multitasking e pressione temporale riducono il controllo riflessivo e favoriscono risposte automatiche. Proteggere la lucidità decisionale delle persone è quindi parte integrante della cybersecurity.

Il quinto rimedio è tecnico. Autenticazione multifattore, filtri anti-phishing, protezione degli endpoint, monitoraggio degli accessi, segmentazione, logging, backup e gestione delle identità restano fondamentali. Devono però essere integrati con la dimensione umana e procedurale. La tecnologia riduce il rischio; la cultura impedisce che il rischio venga continuamente ricreato dai comportamenti e dai processi.

Infine, vi è il livello manageriale. La leadership deve dare l’esempio. Se i vertici chiedono risposte immediate, deroghe informali e decisioni fuori processo, creano il terreno ideale per il social engineering. Una cultura della sicurezza richiede che anche il management accetti controlli, tempi di verifica e limiti operativi.

La conclusione della tesi è particolarmente significativa: la vulnerabilità umana non può essere eliminata, perché coincide in parte con il normale funzionamento della mente. Può però essere compresa, governata e compensata attraverso sistemi migliori. L’obiettivo non è costruire utenti infallibili, ma organizzazioni resilienti.

In questo senso, la cybersecurity diventa davvero una postura culturale: non un insieme di adempimenti, ma una forma di intelligenza organizzativa. Significa imparare a interrogare l’urgenza, la familiarità e l’autorità apparente di un messaggio, senza consentire che questi elementi sostituiscano la verifica.

Il social engineering funziona perché sfrutta la normalità della mente umana. La difesa deve allora partire da una nuova normalità organizzativa: meno automatismi e più consapevolezza; meno colpevolizzazione dell’utente e più progettazione sicura; meno sicurezza come obbligo formale e più sicurezza come cultura condivisa.

La lezione finale è semplice: non si protegge un sistema informatico se non si protegge anche il modo in cui le persone percepiscono, ricordano, si emozionano e decidono. In un tempo in cui gli attacchi diventano sempre più personalizzati, automatizzati e persuasivi, la cybersecurity non potrà essere soltanto tecnica. Dovrà essere cognitiva, organizzativa e culturale.

PAOLO POLETTI