L’ingegneria sociale non è un tema “storico” legato ai primi attacchi phishing: nel 2026 è tornata al centro della cybersecurity perché la sua efficacia è aumentata in modo netto. I criminali non puntano più soltanto su email con errori grammaticali: sfruttano l’AI generativa per creare messaggi credibili, imitare identità reali, clonare voci, costruire pretesti telefonici e fare pressione psicologica mirata sui singoli utenti. Se gestisci siti web, domini, servizi cloud o account aziendali, questo tema ti riguarda in pieno: oggi la maggior parte delle compromissioni non nasce da vulnerabilità tecniche, ma da richieste credibili che sembrano “normali”.
Secondo il Global Incident Response Report 2025 – Social Engineering Edition di Unit 42, un terzo degli attacchi informatici registrati tra maggio 2024 e maggio 2025 è nato da tecniche di ingegneria sociale e non da vulnerabilità software. In due terzi dei casi l’accesso iniziale è avvenuto tramite phishing evoluto: email apparentemente legittime, impersonificazioni credibili di personale interno, callback telefoniche e messaggi vocali generati dall’AI.
E gli attacchi non passano più soltanto dalle caselle email. Nel 35% degli episodi sono stati utilizzati canali alternativi come smishing via SMS, pubblicità malevole, avvelenamento SEO e persino MFA bombing, cioè il bombardamento di notifiche push per forzare l’autenticazione a più fattori.
Questo scenario ci mette davanti a un cambio di prospettiva: oggi non è più sufficiente “evitare link sospetti”. L’ingegneria sociale moderna sfrutta comportamenti, processi e abitudini aziendali. Proteggersi significa aggiornare la cultura di sicurezza, non solo la tecnologia.
Che cos’è l’ingegneria sociale
L’ingegneria sociale è l’insieme di tecniche psicologiche e comunicative usate per indurre una persona a compiere un’azione che favorisce l’attaccante: rivelare credenziali, cliccare un link, autorizzare un pagamento, confermare un’operazione. Non si basa su un exploit tecnico, ma sul comportamento umano. L’obiettivo non è bucare un sistema: è convincere un individuo a “aprire la porta” dall’interno.
La parte che oggi cambia rispetto al passato è il livello di credibilità del messaggio: non serve nemmeno essere bravi informatici. Con AI generativa, text-to-speech e identity spoofing, chi attacca può:
- scrivere email perfettamente allineate al tono di voce aziendale
- generare conversazioni realistiche via chat o call
- imitare la voce di un responsabile aziendale
- creare identità sintetiche con foto e profili social coerenti
Questo rende gli attacchi molto più difficili da riconoscere. A differenza del malware tradizionale, non c’è traccia tecnica semplice da rilevare: l’elemento determinante è la fiducia.
L’ingegneria sociale è quindi una minaccia prevalentemente organizzativa, che colpisce processi, flussi e procedure decisionali. È un problema di metodo, non di firewall.
Perché nel 2026 è ancora più pericolosa
L’ingegneria sociale non è più solo una questione di email mal scritte o di errori di ortografia: negli ultimi due anni è diventata significativamente più efficace e scalabile grazie all’uso dell’AI generativa e di tecniche di impersonificazione sempre più convincenti. Questo cambia il gioco perché l’attaccante può costruire pretesti molto più credibili e automatizzare campagne che un tempo richiedevano abilità manuali e tempo.
Da questo, emergono alcune implicazioni pratiche che spiegano perché oggi l’ingegneria sociale è più pericolosa:
- Email e messaggi iper-personalizzati: l’AI genera testi che replicano tono, termini e riferimenti aziendali, rendendo il phishing molto più difficile da distinguere.
- Deepfake vocali e video: le tecnologie text-to-speech e il deepfake rendono possibile clonare la voce di manager o clienti per ordinare pagamenti o autorizzazioni.
- Targeting di account privilegiati: sempre più attacchi mirano a ottenere accessi admin o credenziali di servizi cloud, perché consentono movimenti laterali e danni maggiori.
- Canali non tradizionali: oltre alla posta elettronica, crescono smishing (SMS), malvertising, avvelenamento SEO e attacchi via piattaforme di collaborazione (chat aziendali, notifiche push).
- Automazione e scalabilità: con agenti AI e script automatizzati gli attori malevoli possono testare miliardi di messaggi/pretesti in breve tempo, aumentando il tasso di successo complessivo.
In sostanza, se nel passato la barriera d’ingresso per il phishing era la capacità di scrivere un messaggio credibile, oggi quell’abilità è a portata di chiunque abbia accesso a strumenti generativi. Per questo diventa fondamentale ripensare le difese in chiave processi, verifica e resilienza umana, non solo tecnologie di filtraggio.
Mini check di vulnerabilità
- Le richieste di pagamento straordinarie vengono verificate su un secondo canale?
- Usate ancora l’MFA via SMS per gli account critici?
- I dipendenti possono pubblicare liberamente su LinkedIn dettagli tecnici interni?
- Avete una procedura scritta per segnalare email sospette?
Se hai risposto “sì” almeno 2 volte, sei ad alto rischio di attacco social engineering.
Come funziona un attacco di ingegneria sociale
Non tutti gli attacchi di ingegneria sociale seguono lo stesso schema, ma nella maggior parte dei casi è possibile riconoscere una sequenza abbastanza ricorrente. Non è più una dinamica istantanea: spesso è un processo. Anche quando è automatizzato, esiste sempre una logica di preparazione, aggancio e sfruttamento.
- Raccolta delle informazioni (OSINT): l’attaccante esplora profili LinkedIn, siti aziendali, repository pubblici e social per identificare nomi, ruoli, fornitori, frasi ricorrenti e contesti interni.
- Costruzione del pretesto: viene definita una narrativa coerente, ad esempio “help desk interno”, “cliente strategico”, “fornitore che sollecita il pagamento”, “ticket IT da approvare”.
- Primo contatto e aggancio: può essere una email perfetta, una chiamata, un messaggio WhatsApp/Teams, un SMS o una campagna di malvertising che inganna l’utente a cliccare su un link o aprire una pagina di login falsa.
- Esfiltrazione / esecuzione: una volta ottenute credenziali o consensi, gli attaccanti agiscono rapidamente: accessi non autorizzati, movimenti laterali, autorizzazioni di pagamenti, trasferimenti di file o manipolazioni di MFA.
È importante notare che in molti casi non viene utilizzato malware. Questo è uno dei motivi principali per cui il social engineering è così complesso da intercettare: non sempre ci sono indicatori tecnici evidenti. L’attacco sfrutta fallacie cognitive, fiducia e abitudini operative.
Le principali tipologie di ingegneria sociale oggi
Le tecniche di ingegneria sociale si declinano su canali e modalità diverse. Ecco le tipologie più rilevanti nel 2026, con esempi pratici per riconoscerle.
- Human social engineering (in presenza e telefonico): interazioni dal vivo, chiamate o visite in cui l’attaccante costruisce una relazione di fiducia. Esempi: persona che si presenta come tecnico del fornitore, receptionist che fornisce informazioni sensibili o truffe elaborate in eventi e conferenze.
- Digital social engineering (email, chat, BEC): campagna di phishing o spear-phishing molto mirata, Business Email Compromise (BEC), messaggi in chat aziendali che simulano richieste da colleghi o manager. Spesso sono iper-personalizzati e sfruttano informazioni reperite via OSINT.
- Mobile & smishing: attacchi via SMS o app malevole che inducono l’utente a installare malware o inserire credenziali su siti falsi. Anche le app fuori dagli store ufficiali rientrano in questo gruppo.
- Deepfake & voice spoofing: uso di tecnologie text-to-speech e deepfake per imitare voce o video di dirigenti al fine di autorizzare pagamenti o cambiare procedure. Queste tecniche sono in rapida crescita e particolarmente efficaci nelle frodi “high-touch”.
- SEO poisoning & malvertising: pagine o annunci falsi che compaiono nei motori di ricerca o nelle reti pubblicitarie e che portano a download malevoli o a login falsi camuffati da servizi legittimi.
- MFA bombing & callback fraud: tecniche che sfruttano i flussi di autenticazione (es. invio massivo di richieste MFA per allontanare l’attenzione dell’utente) o chiamate di verifica fasulle per aggirare controlli.
Gli errori più comuni che aprono la porta al criminale
Molti attacchi funzionano perché sfruttano debolezze umane o di processo più che lacune tecnologiche. Ecco gli errori più frequenti che facilitano l’inganno.
- Assunzione di autorità: fidarsi ciecamente di messaggi che sembrano provenire da figure autorevoli (CEO, banca, fornitore) senza verificare tramite canali ufficiali.
- Procedure di pagamento deboli: mancanza di doppia verifica per pagamenti significativi o richieste “fuori flusso” senza approvazione formale.
- MFA via SMS come unico fattore: i codici SMS possono essere intercettati o aggirati; l’MFA basata su push o token hardware è più sicura.
- Permessi eccessivi: account con privilegi troppo ampi aumentano l’impatto di una compromissione.
- Formazione episodica: training una tantum che non cambia le abitudini quotidiane degli utenti.
- Rumore di alert e ignoranza degli avvisi: team di sicurezza sovraccarichi che finiscono per ignorare segnali importanti.
Come difendersi davvero nel 2026
La difesa efficace contro l’ingegneria sociale combina processi, tecnologia e cultura. Qui trovi una checklist pratica da adottare in azienda.
Politiche e processi
- Procedure di verifica obbligatorie: definire e far rispettare passaggi chiari per richieste di pagamento, modifiche di beneficiario e reset credenziali (es. due approvazioni, chiamata di verifica su numero certificato).
- Principio del minimo privilegio: ridurre permessi e accessi solo al necessario; revisioni periodiche degli account privilegiati.
- Runbook per incidenti social engineering: avere playbook che descrivano cosa fare in caso di BEC, smishing, deepfake o richiesta sospetta.
Autenticazione e protezioni tecniche
- MFA solida (no SMS): preferire app di autenticazione, token hardware o MFA push con contestualizzazione dell’evento.
- Identity Threat Detection and Response (ITDR): strumenti per identificare compromissioni di identità e rispondere a anomalie comportamentali.
- Email security stack: implementare DMARC, SPF e DKIM; usare gateway anti-phishing e sandboxing degli allegati.
- Protezione per endpoint e monitoraggio: EDR/XDR con detection delle tecniche di movimento laterale e comportamento anomalo.
Formazione e cultura
- Micro-learning continuo: sessioni brevi e ripetute mensilmente con quiz e simulazioni reali (phishing simulation, esercitazioni vocali).
- Simulazioni realistiche: campagne di spear-phishing e smishing con follow-up educativo per chi cade nella trappola.
- Canali di segnalazione semplici: bottone in client mail o canale Slack per segnalare sospetti, con risposta rapida del SOC.
Best practice operative
- Verifica out-of-band: confermare richieste critiche tramite un canale diverso (es. chiamata al numero ufficiale registrato).
- Password manager aziendale: obbligare l’uso e disabilitare l’auto-compilazione non gestita per ridurre il rischio di credential harvesting.
- Limitare informazioni pubbliche: policy per quanto pubblicare su LinkedIn e altri profili aziendali; limitare dati sensibili sui profili pubblici.
- Log e retention: mantenere log accessibili e conservati per indagini, con alert su pattern anomali di accesso.
Approccio avanzato
- Analisi comportamentale: usare modelli che apprendono comportamenti normali e segnalano deviazioni (es. login da location inconsueta, orari strani, device nuovi).
- Agentic AI e difesa: valutare strumenti che impiegano AI per filtrare e contestualizzare le comunicazioni sospette, non per sostituire i processi umani.
Implementare anche solo alcuni di questi punti riduce drasticamente la superficie di attacco: molte frodi funzionano perché trovano processi fragili e persone sole davanti a richieste urgenti.
Conclusioni
L’ingegneria sociale nel 2026 non è un problema che si risolve solo con firewall e antivirus. È una sfida organizzativa che richiede cambiamenti nei processi, formazione continua e l’adozione di controlli di identità robusti. I numeri recenti mostrano che una parte consistente degli incidenti nasce proprio dalla manipolazione delle persone: per questo la risposta deve essere sistemica.
I consigli da portare a casa dalla lettura di questo articolo sono:
- Non fidarti dell’urgenza: verifica sempre le richieste critiche con passaggi out-of-band.
- Riduci i privilegi: meno permessi significa meno danno potenziale.
- Formazione costante: micro-training e simulazioni rendono gli utenti più resilienti.
- Usa MFA solida e controlli di identità: il fattore umano rimane il tallone d’Achille, ma processi solidi lo proteggono.
Se vuoi, posso convertirlo anche in una checklist scaricabile in PDF o creare una versione breve da usare come slide per la formazione interna.
