neuroscienza.comArticoli · Ingegneria sociale

Dieci attacchi di ingegneria sociale che hanno fatto la storia (e un mito da Hollywood)

Da Kevin Mitnick ai deepfake di Arup, fino ai supermercati britannici: dieci casi veri, la leva usata, il costo e la lezione. Più la storia di Frank Abagnale, in gran parte inventata.

Solidasocial-engineeringtruffeingannofiducia

19 marzo 2016. John Podesta, presidente della campagna elettorale di Hillary Clinton, riceve un avviso di sicurezza che sembra di Google e lo invita a cambiare subito la password. La sua capo dello staff fa la cosa giusta e gira l'email all'assistenza informatica. La risposta del tecnico arriva in poco tempo: "This is a legitimate email", è un'email legittima. Mesi dopo il tecnico dirà di aver dimenticato un "non". Nel frattempo Podesta segue il link, gli attaccanti entrano nella sua casella Gmail e le email finiscono pubblicate su WikiLeaks nel pieno della campagna presidenziale.

Una persona prudente aveva chiesto un parere. Un esperto aveva risposto. E l'attacco è passato lo stesso. Come si spiega? Per capirlo vale la pena guardare la storia dell'ingegneria sociale tutta insieme. Le tecnologie cambiano ogni decennio. Le leve, molto meno.

In breve

Dieci casi veri in ordine cronologico, dal 1979 al 2025, più un mito. Per ognuno: la leva psicologica, il costo, la lezione. Il filo comune è sorprendente: quasi nessuno di questi attacchi ha richiesto tecnologia sofisticata. Ha richiesto una storia credibile, raccontata alla persona giusta, nel momento giusto.

🟢 Solida: i casi sono documentati da atti giudiziari, documenti ufficiali alla SEC, rapporti di autorità e cronaca autorevole.

1979-1995: Kevin Mitnick, il ragazzo al telefono

Nel 1979, a 16 anni, Mitnick entra nel sistema usato da Digital Equipment Corporation per sviluppare un sistema operativo. Non lo buca: telefona a un amministratore fingendosi un membro del team di sviluppo e si fa dare l'accesso. Seguono anni di intrusioni nelle compagnie telefoniche e di latitanza, fino all'arresto nel 1995 a Raleigh e a cinque anni di carcere. Uscito nel 2000, diventa consulente di sicurezza. Muore il 16 luglio 2023. Leva: appartenenza al gruppo e autorità tecnica. Lezione: "uno di noi" va verificato come uno sconosciuto.

2011: RSA e il "piano assunzioni"

Alcuni dipendenti poco in vista di RSA, azienda che produce i token di sicurezza SecurID, ricevono un'email con oggetto "2011 Recruitment Plan" e un foglio Excel allegato. L'email finisce nella cartella della posta indesiderata. Almeno una persona la recupera e la apre. Il file sfrutta una falla allora sconosciuta di Flash. Da lì gli attaccanti ottengono accessi privilegiati e portano via file. La società madre EMC spende 66 milioni di dollari in un solo trimestre, anche per sostituire i token di circa un terzo dei clienti. Leva: curiosità e interesse personale. Lezione: i filtri automatici non bastano se l'argomento è irresistibile.

2013: Target e il fornitore

Intorno al 12 novembre 2013 gli attaccanti entrano nella rete della catena americana Target con credenziali rubate a un fornitore esterno. Risultato: oltre 41 milioni di carte di pagamento compromesse e i contatti di oltre 60 milioni di clienti. Solo l'accordo con 47 Stati e il Distretto di Columbia, nel 2017, costa 18,5 milioni di dollari. Secondo le ricostruzioni giornalistiche del febbraio 2014, tutto sarebbe partito da un'email di phishing ricevuta da una piccola ditta di climatizzazione che lavorava per Target ("Target Breach: Phishing Attack Implicated", Dark Reading). Leva: fiducia nella catena dei fornitori. Lezione: chi lavora per te fa parte della tua superficie d'attacco.

2013-2015: le fatture finte a Google e Facebook

Il lituano Evaldas Rimasauskas si spaccia per Quanta Computer, vero fornitore taiwanese di hardware, e manda agli uffici contabili di Google e Facebook fatture da indirizzi email contraffatti. Le aziende pagano: circa 23 milioni di dollari Google, 99 milioni Facebook. Condannato a cinque anni, deve restituire 49,7 milioni. Leva: routine e status quo: una fattura di un fornitore noto non si mette in dubbio. Lezione: ogni cambio di coordinate bancarie si verifica per telefono, a un numero già noto.

2016: Podesta e il "legittimo"

È il caso del gancio. Secondo la società di sicurezza SecureWorks, il link portava al gruppo noto come Fancy Bear. In un'intervista a Slate il tecnico ha spiegato di aver voluto scrivere "non legittima" e di aver consigliato di cambiare password "per eccesso di prudenza". Leva: paura e urgenza, più l'autorità di un marchio familiare. Lezione: la verifica deve dire anche cosa non fare: mai cambiare la password dal link ricevuto.

2020: Twitter e la VPN

In piena pandemia, finti tecnici dell'help desk telefonano ai dipendenti di Twitter per un "problema alla VPN". Il rapporto del New York Department of Financial Services conta 130 account compromessi, tra cui quelli di Obama, Biden e Musk, e circa 118.000 dollari in bitcoin raccolti con una truffa. A guidare il gruppo c'era un diciassettenne. Leva: autorità del ruolo e problemi davvero diffusi. Lezione: il lavoro da remoto moltiplica le occasioni credibili. Approfondimento in La telefonata all'help desk.

2022: Uber e le notifiche

Un attaccante che dice di avere 18 anni compra le credenziali di un collaboratore e lo bombarda di richieste di approvazione. Il collaboratore rifiuta, poi cede. Secondo Malwarebytes, l'attaccante gli aveva scritto su WhatsApp di accettare per far smettere le notifiche. Leva: stanchezza e voglia di far finire il fastidio. Lezione: l'MFA che chiede solo "Approva?" si può vincere per sfinimento. Vedi SIM swap e MFA fatigue.

2023: MGM e Caesars, i casinò

Secondo la stampa, il gruppo noto come Scattered Spider chiama l'assistenza IT fingendosi un dipendente e ottiene il reset delle credenziali. MGM dichiara alla SEC un impatto di circa 100 milioni di dollari; secondo il Wall Street Journal Caesars, colpita attraverso un fornitore esterno di supporto IT, paga 15 milioni di riscatto. Leva: voglia di aiutare e metriche sulla velocità. Lezione: la procedura di recupero dell'account è sicura quanto l'help desk che la gestisce.

2024: Arup e la riunione che non c'era

Un impiegato della sede di Hong Kong della società di ingegneria Arup sospetta di un'email "dalla sede di Londra" che chiede un'operazione riservata. Poi partecipa a una videochiamata con quello che sembra il direttore finanziario e alcuni colleghi. Sono tutti deepfake. Seguono 15 bonifici per 200 milioni di dollari di Hong Kong, circa 25,6 milioni di dollari americani. Leva: riprova sociale e autorità insieme. Lezione: una faccia sullo schermo non è più una prova.

2025: Marks & Spencer e Co-op

Ad aprile gli attaccanti chiamano le linee di supporto IT fingendosi dirigenti. M&S sospende gli ordini online per 46 giorni e stima un danno di circa 300 milioni di sterline; Co-op dichiara costi per 206 milioni e il furto dei dati di 6,5 milioni di soci, con scaffali vuoti per settimane. Leva: autorità e cortesia del servizio. Lezione: due anni dopo MGM, la stessa porta era ancora aperta.

Cosa hanno in comune

I numeri

Il mito da smontare

Frank Abagnale, il re dei truffatori di "Prova a prendermi". 🔴 Mito. Il film di Spielberg racconta un adolescente che negli anni Sessanta si finge pilota, medico e avvocato e incassa una fortuna con assegni falsi. Su questa storia Abagnale ha costruito per decenni una carriera di consulente e conferenziere antifrode. Ma lo scrittore Alan C. Logan, nel libro The Greatest Hoax on Earth (2020), sostiene sulla base di documenti pubblici che in quegli anni Abagnale era per lo più in carcere, e definisce la fuga "completamente inventata". Ha trovato invece una storia meno romantica: nel 1969, fingendosi pilota della TWA, si legò a una giovane assistente di volo, la seguì e sottrasse denaro alla sua famiglia a Baton Rouge. Abagnale ha risposto di non aver letto il libro. La lezione è doppia: anche la storia del "più grande truffatore" era una truffa, e ci abbiamo creduto perché era raccontata bene.

Segnali d'allarme

Come difendersi

  1. Verifica su un canale che scegli tu, con un numero già noto. È la contromisura che avrebbe fermato quasi tutti questi casi.
  2. Regola dei due per pagamenti fuori procedura e reset di account importanti.
  3. MFA resistente al phishing (chiavi FIDO2, passkey), come raccomanda CISA.
  4. Diritto alla lentezza: nessuno viene rimproverato per aver verificato, nemmeno se la richiesta era vera.
  5. Fornitori nello stesso perimetro di sicurezza, con regole scritte nel contratto.
  6. Segnalare subito, senza vergogna: quasi tutti i danni crescono con il tempo che passa.

Se è già successo

Interrompi subito l'operazione, avvisa banca e responsabili dal numero ufficiale, cambia le credenziali, conserva le prove e denuncia alla Polizia Postale (commissariatodips.it). La guida passo per passo è in Cosa fare se ci sei cascato.

Mettiti alla prova

Lavori in amministrazione. Arriva un'email dal vostro fornitore storico di imballaggi, con il logo giusto e la firma della solita referente: "Vi informiamo che dal mese prossimo le fatture andranno pagate sul nuovo conto indicato in allegato, per un cambio di banca. Vi preghiamo di aggiornare l'anagrafica entro venerdì."

Attacco o richiesta vera?

Soluzione: non si può sapere dall'email, ed è la storia di Google e Facebook. I fornitori cambiano banca davvero. Ma un cambio di coordinate si verifica sempre telefonando alla referente al numero già in anagrafica, non a quello nell'email. Se il cambio è vero, ci vogliono due minuti. Se è falso, hai appena evitato un bonifico che difficilmente rivedrai.

Per approfondire

Fonti

  1. "Hillary's IT guy was confident phishing email wasn't a phishing email", Motherboard/VICE, dicembre 2016. https://motherboard.vice.com/read/hillarys-it-guy-was-confident-phishing-email-wasnt-a-phishing-email
  2. W. Oremus, intervista a Charles Delavan, Slate, 14 dicembre 2016. https://www.slate.com/articles/technology/future_tense/2016/12/an_interview_with_charles_delavan_the_it_guy_whose_typo_led_to_the_podesta.html
  3. "Infamous hacker Kevin Mitnick dead at 59", CSO Online, luglio 2023. https://www.csoonline.com/article/646741/infamous-hacker-kevin-mitnick-dead-at-59.html
  4. "RSA's SecurID breach started with phishing email", eWeek, aprile 2011. https://www.eweek.com/security/rsa-s-securid-breach-started-with-phishing-email/
  5. "RSA SecurID breach cost $66 million", Dark Reading, 28 luglio 2011. https://www.darkreading.com/cyberattacks-data-breaches/rsa-securid-breach-cost-66-million
  6. Office of the Nevada Attorney General, "47 States reach $18.5 million settlement with Target Corporation over 2013 data breach", 23 maggio 2017. https://ag.nv.gov/News/PR/2017/Attorney_General_Laxalt_and_47_States_Reach_$18_5_Million_Settlement_With_Target_Corporation_over_2013_Data_Breach
  7. "Man jailed for $122 million scam that fooled Google and Facebook", Sophos. https://www.sophos.com/fr-fr/blog/man-jailed-for-122-million-scam-that-fooled-google-and-facebook
  8. New York State Department of Financial Services, Twitter Investigation Report, ottobre 2020. https://www.dfs.ny.gov/system/files/documents/2026/07/Twitter-Investigation-Report.pdf
  9. "Uber exposes Lapsus$ extortion group for security breach", TechRepublic, 20 settembre 2022. https://www.techrepublic.com/article/uber-exposes-lapsus-breach/
  10. "Uber hacked, again", Malwarebytes, settembre 2022. https://www.malwarebytes.com/blog/news/2022/09/uber-hacked-again-in-what-seems-an-uber-hack-this-time
  11. MGM Resorts International, Form 8-K, 5 ottobre 2023, SEC. https://www.sec.gov/Archives/edgar/data/789570/000119312523251667/d461062d8k.htm
  12. Caesars Entertainment, Form 8-K, 14 settembre 2023, SEC. https://www.sec.gov/Archives/edgar/data/1590895/000119312523235015/d537840d8k.htm
  13. J. Rebholz, articolo sugli attacchi a MGM e Caesars, Insurance Journal, 31 gennaio 2024. https://www.insurancejournal.com/news/national/2024/01/31/758619.htm
  14. "British engineering giant Arup revealed as $25 million deepfake scam victim", CNN Business, 16 maggio 2024 (ripreso da ABC17). https://abc17news.com/money/cnn-business-consumer/2024/05/16/british-engineering-giant-arup-revealed-as-25-million-deepfake-scam-victim/
  15. "M&S ends service contract with TCS after £300m cyberattack", Computing, 27 ottobre 2025. https://www.computing.co.uk/news/2025/security/m-s-ends-contract-with-tcs
  16. "After 46-day cyberattack pause, M&S resumes online orders", Reuters (via StreetInsider), 10 giugno 2025. https://www.streetinsider.com/Reuters/After+46-day+cyberattack+pause%2C+M%26S+resumes+online+orders/24916574.html
  17. "Co-op declares cyber attack damage cost it £206m", Computer Weekly, 25 settembre 2025. https://www.computerweekly.com/news/366632018/Co-op-declares-cyber-attack-damage-cost-it-206m
  18. X. Lopez, "Could this famous conman be lying about his story? A new book suggests he is", WHYY, 23 aprile 2021. https://whyy.org/segments/the-greatest-hoax-on-earth/
  19. Logan, A. C. (2020). The Greatest Hoax on Earth: Catching Truth, While We Can.
  20. CISA e FBI, Scattered Spider, advisory AA23-320A. https://cisa.gov/news-events/cybersecurity-advisories/aa23-320a
  21. Verizon, 2025 Data Breach Investigations Report, comunicato. https://verizon.com/about/news/2025-data-breach-investigations-report ; sintesi Help Net Security, 23 aprile 2025. https://www.helpnetsecurity.com/2025/04/23/verizon-2025-data-breach-investigations-report-dbir/
  22. "Report annuale Polizia Postale 2025", Cybersecurity360. https://www.cybersecurity360.it/news/report-annuale-polizia-postale-2025-la-normalita-dellattacco-il-dovere-della-resilienza/