Perché le persone cliccano: la psicologia del phishing

Il malinteso di fondo

La security awareness classica parte da un presupposto implicito: chi clicca non sapeva. Quindi insegniamo a controllare il mittente, a passare il mouse sul link, a diffidare degli allegati. Sono cose giuste e vanno fatte. Ma non spiegano il fenomeno che chiunque lavori in sicurezza ha visto almeno una volta: anche le persone formate cliccano. Spesso proprio quelle competenti.

Il motivo è che un attacco di social engineering ben costruito non punta alle conoscenze. Punta al modo in cui funzioniamo quando siamo sotto carico. E quando siamo sotto carico non ragioniamo come crediamo di ragionare: usiamo scorciatoie, automatismi, regole pratiche che nella vita quotidiana funzionano benissimo — ed è esattamente lì che si infila l'inganno.

Le quattro leve

L'urgenza. «Entro oggi», «il pagamento è sospeso», «l'accesso verrà bloccato». La fretta non serve a rendere il messaggio più credibile: serve a togliere il tempo in cui la verifica avverrebbe naturalmente. Un messaggio senza scadenza viene controllato; uno con scadenza viene eseguito.

L'autorità. «Me lo chiede l'amministratore delegato.» È la leva più efficace in assoluto, e non perché le persone siano remissive: nelle organizzazioni funzionali è normale dare seguito a una richiesta di un superiore senza sottoporla a interrogatorio. L'attaccante non forza una debolezza: sfrutta una regola sana. È il motivo per cui le truffe del falso CEO continuano a riuscire in aziende serie.

La paura di creare un problema. Molte persone non verificano perché verificare significa rallentare qualcuno, sembrare diffidenti, far perdere tempo a un cliente o a un capo. Il costo sociale della verifica è immediato e certo; il rischio è astratto e improbabile. Nella percezione, il conto torna quasi sempre a favore del clic.

Il desiderio di essere utili. Le persone più disponibili — quelle che rispondono a tutti, che risolvono, che si fanno carico — sono spesso le più esposte. È un dato che dovrebbe far riflettere sul linguaggio che usiamo dopo un incidente: la caratteristica che ha permesso l'attacco è la stessa che rende quella persona preziosa per l'organizzazione.

Il secondo tempo: cosa succede dopo il clic

C'è una parte di cui si parla ancora meno, e che nella gestione di un incidente pesa più della prima: chi sbaglia spesso non lo dice. O lo dice tardi.

Non è malafede. È vergogna, e timore delle conseguenze. Le stesse ore in cui una segnalazione immediata permetterebbe di isolare una macchina e cambiare delle credenziali vengono spese a sperare che non sia successo niente, o a provare a sistemare da soli. In una organizzazione dove l'errore viene punito o ridicolizzato, quel ritardo diventa strutturale — e il tempo, in risposta a un incidente, è la sola risorsa che non si può comprare.

Ne consegue una cosa poco intuitiva: la cultura interna è un controllo di sicurezza. Un'azienda in cui segnalare un proprio errore è normale, e anzi apprezzato, reagisce più in fretta di una che ha investito di più in tecnologia ma punisce chi sbaglia. Non è buonismo aziendale: è tempo di risposta.

Chi c'è dall'altra parte

Vale la pena aggiungere un elemento che di solito manca. Chi costruisce questi attacchi non li vive come un danno a delle persone: lo schermo cancella il volto della vittima, e dall'altra parte del codice resta «un sistema», una sfida da vincere. È il meccanismo che in psicologia si chiama disimpegno morale, e spiega perché l'efficacia dell'inganno venga curata con freddezza professionale. Ne ho scritto in modo più esteso nell'identikit psicologico dell'hacker.

Conoscere questo aspetto non è un esercizio teorico: cambia il modo in cui si legge un messaggio sospetto. Chi attacca non improvvisa — studia l'organigramma, i tempi, il linguaggio interno, i momenti dell'anno in cui si è più di corsa.

Cosa funziona davvero

Se il problema non è di conoscenze, la soluzione non può essere solo informativa. Tre direzioni che, nella mia esperienza, spostano l'ago più delle slide:

1. Nominare i meccanismi. Riconoscere l'urgenza mentre agisce su di noi è un'abilità allenabile — molto più utile che memorizzare l'ennesima lista di segnali sospetti.
2. Rendere la verifica socialmente accettabile. Se richiamare il proprio direttore per confermare un bonifico è considerato normale e non offensivo, una delle leve principali smette di funzionare. È una decisione organizzativa, non tecnica.
3. Separare la segnalazione dalla colpa. Chi segnala subito un proprio errore fa un favore all'azienda. Se il messaggio interno è questo — e viene confermato dai fatti — i tempi di risposta si accorciano da soli.

Un obbligo che diventa un'occasione

Il D.lgs. 138/2024, che recepisce la direttiva NIS2, richiede formazione documentata in materia di sicurezza informatica, e per gli organi di amministrazione e direzione prevede una formazione specifica, con responsabilità personale in capo agli amministratori. Le specifiche di base adottate dall'ACN includono una misura dedicata a sensibilizzazione e formazione del personale.

Si può assolvere l'obbligo nel modo più rapido, oppure usarlo per affrontare il punto vero. La superficie d'attacco più estesa che abbiamo continua a essere umana: merita strumenti all'altezza.

Mi occupo di cybercrime da anni — sono consulente della Commissione parlamentare Antimafia per le attività legate al cybercrime — e sono psicologo iscritto all'Ordine del Lazio. Porto in azienda la parte psicologica della sicurezza: la formazione sul fattore umano.