Sulla base della ricerca del Dr. iur. Dr. rer. pol. Fabian M. A. Teichmann

Immaginate la scena: un dipendente del vostro ufficio contabilità riceve un'e-mail che sembra provenire da voi, in qualità di amministratore delegato. L'oggetto è "Riservato – bonifico urgente". Nel testo gli viene chiesto di trasferire 85.000 euro su un presunto conto fiduciario – a causa di un'acquisizione top secret di cui non deve parlare con nessuno. Il dipendente effettua il bonifico. Il denaro è sparito.

La truffa del CEO (CEO fraud) è solo una delle tante varianti del social engineering – quel metodo di attacco che non prende di mira le vulnerabilità tecniche, ma l'essere umano stesso. Nella sua ricerca, Teichmann analizza il motivo per cui questi attacchi hanno così tanto successo, quali sono le loro conseguenze legali e cosa possono fare le aziende per contrastarli (Teichmann, Phishing und Social Engineering im Mediensektor: Prävention und rechtliche Herausforderungen, AfP 2025, pagg. 490–499).

Cosa sono realmente il phishing e il social engineering

Phishing e social engineering non sono sinonimi, anche se vengono spesso menzionati insieme. Il social engineering è il termine ombrello: descrive tutti i metodi in cui gli aggressori sfruttano deliberatamente le caratteristiche umane – disponibilità, fiducia, rispetto per l'autorità, paura o semplice disattenzione – per indurre le persone a compiere azioni che altrimenti non farebbero (Teichmann, AfP 2025, pagg. 490–499).

Il phishing è la manifestazione più nota: gli aggressori inviano e-mail contraffatte o creano siti web ingannevolmente realistici per carpire credenziali di accesso, password o informazioni sensibili. La forma di massa punta su un'ampia diffusione – milioni di e-mail, e una piccola percentuale di destinatari fa comunque clic. La variante più pericolosa è lo spear phishing: mirata su singole persone e personalizzata sulla base di informazioni precedentemente ricercate sul ruolo, i progetti e la rete di contatti della vittima. Un'e-mail di questo tipo, che si rivolge al destinatario per nome e fa riferimento a un progetto in corso concreto, è quasi indistinguibile dai messaggi autentici.

E poi c'è il livello di escalation più recente: il social engineering basato sull'IA. L'intelligenza artificiale generativa consente agli aggressori di produrre attacchi personalizzati su scala industriale – e di utilizzare i deepfake per falsificare non solo le e-mail, ma anche voci e volti. L'agenzia dell'UE per la cybersicurezza ENISA avverte esplicitamente che l'IA consente agli aggressori di progettare attacchi di social engineering in modo ancora più mirato (Teichmann, AfP 2025, pagg. 490–499).

La spaventosa percentuale di successo

Secondo le recenti analisi dell'ENISA, il phishing è di gran lunga il metodo più comune utilizzato dagli aggressori per penetrare inizialmente all'interno delle organizzazioni. Nel rapporto statistico dell'FBI per il 2022, il phishing è stato il reato informatico più segnalato negli Stati Uniti con oltre 300.000 casi dichiarati – nettamente superiore a tutte le altre categorie di cybercrimine (Teichmann, AfP 2025, pagg. 490–499).

Il motivo: il phishing aggira firewall, software antivirus e tutte le altre misure di protezione tecnica. Non esiste un sistema di sicurezza in grado di riconoscere un'e-mail come phishing se questa è tecnicamente impeccabile e trae in inganno solo per il suo contenuto. Il phishing funge spesso da punto di accesso per attacchi molto più gravi: una volta che l'autore ha sottratto le credenziali di accesso, ha inizio il vero potenziale di danno – ransomware, furto sistematico di dati, spionaggio industriale o sabotaggio (Teichmann, AfP 2025, pagg. 490–499).

I metodi di inganno: dal classico al supportato dall'IA

Nella sua ricerca, Teichmann distingue diverse tecniche di social engineering, che nella pratica vengono spesso combinate.

Il metodo più efficace consiste nel simulare una falsa identità combinata con una pressione temporale artificiale. Un classico nella truffa del CEO: l'aggressore si spaccia per un superiore, crea un senso di urgente necessità di agire e fa appello alla riservatezza. Questa combinazione di autorità, urgenza e segretezza è psicologicamente altamente efficace perché disattiva proprio i meccanismi di controllo che scatterebbero nel normale lavoro quotidiano (Teichmann, CEO Fraud im Kontext generativer künstlicher Intelligenz, ZWH 2024, pagg. 1–8).

Nel vishing – phishing vocale – si utilizza lo stesso meccanismo tramite telefono. Lo smishing sfrutta i messaggi SMS. E il social engineering basato sui deepfake ha raggiunto una nuova dimensione qualitativa grazie all'IA generativa: una telefonata con la voce ingannevolmente reale del capo, una videoconferenza con volti contraffatti – come nel caso già documentato a Hong Kong nel 2024, in cui un dipendente ha effettuato un bonifico di 25 milioni di dollari USA credendo di parlare con colleghi reali (Teichmann, KI-gestützte Betrugsmaschen – Deepfakes als neue Herausforderung für Fraud Detection, Jusletter, 30 giugno 2025).

La dimensione penale

Dal punto di vista del diritto penale, gli attacchi di phishing e social engineering andati a buon fine in Germania integrano regolarmente diverse fattispecie di reato (Teichmann, AfP 2025, pagg. 490–499).

Chiunque ottenga l'accesso non autorizzato a dati protetti da password tramite un attacco di phishing è punibile per spionaggio di dati ai sensi del § 202a StGB (Codice penale tedesco) – con la reclusione fino a tre anni o con una sanzione pecuniaria. Se l'attacco mira a un danno patrimoniale – come nella truffa del CEO – si applica il reato di truffa ai sensi del § 263 StGB o di frode informatica ai sensi del § 263a StGB. L'inganno sull'identità del mittente costituisce un inganno su fatti, che induce in errore la vittima e determina una disposizione patrimoniale dannosa. Se l'attacco danneggia i sistemi informatici – ad esempio tramite l'introduzione di ransomware –, si applica il § 303b StGB, sabotaggio informatico, con una pena che nei casi gravi può arrivare fino a dieci anni.

Il problema nella pratica: la maggior parte degli autori di social engineering opera a livello internazionale e ha sede in giurisdizioni in cui è quasi impossibile perseguirli. La responsabilità penale è chiara – la sua applicazione pratica è il vero problema.

La dimensione civile: chi risponde nei confronti della vittima?

Se un'azienda perde i dati dei clienti a causa di un attacco di social engineering, ai sensi del GDPR sussiste l'obbligo di notifica all'autorità di controllo competente entro 72 ore e, se del caso, l'obbligo di informare le persone interessate. Cruciale a tal fine è una sfavorevole regola sull'onere della prova: l'azienda deve dimostrare di aver adottato tutte le misure di protezione tecniche e organizzative ragionevoli. Se non è in grado di farlo, è responsabile dei danni non patrimoniali subiti dagli interessati (Teichmann, AfP 2025, pagg. 490–499).

Ciò significa che un'azienda che non effettua un'adeguata formazione sulla sicurezza, non utilizza l'autenticazione a più fattori e non dispone di filtri tecnici contro il phishing, si trova in una posizione legale peggiore dopo un attacco riuscito rispetto a un'azienda che ha dimostrato di aver fatto tutto il possibile. Inoltre, ai sensi della direttiva NIS-2, un attacco di phishing riuscito che causi una perdita significativa di dati o un'interruzione dell'attività deve essere segnalato al BSI entro 24 ore.

La psicologia dell'attacco: sei leve che funzionano ogni volta

Ciò che rende l'analisi di Teichmann particolarmente preziosa è lo sguardo sui meccanismi psicologici che rendono il social engineering così efficace.

Gli aggressori utilizzano intenzionalmente sei leve psicologiche. Autorità: le persone seguono automaticamente le figure autorevoli. Urgenza: la pressione temporale disattiva le euristiche – chi non ha tempo di pensare non verifica. Scarsità: "Disponibile solo oggi" crea pressione ad agire. Simpatia: aiutiamo le persone che ci piacciono o che ci sembrano simili a noi. Riprova sociale: "Lo fanno anche tutti gli altri" legittima l'azione richiesta. E reciprocità: ci sentiamo in debito con chi ci ha fatto un favore.

Questi meccanismi non possono essere superati con misure tecniche. L'unica controstrategia efficace è la consapevolezza – ed è proprio per questo che la formazione è il fattore di protezione decisivo (Teichmann, AfP 2025, pagg. 490–499).

Cosa devono fare concretamente le aziende

La formazione regolare dei dipendenti è la singola misura più importante. I dipendenti devono capire come si presentano le e-mail di phishing, quali meccanismi psicologici utilizzano gli aggressori e come reagire in caso di dubbio. Gli attacchi di phishing simulati – in cui vengono inviate e-mail di prova ai dipendenti per verificare chi fa clic – sono uno degli strumenti di formazione più efficaci. La direttiva NIS-2 richiede espressamente tale formazione come parte delle misure di sicurezza informatica.

L'autenticazione a più fattori (MFA) è la misura di contrasto tecnica più importante. Anche se un aggressore sottrae una password, non può accedere al sistema senza il secondo fattore. L'MFA riduce drasticamente la percentuale di successo degli attacchi di phishing.

Processi chiari per le transazioni sensibili sono fondamentali nella prevenzione della truffa del CEO. Una regola semplice può proteggere milioni di euro: i bonifici che superano determinati importi devono sempre essere verificati attraverso un secondo canale – ad esempio una telefonata di conferma a un numero noto, non a quello indicato nell'e-mail. Questa regola deve essere nota prima che si verifichi l'emergenza (Teichmann, AfP 2025, pagg. 490–499).

E la direzione aziendale deve dare il buon esempio. Se i dipendenti vedono che i dirigenti ignorano le regole di sicurezza o richiedono eccezioni, tali regole non verranno prese sul serio. La cultura della sicurezza informatica nasce dall'alto.

La nuova dimensione: quando i deepfake annullano le strategie di rilevamento

Teichmann evidenzia uno sviluppo che sposta l'intero asse della prevenzione del social engineering: i deepfake generati dall'IA rendono obsolete le precedenti strategie di rilevamento. La raccomandazione di telefonare in caso di dubbio si rivela inefficace se anche le voci possono essere clonate. La raccomandazione di essere diffidenti di fronte a videochiamate inaspettate diventa più difficile da seguire se i volti possono essere contraffatti in tempo reale (Teichmann, Deepfake-Imitation und Betrug durch KI-generierte Medien, Kriminalistik 2026, pagg. 194–200).

Cosa ne consegue? Le aziende hanno bisogno di ulteriori livelli di autenticazione che prescindano dall'identificazione visiva e acustica: parole d'ordine per richieste insolite, processi di richiamata istituzionalizzati tramite canali preventivamente concordati e, soprattutto, una cultura aziendale del dubbio – ovvero il diritto e il dovere di ogni dipendente di mettere in discussione anche richieste urgenti da parte di presunti superiori, senza che ciò venga interpretato come slealtà.

Conclusione: l'elemento umano non può essere eliminato dalla tecnologia

Firewall e software antivirus proteggono dal malware. Contro un'e-mail ingannevolmente realistica che tocca esattamente i tasti psicologici giusti, non servono a nulla. E contro i deepfake generati dall'IA ancora meno.

La ricerca di Teichmann evidenzia chiaramente che il social engineering non è un problema tecnico dotato di una soluzione tecnica. È un problema umano che richiede soluzioni umane – sensibilizzazione, formazione, processi e cultura aziendale. L'obbligo legale in tal senso è già normato da tempo con la NIS-2 e il GDPR. La questione non è più se si debba agire, ma se lo si farà prima che il primo dipendente faccia clic.

Tutti i riferimenti bibliografici si riferiscono a pubblicazioni scientifiche del Dr. iur. Dr. rer. pol. Fabian M. A. Teichmann. La bibliografia completa è documentata nell'elenco delle pubblicazioni (aggiornato a maggio 2026).