L'anello debole è la mente: anatomia dell'ingegneria sociale
La maggior parte delle violazioni non rompe la crittografia: rompe le persone. Come gli attacchi sfruttano i meccanismi della cognizione — e perché i deepfake hanno alzato la posta.
Nella maggior parte degli attacchi informatici riusciti non viene forzato alcun algoritmo. Viene forzata una persona. Il Data Breach Investigations Report 2025 di Verizon stima che circa il 60% delle violazioni coinvolga il "fattore umano": errori, abusi e, soprattutto, ingegneria sociale. La superficie d'attacco più vulnerabile non è il firewall, è la cognizione.
Le leve della persuasione
L'ingegneria sociale non inventa nulla: industrializza i meccanismi che lo psicologo Robert Cialdini ha codificato come principi dell'influenza — autorità, scarsità, riprova sociale, reciprocità, impegno e coerenza, simpatia e, infine, unità (l'appartenenza a un "noi"). Un'email che finge di arrivare dall'amministratore delegato sfrutta l'autorità; un avviso "il tuo account scade tra un'ora" sfrutta la scarsità e l'urgenza; una richiesta da parte di un "collega" sfrutta simpatia e appartenenza. Il phishing e la sua variante mirata, lo spear phishing, non sono altro che queste leve impacchettate in un messaggio.
Quando il volto stesso mente
La vera svolta è che oggi anche le prove che il nostro cervello considera affidabili — una voce, un volto in videochiamata — possono essere falsificate. Nel caso più citato, all'inizio del 2024 un dipendente della società di ingegneria Arup a Hong Kong ha effettuato 15 bonifici per un totale di circa 25,6 milioni di dollari dopo una videoconferenza in cui il "direttore finanziario" e altri colleghi erano interamente deepfake generati dall'AI (CNN). Non è un episodio isolato: l'FBI stima in oltre 55 miliardi di dollari le perdite globali da Business Email Compromise tra il 2013 e il 2023 (IC3), e dal 2025 mette in guardia su campagne che clonano la voce di figure istituzionali.
Perché la tecnologia, da sola, non basta
Il punto cruciale è che questi attacchi non bersagliano i sistemi, ma le scorciatoie del pensiero: la fiducia nell'autorità, la pressione del tempo, il desiderio di non deludere. Nessun aggiornamento software corregge un bias cognitivo. La difesa efficace è socio-tecnica e procedurale: verifica fuori banda (richiamare il presunto mittente su un canale diverso e già noto), regole rigide e non negoziabili per i trasferimenti di denaro, principio del "fidarsi è bene, verificare è doveroso", e una cultura in cui fermarsi a controllare non è scortesia ma professionalità.
Il paradosso del 2026 è netto: man mano che l'AI rende l'inganno più economico e convincente, l'unica difesa davvero robusta torna a essere umana — una mente addestrata al sospetto, sostenuta da processi che non dipendono dal fatto che, in quel preciso momento, qualcuno "ci caschi".