Il pretexting, ovvero l'arte del falso pretesto
Un finto supporto informatico che chiama o scrive per ottenere una password: come funziona il falso pretesto e come disinnescarlo.
In 30 secondi
Di cosa si tratta
Uno sconosciuto telefona, scrive o invia un messaggio presentandosi come una persona che ha il diritto di fare domande: il supporto informatico, un fornitore, una banca, un nuovo collega. Non ha bisogno di violare nulla se è l'interlocutore stesso a consegnargli una password, un codice o un'informazione interna. La CISA descrive questo schema: l'attaccante può dichiararsi nuovo dipendente, riparatore o ricercatore, offrire false prove di identità e poi incrociare le risposte ottenute1.
La tecnica si basa su un falso pretesto, da cui il nome inglese pretexting. MITRE la colloca tra le tecniche di raccolta di informazioni tramite phishing: lo scopo è far rivelare dati alla vittima, spesso credenziali, più che farle eseguire un programma dannoso2.
Domande dirette
Che cos'è il pretexting?
È una forma di ingegneria sociale: l'attaccante usa il contatto umano per ottenere o compromettere informazioni su un'organizzazione o sui suoi sistemi1. Il pretesto (un guasto da riparare, un account da verificare, un bonifico da saldare) offre un motivo plausibile per chiedere qualcosa.
Perché il messaggio sembra così credibile?
Perché l'attaccante si è informato prima. MITRE osserva che questi approcci riutilizzano informazioni ottenute con una ricognizione preliminare, per esempio sui social network o sui siti dell'azienda presa di mira, per costruire esche verosimili4. Nel caso di Scattered Spider, la CISA cita informazioni tratte dai social network, da fonti aperte, da strumenti commerciali di intelligence e da fughe di dati da database5.
Chi è preso di mira?
Chiunque, ma il supporto informatico in modo particolare. Microsoft osserva che il gruppo Octo Tempest prende spesso di mira gli amministratori tecnici, come il personale di supporto e di help desk, i cui privilegi permettono di aprire l'accesso agli account6.
Che cosa chiede l'attaccante?
Le richieste riportate nelle fonti sono concrete: credenziali, un codice monouso, il ripristino di una password, il trasferimento di un secondo fattore di autenticazione su un dispositivo controllato dall'attaccante, oppure l'installazione di uno strumento di accesso remoto357.
Che cosa fare se si è già risposto?
La CISA consiglia di segnalare l'incidente alle persone competenti dell'organizzazione, tra cui gli amministratori di rete, che potranno sorvegliare ogni attività insolita, e di cambiare senza indugio le password rivelate, su ogni account in cui la stessa password era in uso1.
1Nei panni dell'attaccante1 min
L'attaccante comincia raccogliendo nomi, ruoli e procedure. Un falso profilo su un social network può servire da porta d'ingresso: MITRE descrive account fittizi che propongono offerte di lavoro ai dipendenti, il che offre un motivo plausibile per fare domande su reparti, regole e ambiente informatico4. Le identità dei dipendenti possono anche provenire da fughe di dati precedenti: MITRE riferisce che Scattered Spider ha usato informazioni tratte da violazioni di dati passate per trovare nomi di dipendenti da impiegare nei suoi raggiri7.
Segue la messinscena. Un attaccante che non ottiene abbastanza informazioni da una persona si rivolge a un'altra della stessa organizzazione e si appoggia sulla prima risposta per apparire legittimo1. Le chiamate di Scattered Spider si svolgono spesso in più riprese: le prime servono a capire come l'help desk gestisce il ripristino di una password, le successive a raccogliere gli elementi specifici del dipendente preso di mira5.
Infine, la pressione. MITRE segnala il presentarsi come fonte attendibile e l'invio di più messaggi dall'aspetto urgente2, oltre al senso di urgenza o di allarme creato nel destinatario nel caso del phishing vocale3.
2Cosa si vede sullo schermo1 min
Le forme osservate nelle fonti sono le seguenti.
- Una telefonata di un presunto tecnico che chiede di installare uno strumento di assistenza remota. MITRE cita chiamate di Scattered Spider che si fingevano personale informatico per indurre le vittime a scaricare uno strumento di questo tipo3.
- Un messaggio su Microsoft Teams da parte di un finto supporto interno, rilevato da MITRE per Scattered Spider7.
- Un'e-mail il cui mittente si finge un terzo, cosa che può ingannare sia il destinatario sia gli strumenti di sicurezza automatici2.
- Un messaggio che invita a richiamare un numero di telefono, dove l'attaccante cerca di raccogliere informazioni riservate2.
La CISA elenca anche i classici segnali d'allarme: un indirizzo del mittente simile a quello di una vera azienda con qualche carattere modificato o rimosso, un saluto generico, link il cui indirizzo non corrisponde al testo, errori o un'impaginazione incoerente, un allegato non richiesto accompagnato da una falsa urgenza1. Questi segnali non bastano sempre: una richiesta ben scritta e ben documentata può non presentarne alcuno.
Ecco un'illustrazione neutralizzata, ricostruita dai nomi di dominio citati dalla CISA (il nome dell'azienda presa di mira seguito da «helpdesk» o da un servizio di accesso unico)5:
Illustrazione, indirizzo neutralizzato:
nome-dell-azienda-helpdesk[.]invalid
[Messaggio parafrasato: il «supporto» chiede di accedere a questo sito per verificare l'account.]3Sotto il cofanoTeam IT1 min
Si combinano tre meccanismi. Prima di tutto la raccolta di informazioni (organigramma, nomi, procedure), che fornisce lo sfondo del pretesto45. Poi la sostituzione di persona: un dipendente, un tecnico o un neoassunto. Microsoft riferisce che Octo Tempest imita al telefono l'idioletto delle persone impersonate, conosce i loro dati personali e si è finto un nuovo dipendente per inserirsi nelle procedure di accoglienza6. Infine l'autorità e l'urgenza, che spingono a rispondere in fretta.
Il telefono facilita l'inganno. La CISA sottolinea che la telefonia via internet permette di falsificare con facilità l'identificativo del chiamante, cosa che approfitta della fiducia mal riposta del pubblico nella sicurezza del telefono1.
Quando l'attaccante si finge un dipendente con il supporto, lo scopo è far ripristinare una password o far trasferire l'autenticazione a più fattori su un dispositivo che controlla5. Microsoft descrive perfino casi in cui aggira la procedura usando l'account di un responsabile già compromesso per approvare le proprie richieste6. Le conferme interne valgono quindi solo se il canale stesso è sicuro.
4AutopsieCasi reali2 min
Inizio 2022: Octo Tempest e gli scambi di SIM
Secondo Microsoft, il gruppo Octo Tempest è stato osservato per la prima volta all'inizio del 2022. Prendeva di mira operatori di telefonia mobile e società di esternalizzazione dei processi aziendali per far scattare portabilità del numero, gli scambi di SIM. Nel 2022 ha tratto profitto da queste intrusioni vendendo scambi di SIM ad altri criminali e prendendo il controllo degli account di persone molto facoltose per rubarne le criptovalute6.
25 ottobre 2023: Microsoft descrive i metodi di Octo Tempest
Nel suo post del 25 ottobre 2023, Microsoft spiega che questo gruppo chiama l'help desk di un'organizzazione per ottenere il ripristino della password di un utente o l'aggiunta di un fattore di autenticazione6. Una volta ottenuto il controllo del numero di telefono di un dipendente, può anche avviare un ripristino in autonomia dell'account6.
16 novembre 2023 e 29 luglio 2025: l'avviso congiunto su Scattered Spider
L'avviso congiunto di CISA, FBI e agenzie partner è stato pubblicato il 16 novembre 2023, poi aggiornato il 21 novembre 2023 e il 29 luglio 20255. Descrive un gruppo che prende di mira grandi aziende e i loro servizi di assistenza informatica in outsourcing5. I suoi membri si sono finti personale informatico o di supporto, per telefono o SMS, per ottenere credenziali, e si sono finti dipendenti per convincere il supporto a ripristinare una password e a trasferire il secondo fattore5. L'avviso raccomanda l'autenticazione a più fattori resistente al phishing, protetta dal bombardamento di notifiche e dallo scambio di SIM5.
5Cosa si fa1 min
Il riflesso si riassume così: non si risponde a chi ha preso contatto, si verifica tramite un altro canale.
- Diffidi di una telefonata, di una visita o di un messaggio non richiesti che pongono domande sui dipendenti o sull'organizzazione interna. Se lo sconosciuto dice di rappresentare un'organizzazione legittima, ne verifichi l'identità direttamente presso di essa1.
- Non fornisca informazioni su di Lei o sull'azienda, struttura e reti comprese, senza essere certo che la persona abbia il diritto di conoscerle1.
- In caso di dubbio su una richiesta ricevuta via e-mail, contatti direttamente l'ente, senza usare i recapiti indicati nel messaggio o sul sito collegato alla richiesta: li cerchi in scambi precedenti1.
- Segnali il tentativo, anche se non ha fornito nulla. L'NCSC britannico raccomanda una cultura in cui si segnala senza timore di rimproveri, perché i dipendenti che temono sanzioni non segnalano i propri errori8.
Dal lato dell'organizzazione, MITRE ricorda che gli utenti possono essere formati a riconoscere e segnalare queste tecniche e a diffidare di chi chiama, verificandone l'identità3.
Scheda
- Identificativo
- CP-021
- Ala
- 1. Attacchi e tecniche
- Competenza Brain
- Smascherare l'ingegneria sociale (outsmart_social_engineering)
- Riflesso Brain
- cr-040
- Schema
- G5 · Albero decisionale del riflesso
- Lingue
- de, en, es, fr, it
- Fonti
- 8 fonti verificate il 3 novembre 2026
Fonti8 fonti
- CISA, «Avoiding Social Engineering and Phishing Attacks», 1 febbraio 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultato il 3 novembre 2026)
- MITRE ATT&CK, «Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1598/ (consultato il 3 novembre 2026)
- MITRE ATT&CK, «Phishing: Spearphishing Voice, Sub-technique T1566.004 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/004/ (consultato il 3 novembre 2026)
- MITRE ATT&CK, «Phishing for Information: Spearphishing Service, Sub-technique T1598.001 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1598/001/ (consultato il 3 novembre 2026)
- CISA, «Scattered Spider», 16 novembre 2023. https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a (consultato il 3 novembre 2026)
- Microsoft, «Octo Tempest crosses boundaries to facilitate extortion, encryption, and destruction», 25 ottobre 2023. https://www.microsoft.com/en-us/security/blog/2023/10/25/octo-tempest-crosses-boundaries-to-facilitate-extortion-encryption-and-destruction/ (consultato il 3 novembre 2026)
- MITRE ATT&CK, «Scattered Spider, Roasted 0ktapus, Octo Tempest, Storm-0875, UNC3944, Group G1015 | MITRE ATT&CK®». https://attack.mitre.org/groups/G1015/ (consultato il 3 novembre 2026)
- NCSC (Royaume-Uni), «Phishing attacks: defending your organisation», 5 febbraio 2018. https://www.ncsc.gov.uk/guidance/phishing (consultato il 3 novembre 2026)
Cita questo articolo
Brain, «Il pretexting, ovvero l'arte del falso pretesto», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp021_it_2026,
author = {Brain},
title = {Il pretexting, ovvero l'arte del falso pretesto},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/it/articles/pretexting-scenario-autorita-credibile/},
note = {CC BY 4.0}
}