Social Engineering di Christopher Hadnagy: come si hackera una persona, e come difendersi

Il manuale di un noto penetration tester spiega come lavora chi manipola le persone. Utile per riconoscere gli attacchi, con alcune basi scientifiche fragili.

In una frase

Un professionista che entra nelle aziende fingendosi un altro, con il permesso dei clienti, racconta come ragionano gli attaccanti che usano le persone invece dei computer. Conta perché quasi ogni truffa moderna, dalla mail di phishing alla telefonata del finto tecnico, segue lo stesso schema.

L'autore e il contesto

Christopher Hadnagy guida una società che fa test di sicurezza sul "fattore umano": manda mail di phishing simulate, telefona ai dipendenti, prova a entrare negli edifici. Il libro è la seconda edizione, molto riscritta, di un suo testo del 2010. È scritto da chi lavora sul campo, non da un ricercatore. Le storie sono tante e vivaci. Le citazioni scientifiche ci sono, ma spesso servono a dare una cornice a ciò che l'autore ha visto funzionare.

La sua definizione di ingegneria sociale è volutamente larga: "any act that influences a person to take an action that may or may not be in his or her best interests" (cap. 1). Per lui le stesse leve servono al truffatore, al medico o al genitore. Cambia l'intenzione.

Le idee chiave

1. L'attacco ha una struttura riconoscibile. 🟢 Solida (come descrizione pratica) Hadnagy la disegna come una piramide. Alla base c'è la raccolta di informazioni pubbliche (OSINT). Poi la costruzione di un personaggio credibile (pretesto), il piano, l'esecuzione. In cima c'è il rapporto finale al cliente. L'autore nota che i criminali seguono tutti i passi tranne l'ultimo. La lezione difensiva è chiara: quasi nessuno ti chiama "a freddo". Prima ha letto ciò che tu e la tua azienda avete reso pubblico.

2. Il nemico dell'attaccante è il pensiero lento. 🟢 Solida "Thinking is the enemy of the social engineer" (cap. 1). Ogni dettaglio del pretesto serve a non far scattare domande. È coerente con la ricerca sui due modi di pensare e con la teoria del truth-default di Levine: tendiamo a credere, finché qualcosa non stona.

3. Le leve dell'influenza. 🟢 Solida (i principi) / 🟡 Promettente (le aggiunte) Il capitolo centrale riprende i principi di Cialdini: reciprocità, scarsità, autorità, coerenza, simpatia, riprova sociale. Ne aggiunge due suoi, obbligo e concessione. I primi sei hanno decenni di esperimenti alle spalle. Le due aggiunte sono varianti ragionevoli della reciprocità, ma poggiano soprattutto sull'esperienza dell'autore.

4. Rapporto, cornice ed elicitazione. 🟡 Promettente L'attaccante crea un legame rapido, mette la conversazione in una cornice ("sono uno di voi", "è una cosa di routine") e ottiene informazioni senza fare domande dirette. Le persone amano correggere un errore, sentirsi esperte, essere ascoltate. Il meccanismo è plausibile e ben documentato nella pratica investigativa. Gli studi controllati sulle singole tecniche sono pochi.

5. Profilare le persone con il DISC. 🟠 Da testare Hadnagy propone di inquadrare l'interlocutore in quattro stili (dominante, influente, stabile, coscienzioso) per adattare il proprio modo di parlare. Lui stesso avverte che non è "street magic". Il DISC però è uno strumento commerciale, con validità scientifica debole rispetto a modelli come i Big Five. Può aiutare a ricordare che le persone comunicano in modi diversi. Non è una mappa affidabile della personalità.

6. Leggere il corpo e il volto. 🟠 Da testare, con punte 🔴 Mito Il capitolo sul non verbale si appoggia molto al lavoro di Paul Ekman, suo collaboratore: emozioni di base, microespressioni, segnali di comfort e disagio. Hadnagy è onesto su un punto. Racconta che Ekman gli fece eliminare un capitolo sui neuroni specchio perché la ricerca era in discussione. Restano però affermazioni fragili. Riconoscere bugie dalle microespressioni non ha buon supporto: in media le persone riconoscono l'inganno poco sopra il caso. L'idea che pose "di potere" alzino il testosterone non ha retto alle repliche 🔴. Anche "il dirottamento dell'amigdala" è più una metafora che un meccanismo 🟠.

Cosa regge e cosa no

Regge la parte sociale. I principi di influenza, il ruolo dell'autorità e dell'urgenza, il fatto che la fiducia sia la scorciatoia che l'attaccante sfrutta: qui la ricerca e l'esperienza dell'autore vanno nella stessa direzione 🟢.

Regge meno la parte "neuro". Hadnagy spiega il rapporto con ossitocina e dopamina: se fai sentire l'altro capito, il suo cervello ti premia e ti dà fiducia. È un racconto suggestivo. Gli studi sull'ossitocina come "molecola della fiducia" hanno però avuto molti problemi di replica 🟠. Il libro cita anche numeri come la quota di comunicazione "non verbale" all'80-90%, prendendone in parte le distanze. Quella cifra nasce da un esperimento molto ristretto e non vale per la comunicazione in generale 🔴.

Va riconosciuta la sua posizione etica, più seria della media del settore. Distingue l'influenza, far sì che l'altro voglia fare una cosa, dalla manipolazione, che non si cura di come l'altro si sente. Racconta di aver cambiato metodo dopo un incarico in cui aveva spaventato i dipendenti per "vincere". Il motto della sua società è "Leave them feeling better for having met you" (cap. 3). E insiste su un punto non negoziabile: un test di ingegneria sociale si fa solo con un'autorizzazione scritta del cliente, che il tester porta con sé. Senza quel documento non è un test. È un reato.

Un limite: per chi studia i meccanismi, il libro è anche un manuale per attaccanti. L'autore lo ammette e usa il paragone dell'automobile. Il dibattito resta aperto. Questa scheda descrive le idee solo al livello che serve a riconoscerle.

Una cosa da fare subito

Separa la richiesta dal canale da cui arriva. Quando un messaggio, una chiamata o una persona ti chiede qualcosa di sensibile (dati, password, un pagamento, l'accesso a un'area), fermati e verifica usando un canale che scegli tu: il numero in rubrica, il portale ufficiale, un collega che conosci. Mai il numero o il link forniti da chi chiede. Fai attenzione ai tre segnali che il libro descrive di continuo: urgenza, autorità, un favore che "ricambia" qualcosa.

Per chi gestisce un'organizzazione, il capitolo sulla difesa (il piano M.A.P.P.) dà un'indicazione chiara: premiare chi segnala, non punire chi sbaglia. In un caso raccontato dall'autore, un semplice premio simbolico mensile ha portato le segnalazioni di phishing da circa il 7% a oltre l'87% in pochi mesi (dato del libro, un singolo cliente). Una regola utile per tutti: se hai già cliccato, segnalarlo subito è ancora la mossa giusta.

Per chi è

• Responsabili IT e sicurezza che devono formare il personale.
• Chi lavora a contatto con il pubblico: reception, contabilità, assistenza clienti.
• Lettori curiosi di persuasione, a patto di leggere con spirito critico le parti su DISC e linguaggio del corpo.

Non è un testo di psicologia scientifica. È la testimonianza ordinata di un professionista, utile soprattutto per capire come pensa chi ti sta dall'altra parte.

Collegamenti

• Capitoli di Neuroscienza: 41, 42, 44.
• Altri articoli: libro-levine-duped (perché tendiamo a credere), concetto truth-default, principi di influenza di Cialdini, mito delle microespressioni, mito della comunicazione "93% non verbale", guide della sezione difesa su phishing e vishing.