Una mattina qualunque, nello studio di Sophie B., una collaboratrice sta per saldare una fattura arrivata via e-mail. Il logo è quello giusto, l'importo è plausibile, l'indirizzo del mittente è quasi identico a quello del fornitore abituale — è cambiata una sola lettera. Esita un secondo, prende il telefono e chiama. Era falsa, e quel giorno nessuno ha pagato. Ma a Sophie B. resta una domanda che non la lascia più: e se quella telefonata non ci fosse stata? È esattamente la domanda a cui risponde una simulazione di phishing — senza aspettare l'attacco vero.
Perché una simulazione di phishing insegna più di un corso
Partiamo dalle parole. Il phishing indica un messaggio falso che imita una fonte affidabile (una banca, un fornitore abituale, la direzione) per spingere qualcuno a cliccare su un link, digitare una password o effettuare un pagamento. Una simulazione di phishing è lo stesso messaggio falso, ma del tutto innocuo: l'azienda lo invia a se stessa, in condizioni reali, per osservare come reagisce il team — chi clicca, chi dubita, chi segnala.
Per uno studio fiduciario come quello di Sophie B. il tema è tutt'altro che teorico. Il suo team gestisce ogni giorno la contabilità, gli stipendi e i dati fiscali di centinaia di clienti, sotto il segreto professionale. Non c'è un informatico interno e gran parte del lavoro passa dalla posta elettronica. Un aggressore non ha quindi bisogno di forzare un firewall né di competenze avanzate: gli basta che una persona, in una giornata frenetica, si fidi dell'e-mail sbagliata. La via d'ingresso non è la tecnologia, è l'attenzione umana.
È qui che il corso mostra i suoi limiti. Una sessione di sensibilizzazione in aula spiega benissimo cosa si dovrebbe fare; non dice cosa il team fa davvero un martedì alle 17, tra due chiusure, quando arriva un messaggio urgente. Sapere non è come agire sotto pressione. Una simulazione colma questo divario: trasforma un principio astratto in un'esperienza vissuta, senza conseguenze reali. L'Ufficio federale della cibersicurezza (UFCS/NCSC), il riferimento svizzero in materia, raccomanda del resto una sensibilizzazione regolare invece di un corso isolato e presto dimenticato.
Perché ciò che il phishing sfrutta non ha nulla di tecnico. È quasi sempre lo stesso meccanismo: un po' di urgenza («da saldare oggi»), un pizzico di autorità (il messaggio sembra provenire da un superiore o da un partner importante) e soprattutto la routine — un'e-mail tra cento, gestita al volo. In una piccola struttura in cui ci si conosce e le catene decisionali sono corte, questa miscela funziona benissimo: nessuno vuole far aspettare un cliente o verificare una richiesta che «sembra normale». Una simulazione permette di vedere questo meccanismo all'opera in casa propria, con calma, invece di scoprirlo il giorno di un attacco vero.
Un punto va chiarito subito, perché condiziona tutto il resto: una campagna riuscita non cerca di cogliere in fallo le persone. Il suo scopo non è stilare un elenco di «chi ha cliccato», ma misurare la solidità di un riflesso collettivo e rafforzarlo. Una simulazione condotta come una trappola si ritorce sempre contro chi la organizza: genera paura e silenzio, l'esatto contrario di ciò che si vuole. La domanda giusta non è «chi ci è cascato?», ma «cosa, da noi, aiuta o impedisce di segnalare un dubbio in tempo?».
Cosa ricordare
- Non si testano le persone, si testano i riflessi collettivi. L'obiettivo è imparare insieme, non intrappolare né classificare. Un clic sbagliato è un dato, non una colpa.
- Il risultato non è un voto. La percentuale esatta conta poco: ciò che conta è la conversazione onesta che apre e il riflesso di segnalazione che installa in modo duraturo.
- La simulazione completa le protezioni tecniche, non le sostituisce. L'autenticazione a due fattori (MFA) — una seconda prova oltre alla password, ad esempio un codice sul telefono — e il filtraggio delle e-mail restano indispensabili. Testare la vigilanza umana non dispensa dal chiudere a chiave la porta.
I gesti da adottare questa settimana
1. Definire prima di tutto un quadro costruttivo
Prima ancora di pensare alla prima e-mail, annunci al team che si terranno test di vigilanza — il principio, non la data. Decida fin dall'inizio, e lo dica: nessun nome verrà citato, nessuna sanzione seguirà. In Svizzera, informare il personale di questo tipo di iniziativa rientra semplicemente nella trasparenza attesa dalla nLPD, la nuova legge sulla protezione dei dati. Un test nascosto e punitivo distrugge proprio la fiducia che pretende di costruire; un test annunciato e formativo fa esattamente il contrario.
2. Puntare al realistico, iniziare in piccolo
Lo scenario migliore non è il più astuto, è il più banale: una finta fattura di un fornitore, una notifica della casella che «scade», una richiesta interna pressante. Non serve costruire un impianto sofisticato che nessuno incontrerà mai — l'idea è riflettere ciò che il team vede realmente passare. Un primo test semplice, su un perimetro ristretto, insegna già molto, senza mobilitare mezzi che non ha. Meglio una campagna modesta e ben commentata di un'operazione spettacolare che lascia un retrogusto di trappola. Potrà sempre inasprire gli scenari in seguito, una volta posato il quadro di fiducia e quando ognuno sa cosa aspettarsi.
3. Preparare il debriefing prima di premere «invia»
Decida cosa farà del risultato prima ancora di ottenerlo. Chi clicca riceve un breve messaggio formativo — «ecco come si riconosce questo tipo di e-mail» —, mai un rimprovero. Chi segnala, invece, diventa un esempio da valorizzare. Il vero risultato di una campagna non è la percentuale di clic: è lo scambio che segue, in cui ognuno capisce di non essere solo di fronte al dubbio e che è sempre meglio chiedere. Una buona campagna si giudica sulla durata: se, tre mesi dopo, il team segnala spontaneamente i messaggi sospetti, ha avuto successo, qualunque sia stato il primo risultato.
Questi tre gesti bastano per partire in modo sano. Ciò che non sostituiscono è il resto del percorso: quali scenari concatenare, con quale frequenza, come misurare i progressi senza stigmatizzare nessuno, come collegare la simulazione alla procedura di verifica dei pagamenti. È un programma a tutti gli effetti, e si costruisce con metodo anziché improvvisare.
A che punto siete davvero?
Una simulazione di phishing ben condotta non vi dirà se siete «protetti» — nessuna campagna può farlo. Vi mostra qualcosa di più utile: dove la vostra organizzazione poggia ancora sulla vigilanza isolata di ciascuno e dove i riflessi condivisi cominciano davvero a reggere. È esattamente ciò che struttura l'autovalutazione Cyber Passport. Non certifica nulla: vi aiuta a collocare, domanda dopo domanda, la vostra sensibilizzazione e la vostra governance rispetto alle buone pratiche riconosciute, per sapere dove procedere.
Trasformare l'intenzione in un vero programma — scegliere gli scenari, stabilire una cadenza, misurare nel tempo, formulare il messaggio al team — richiede un metodo. È tutto l'oggetto del blueprint «Programma anti-phishing», che espone i passaggi uno per uno, cosa che questo articolo ha volutamente evitato di fare.
