--- id: CP-021 slug: pretexting-scenario-autorita-credibile lang: it title: Il pretexting, ovvero l'arte del falso pretesto description: "Un finto supporto informatico che chiama o scrive per ottenere una password: come funziona il falso pretesto e come disinnescarlo." canonical_url: https://startbrain.io/cyberpedia/it/articles/pretexting-scenario-autorita-credibile/ markdown_url: https://startbrain.io/cyberpedia/it/articles/pretexting-scenario-autorita-credibile.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Il pretexting, ovvero l'arte del falso pretesto», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/pretexting-scenario-autorita-credibile/ (CC BY 4.0) wing: 1 theme: outsmart_social_engineering reflex: cr-040 schema: G5 updated: "2026-11-03" translations: it: https://startbrain.io/cyberpedia/it/articles/pretexting-scenario-autorita-credibile/ fr: https://startbrain.io/cyberpedia/fr/articles/pretexting-scenario-autorite-credible/ en: https://startbrain.io/cyberpedia/en/articles/pretexting-credible-authority-scenario/ de: https://startbrain.io/cyberpedia/de/articles/pretexting-glaubwuerdiges-autoritaetsszenario/ es: https://startbrain.io/cyberpedia/es/articles/pretexting-escenario-autoridad-creible/ nl: https://startbrain.io/cyberpedia/nl/articles/pretexting-geloofwaardig-autoriteitsscenario/ sources: - "n": 1 title: Avoiding Social Engineering and Phishing Attacks publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" - "n": 2 title: Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1598/ accessed: "2026-11-03" - "n": 3 title: "Phishing: Spearphishing Voice, Sub-technique T1566.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/004/ accessed: "2026-11-03" - "n": 4 title: "Phishing for Information: Spearphishing Service, Sub-technique T1598.001 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1598/001/ accessed: "2026-11-03" - "n": 5 title: Scattered Spider publisher: CISA url: https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a published: "2023-11-16" accessed: "2026-11-03" - "n": 6 title: Octo Tempest crosses boundaries to facilitate extortion, encryption, and destruction publisher: Microsoft url: https://www.microsoft.com/en-us/security/blog/2023/10/25/octo-tempest-crosses-boundaries-to-facilitate-extortion-encryption-and-destruction/ published: "2023-10-25" accessed: "2026-11-03" - "n": 7 title: Scattered Spider, Roasted 0ktapus, Octo Tempest, Storm-0875, UNC3944, Group G1015 | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/groups/G1015/ accessed: "2026-11-03" - "n": 8 title: "Phishing attacks: defending your organisation" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/guidance/phishing published: "2018-02-05" accessed: "2026-11-03" --- # Il pretexting, ovvero l'arte del falso pretesto Uno sconosciuto telefona, scrive o invia un messaggio presentandosi come una persona che ha il diritto di fare domande: il supporto informatico, un fornitore, una banca, un nuovo collega. Non ha bisogno di violare nulla se è l'interlocutore stesso a consegnargli una password, un codice o un'informazione interna. La CISA descrive questo schema: l'attaccante può dichiararsi nuovo dipendente, riparatore o ricercatore, offrire false prove di identità e poi incrociare le risposte ottenute [1]. La tecnica si basa su un falso pretesto, da cui il nome inglese pretexting. MITRE la colloca tra le tecniche di raccolta di informazioni tramite phishing: lo scopo è far rivelare dati alla vittima, spesso credenziali, più che farle eseguire un programma dannoso [2]. ## In 30 secondi - Dove succede: al telefono [3], via SMS [5], con un messaggio su Teams [7] o via e-mail [2]. - Cosa vuole l'attaccante: credenziali o altre informazioni sfruttabili [2], a volte un codice monouso [2]. - Il riflesso: non dare nulla a chi ha preso contatto e verificare la sua identità direttamente presso l'organizzazione che dice di rappresentare [1]. - Se è già successo: avvisare subito le persone competenti in azienda e cambiare le password rivelate [1]. ## Domande dirette ### Che cos'è il pretexting? È una forma di ingegneria sociale: l'attaccante usa il contatto umano per ottenere o compromettere informazioni su un'organizzazione o sui suoi sistemi [1]. Il pretesto (un guasto da riparare, un account da verificare, un bonifico da saldare) offre un motivo plausibile per chiedere qualcosa. ### Perché il messaggio sembra così credibile? Perché l'attaccante si è informato prima. MITRE osserva che questi approcci riutilizzano informazioni ottenute con una ricognizione preliminare, per esempio sui social network o sui siti dell'azienda presa di mira, per costruire esche verosimili [4]. Nel caso di Scattered Spider, la CISA cita informazioni tratte dai social network, da fonti aperte, da strumenti commerciali di intelligence e da fughe di dati da database [5]. ### Chi è preso di mira? Chiunque, ma il supporto informatico in modo particolare. Microsoft osserva che il gruppo Octo Tempest prende spesso di mira gli amministratori tecnici, come il personale di supporto e di help desk, i cui privilegi permettono di aprire l'accesso agli account [6]. ### Che cosa chiede l'attaccante? Le richieste riportate nelle fonti sono concrete: credenziali, un codice monouso, il ripristino di una password, il trasferimento di un secondo fattore di autenticazione su un dispositivo controllato dall'attaccante, oppure l'installazione di uno strumento di accesso remoto [3][5][7]. ### Che cosa fare se si è già risposto? La CISA consiglia di segnalare l'incidente alle persone competenti dell'organizzazione, tra cui gli amministratori di rete, che potranno sorvegliare ogni attività insolita, e di cambiare senza indugio le password rivelate, su ogni account in cui la stessa password era in uso [1]. ## Nei panni dell'attaccante L'attaccante comincia raccogliendo nomi, ruoli e procedure. Un falso profilo su un social network può servire da porta d'ingresso: MITRE descrive account fittizi che propongono offerte di lavoro ai dipendenti, il che offre un motivo plausibile per fare domande su reparti, regole e ambiente informatico [4]. Le identità dei dipendenti possono anche provenire da fughe di dati precedenti: MITRE riferisce che Scattered Spider ha usato informazioni tratte da violazioni di dati passate per trovare nomi di dipendenti da impiegare nei suoi raggiri [7]. Segue la messinscena. Un attaccante che non ottiene abbastanza informazioni da una persona si rivolge a un'altra della stessa organizzazione e si appoggia sulla prima risposta per apparire legittimo [1]. Le chiamate di Scattered Spider si svolgono spesso in più riprese: le prime servono a capire come l'help desk gestisce il ripristino di una password, le successive a raccogliere gli elementi specifici del dipendente preso di mira [5]. Infine, la pressione. MITRE segnala il presentarsi come fonte attendibile e l'invio di più messaggi dall'aspetto urgente [2], oltre al senso di urgenza o di allarme creato nel destinatario nel caso del phishing vocale [3]. ## Cosa si vede sullo schermo Le forme osservate nelle fonti sono le seguenti. - Una telefonata di un presunto tecnico che chiede di installare uno strumento di assistenza remota. MITRE cita chiamate di Scattered Spider che si fingevano personale informatico per indurre le vittime a scaricare uno strumento di questo tipo [3]. - Un messaggio su Microsoft Teams da parte di un finto supporto interno, rilevato da MITRE per Scattered Spider [7]. - Un'e-mail il cui mittente si finge un terzo, cosa che può ingannare sia il destinatario sia gli strumenti di sicurezza automatici [2]. - Un messaggio che invita a richiamare un numero di telefono, dove l'attaccante cerca di raccogliere informazioni riservate [2]. La CISA elenca anche i classici segnali d'allarme: un indirizzo del mittente simile a quello di una vera azienda con qualche carattere modificato o rimosso, un saluto generico, link il cui indirizzo non corrisponde al testo, errori o un'impaginazione incoerente, un allegato non richiesto accompagnato da una falsa urgenza [1]. Questi segnali non bastano sempre: una richiesta ben scritta e ben documentata può non presentarne alcuno. Ecco un'illustrazione neutralizzata, ricostruita dai nomi di dominio citati dalla CISA (il nome dell'azienda presa di mira seguito da «helpdesk» o da un servizio di accesso unico) [5]: ```text Illustrazione, indirizzo neutralizzato: nome-dell-azienda-helpdesk[.]invalid [Messaggio parafrasato: il «supporto» chiede di accedere a questo sito per verificare l'account.] ``` ## Sotto il cofano Si combinano tre meccanismi. Prima di tutto la raccolta di informazioni (organigramma, nomi, procedure), che fornisce lo sfondo del pretesto [4][5]. Poi la sostituzione di persona: un dipendente, un tecnico o un neoassunto. Microsoft riferisce che Octo Tempest imita al telefono l'idioletto delle persone impersonate, conosce i loro dati personali e si è finto un nuovo dipendente per inserirsi nelle procedure di accoglienza [6]. Infine l'autorità e l'urgenza, che spingono a rispondere in fretta. Il telefono facilita l'inganno. La CISA sottolinea che la telefonia via internet permette di falsificare con facilità l'identificativo del chiamante, cosa che approfitta della fiducia mal riposta del pubblico nella sicurezza del telefono [1]. Quando l'attaccante si finge un dipendente con il supporto, lo scopo è far ripristinare una password o far trasferire l'autenticazione a più fattori su un dispositivo che controlla [5]. Microsoft descrive perfino casi in cui aggira la procedura usando l'account di un responsabile già compromesso per approvare le proprie richieste [6]. Le conferme interne valgono quindi solo se il canale stesso è sicuro. ## Autopsie ### Inizio 2022: Octo Tempest e gli scambi di SIM Secondo Microsoft, il gruppo Octo Tempest è stato osservato per la prima volta all'inizio del 2022. Prendeva di mira operatori di telefonia mobile e società di esternalizzazione dei processi aziendali per far scattare portabilità del numero, gli scambi di SIM. Nel 2022 ha tratto profitto da queste intrusioni vendendo scambi di SIM ad altri criminali e prendendo il controllo degli account di persone molto facoltose per rubarne le criptovalute [6]. ### 25 ottobre 2023: Microsoft descrive i metodi di Octo Tempest Nel suo post del 25 ottobre 2023, Microsoft spiega che questo gruppo chiama l'help desk di un'organizzazione per ottenere il ripristino della password di un utente o l'aggiunta di un fattore di autenticazione [6]. Una volta ottenuto il controllo del numero di telefono di un dipendente, può anche avviare un ripristino in autonomia dell'account [6]. ### 16 novembre 2023 e 29 luglio 2025: l'avviso congiunto su Scattered Spider L'avviso congiunto di CISA, FBI e agenzie partner è stato pubblicato il 16 novembre 2023, poi aggiornato il 21 novembre 2023 e il 29 luglio 2025 [5]. Descrive un gruppo che prende di mira grandi aziende e i loro servizi di assistenza informatica in outsourcing [5]. I suoi membri si sono finti personale informatico o di supporto, per telefono o SMS, per ottenere credenziali, e si sono finti dipendenti per convincere il supporto a ripristinare una password e a trasferire il secondo fattore [5]. L'avviso raccomanda l'autenticazione a più fattori resistente al phishing, protetta dal bombardamento di notifiche e dallo scambio di SIM [5]. ## Cosa si fa Il riflesso si riassume così: non si risponde a chi ha preso contatto, si verifica tramite un altro canale. - Diffidi di una telefonata, di una visita o di un messaggio non richiesti che pongono domande sui dipendenti o sull'organizzazione interna. Se lo sconosciuto dice di rappresentare un'organizzazione legittima, ne verifichi l'identità direttamente presso di essa [1]. - Non fornisca informazioni su di Lei o sull'azienda, struttura e reti comprese, senza essere certo che la persona abbia il diritto di conoscerle [1]. - In caso di dubbio su una richiesta ricevuta via e-mail, contatti direttamente l'ente, senza usare i recapiti indicati nel messaggio o sul sito collegato alla richiesta: li cerchi in scambi precedenti [1]. - Segnali il tentativo, anche se non ha fornito nulla. L'NCSC britannico raccomanda una cultura in cui si segnala senza timore di rimproveri, perché i dipendenti che temono sanzioni non segnalano i propri errori [8]. Dal lato dell'organizzazione, MITRE ricorda che gli utenti possono essere formati a riconoscere e segnalare queste tecniche e a diffidare di chi chiama, verificandone l'identità [3]. ## Fonti 1. CISA, «Avoiding Social Engineering and Phishing Attacks», 1 febbraio 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultato il 3 novembre 2026) 2. MITRE ATT&CK, «Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1598/ (consultato il 3 novembre 2026) 3. MITRE ATT&CK, «Phishing: Spearphishing Voice, Sub-technique T1566.004 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/004/ (consultato il 3 novembre 2026) 4. MITRE ATT&CK, «Phishing for Information: Spearphishing Service, Sub-technique T1598.001 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1598/001/ (consultato il 3 novembre 2026) 5. CISA, «Scattered Spider», 16 novembre 2023. https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a (consultato il 3 novembre 2026) 6. Microsoft, «Octo Tempest crosses boundaries to facilitate extortion, encryption, and destruction», 25 ottobre 2023. https://www.microsoft.com/en-us/security/blog/2023/10/25/octo-tempest-crosses-boundaries-to-facilitate-extortion-encryption-and-destruction/ (consultato il 3 novembre 2026) 7. MITRE ATT&CK, «Scattered Spider, Roasted 0ktapus, Octo Tempest, Storm-0875, UNC3944, Group G1015 | MITRE ATT&CK®». https://attack.mitre.org/groups/G1015/ (consultato il 3 novembre 2026) 8. NCSC (Royaume-Uni), «Phishing attacks: defending your organisation», 5 febbraio 2018. https://www.ncsc.gov.uk/guidance/phishing (consultato il 3 novembre 2026) --- Fonte originale: Cyberpedia, l'enciclopedia pubblica di cybersicurezza e IA pubblicata da Brain. Versione canonica: https://startbrain.io/cyberpedia/it/articles/pretexting-scenario-autorita-credibile/ Puoi riutilizzare liberamente questo testo con licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), a condizione di citare «Brain, Cyberpedia» con un link all'indirizzo qui sopra.