Cos’è il social engineering e come un’ azienda può proteggersi

Il social engineering, o ingegneria sociale, è un insieme di tecniche di manipolazione psicologica con cui un attaccante induce un soggetto a compiere azioni o rivelare informazioni riservate, aggirando i controlli tecnologici attraverso il comportamento umano. In ambito aziendale, rappresenta il vettore d’attacco dominante nei casi di Business Email Compromise (BEC), CEO fraud e sostituzione fraudolenta di coordinate bancarie.
Secondo il Rapporto Clusit 2026, gli attacchi basati su phishing e social engineering in Italia sono cresciuti del 66% nel 2025 rispetto all’anno precedente, con un contributo determinante dell’intelligenza artificiale generativa (fonte: Clusit, marzo 2026). A livello globale, il Verizon Data Breach Investigations Report 2025 conferma che l’elemento umano è coinvolto nel 60% delle violazioni di dati confermate (fonte: Verizon DBIR, aprile 2025).
In breve:

Il significato di social engineering va ricercato nella componente psicologica dell’attacco: l’ingegneria sociale non sfrutta falle nel codice o nelle infrastrutture, ma vulnerabilità cognitive e comportamentali delle persone. L’obiettivo è ottenere da un soggetto autorizzato un’azione che di norma non compirebbe se disponesse di tutte le informazioni corrette.
Il termine deriva dall’accademia delle scienze sociali, dove l’espressione indicava la progettazione intenzionale del comportamento collettivo. In ambito della sicurezza informatica, il significato si è ristretto all’uso malevolo di tecniche persuasive per compromettere sistemi, processi o patrimoni aziendali. La distinzione rispetto agli attacchi puramente tecnici è strutturale: anche un’infrastruttura IT priva di vulnerabilità note può essere compromessa se un operatore autorizzato viene manipolato a cedere credenziali o eseguire un pagamento fraudolento.
Per un CFO o un responsabile delle operazioni finanziarie, questo implica che la superficie d’attacco non si riduce con i soli investimenti in sicurezza informatica tradizionale. Il perimetro da presidiare include i processi decisionali umani, le procedure operative e i canali di comunicazione interni.

Il social engineering funziona perché agisce su meccanismi cognitivi che operano al di fuori del ragionamento razionale deliberato. Gli attaccanti selezionano e combinano queste leve in funzione del profilo del target e del contesto operativo.

Il messaggio fraudolento simula la provenienza da una figura gerarchica superiore (CEO, CFO, partner bancario, ente regolatorio). La pressione gerarchica riduce la probabilità che il destinatario verifichi autonomamente la richiesta prima di eseguirla.

L’imposizione di una scadenza ravvicinata limita il tempo disponibile per la verifica e sfrutta il bias cognitivo che porta a privilegiare l’azione rapida in condizioni di pressione. Nelle CEO fraud, la richiesta di bonifico urgente fuori dai canali abituali è la struttura ricorrente.

Messaggi che simulano conseguenze gravi in caso di mancata azione immediata (blocco del conto, perdita di un contratto, procedimento legale) attivano una risposta di evitamento che può portare a decisioni avventate.

L’attaccante costruisce una relazione preliminare con il target, o impersona una controparte già nota, per abbassare le difese cognitive. In alcuni schemi BEC sofisticati, l’attaccante monitora la casella email compromessa per settimane prima di agire, adottando lo stile comunicativo del mittente legittimo.

Una piccola disponibilità o un favore iniziale da parte dell’attaccante crea un senso di obbligo nel target, che diventa più propenso a eseguire una richiesta successiva.

Le tecniche di ingegneria sociale rilevanti per i flussi finanziari aziendali si distinguono per canale di attacco, livello di personalizzazione e impatto economico atteso. Di seguito le principali.

Il phishing è l’invio massivo di messaggi fraudolenti finalizzati alla sottrazione di credenziali o all’installazione di malware. Lo spear phishing è la variante mirata: il messaggio è costruito con informazioni specifiche sull’organizzazione (nomi di colleghi, progetti in corso, relazioni con fornitori) raccolte tramite OSINT (Open Source Intelligence, cioè ricognizione su fonti pubbliche). Il tasso di efficacia dello spear phishing è significativamente superiore al phishing generico perché il grado di verosimiglianza del messaggio è molto più elevato.
In ambito aziendale, il phishing mirato serve frequentemente come vettore iniziale per compromettere una casella email, che diventa poi la base per un attacco BEC.

Il pretexting consiste nella costruzione di uno scenario fittizio (il “pretesto”) per legittimare una richiesta di informazioni o di azioni. Un attaccante può impersonare un revisore dei conti, un funzionario bancario o un fornitore tecnico per ottenere dati sulle procedure di pagamento, accesso a documenti contabili o modifica delle anagrafiche dei beneficiari. Il pretexting richiede una fase di preparazione più estesa dello spear phishing: l’attaccante deve costruire una narrazione coerente, spesso supportata da documenti falsi.

La BEC (Business Email Compromise) è la forma di social engineering con il maggiore impatto economico medio per evento nei flussi B2B. L’attaccante compromette o falsifica un indirizzo email aziendale per inviare richieste fraudolente di pagamento o di modifica delle coordinate bancarie di un fornitore. La CEO fraud è la variante in cui l’attaccante impersona specificamente l’amministratore delegato o un dirigente apicale, sfruttando la leva dell’autorità per indurre un addetto della tesoreria a eseguire un bonifico verso un conto controllato dal frodatore.
Secondo i dati dell’Internet Crime Complaint Center (IC3) dell’FBI, il costo medio di un attacco BEC è stimato in 4,89 milioni di dollari (fonte: IC3 Annual Report, 2024). In Italia, il fenomeno è in crescita costante e interessa in modo crescente le medie imprese con processi Procure-to-Pay non strutturati.

Il vishing (voice phishing) sfrutta la comunicazione telefonica per ottenere informazioni riservate o per istruire un operatore a eseguire azioni urgenti. Il smishing utilizza gli SMS come vettore, con link a pagine fraudolente o con richieste dirette di credenziali. Entrambe le tecniche vengono usate in combinazione con altri attacchi: ad esempio, una telefonata fraudolenta può precedere una richiesta via email per aumentare la percezione di legittimità.

Il baiting sfrutta la curiosità o l’avidità per indurre un soggetto a compiere’un azione rischiosa (aprire un allegato, inserire una chiavetta USB di provenienza ignota). Il quid pro quo propone uno scambio: tipicamente un presunto supporto tecnico in cambio dell’accesso a un sistema. Queste tecniche sono meno frequenti nei flussi finanziari aziendali ma vengono usate per compromettere i sistemi periferici da cui poi si accede alle funzioni critiche.

L’intelligenza artificiale generativa ha modificato in modo strutturale il profilo di rischio associato all’ingegneria sociale informatica. Fino al 2022, una delle difese più efficaci contro il phishing era il riconoscimento degli errori ortografici e delle incongruenze stilistiche nei messaggi fraudolenti. L’AI generativa ha eliminato questo indicatore: i messaggi prodotti automaticamente sono grammaticalmente corretti, stilisticamente coerenti con il mittente simulato e personalizzati in funzione delle informazioni disponibili online.

Il Rapporto Clusit 2026 registra che phishing e social engineering in Italia hanno registrato un incremento del 66% nel 2025, con l’AI generativa tra i fattori principali di questa crescita (fonte: Clusit, marzo 2026).

Gli obiettivi del social engineering in ambito aziendale si concentrano su tre aree operative: sottrazione di fondi, acquisizione di credenziali e raccolta di informazioni strategiche. Le prime due hanno impatto diretto e immediato sul conto economico; la terza abilita attacchi successivi di maggiore portata.

La protezione dal social engineering in un contesto organizzativo strutturato richiede un approccio a più livelli che combina presidio procedurale, controlli tecnici e formazione del personale esposto. Nessuno dei tre livelli, da solo, è sufficiente.

La misura più efficace contro CEO fraud e BEC è la presenza di procedure di autorizzazione che non possano essere aggirate da una singola comunicazione, anche se apparentemente proveniente da un soggetto autorizzato. I principi operativi da applicare:

L’integrazione di soluzioni di verifica IBAN e del beneficiario nei processi Procure-to-Pay riduce in modo strutturale il rischio di eseguire pagamenti verso conti fraudolenti, anche quando l’attacco di social engineering ha già compromesso una casella email o convinto un operatore. La verifica IBAN e dell’intestatario applicata in modo sistematico all’onboarding dei fornitori e alla modifica delle anagrafiche rappresenta un controllo compensativo rispetto alle vulnerabilità del processo umano.

La formazione del personale esposto (funzioni finance, treasury, contabilità, HR) deve essere specifica sulle tecniche di ingegneria sociale rilevanti per il proprio ruolo operativo, non generica sulla sicurezza informatica. I programmi di simulazione di phishing consentono di misurare il tasso di risposta a messaggi fraudolenti e di indirizzare la formazione verso i profili più vulnerabili. Il Verizon DBIR 2025 indica che il tasso mediano di click su simulazioni di phishing si attesta intorno all’1,5%: un valore che suggerisce un livello di resistenza raggiungibile, ma che richiede programmi continuativi e non episodici (fonte: Verizon DBIR, aprile 2025).

Sul piano tecnico, le misure minime per ridurre l’esposizione al social engineering informatico includono:

Il social engineering è esplicitamente riconosciuto come vettore di rischio nelle principali normative europee di sicurezza. Il D.Lgs. 138/2024 (recepimento della Direttiva NIS2) obbliga i soggetti rientranti nel perimetro a implementare misure di gestione dei rischi cyber che includano la gestione degli incidenti, la sicurezza della catena di approvvigionamento e la formazione del personale. Il Regolamento DORA (in vigore per il settore finanziario dal 17 gennaio 2025) estende questi obblighi alle entità finanziarie e ai loro fornitori di servizi ICT critici.

I processi di pagamento B2B restano il bersaglio privilegiato degli attacchi di social engineering, perché combinano importi elevati, procedure spesso non automatizzate e la disponibilità di informazioni pubbliche sull’organigramma e sulle relazioni commerciali. Anche quando un attacco di ingegneria sociale supera i controlli umani e procedurali, un sistema di verifica automatica delle coordinate bancarie consente di bloccare il pagamento fraudolento prima che venga eseguito.
Sis ID offre la verifica IBAN e del beneficiario integrata nei flussi Procure-to-Pay, con copertura in area SEPA tramite il servizio Verification of Payee (VoP) e validazione su giurisdizioni internazionali. Il controllo viene applicato nei punti critici del ciclo: onboarding dei fornitori, modifica delle anagrafiche e autorizzazione dei bonifici.
Scopri la soluzione antifrode di Sis ID.