--- id: CP-542 slug: riaccompagnare-visitatore-senza-badge-reception lang: it title: Riaccompagnare un visitatore senza badge description: "Chi circola nei locali senza badge può preparare un'intrusione o collegare un dispositivo manomesso. Il riflesso cortese: accompagnarlo alla reception." canonical_url: https://startbrain.io/cyberpedia/it/articles/riaccompagnare-visitatore-senza-badge-reception/ markdown_url: https://startbrain.io/cyberpedia/it/articles/riaccompagnare-visitatore-senza-badge-reception.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Riaccompagnare un visitatore senza badge», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/riaccompagnare-visitatore-senza-badge-reception/ (CC BY 4.0) wing: 5 theme: outsmart_social_engineering reflex: cr-047 schema: G5 updated: "2026-11-03" translations: it: https://startbrain.io/cyberpedia/it/articles/riaccompagnare-visitatore-senza-badge-reception/ fr: https://startbrain.io/cyberpedia/fr/articles/raccompagner-visiteur-sans-badge-accueil/ en: https://startbrain.io/cyberpedia/en/articles/escorting-visitor-without-badge-reception/ de: https://startbrain.io/cyberpedia/de/articles/besucher-ohne-ausweis-zum-empfang-begleiten/ es: https://startbrain.io/cyberpedia/es/articles/acompanar-visitante-sin-credencial-recepcion/ nl: https://startbrain.io/cyberpedia/nl/articles/bezoeker-zonder-badge-naar-de-receptie-begeleiden/ sources: - "n": 1 title: social engineering - Glossary | CSRC publisher: NIST url: https://csrc.nist.gov/glossary/term/social_engineering accessed: "2026-11-03" - "n": 2 title: Avoiding Social Engineering and Phishing Attacks publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" - "n": 3 title: Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1200/ accessed: "2026-11-03" - "n": 4 title: Replication Through Removable Media, Technique T1091 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1091/ accessed: "2026-11-03" - "n": 5 title: Trusted Relationship, Technique T1199 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1199/ accessed: "2026-11-03" - "n": 6 title: Physical Security | Cybersecurity and Infrastructure Security Agency CISA publisher: CISA url: https://www.cisa.gov/topics/physical-security accessed: "2026-11-03" --- # Riaccompagnare un visitatore senza badge Una persona che si muove negli uffici senza un badge visibile non è per forza un intruso: può essere un visitatore che si è perso o un nuovo collega. Può anche essere qualcuno che conta sulla cortesia dei dipendenti per spingersi oltre la reception. Questa scheda spiega perché la situazione rientra nell'ingegneria sociale e che cosa può fare un dipendente, senza creare conflitti: avvicinare la persona con cortesia, riaccompagnarla alla reception, avvisare la reception o la sicurezza. ## In 30 secondi - Dove succede: in un corridoio, vicino a una porta, in una sala riunioni o in un open space, quando qualcuno si muove da solo senza un badge visibile. - Cosa vuole l'attaccante: entrare e collegare un dispositivo [3]. - Il riflesso: chiedere gentilmente chi la persona sia venuta a trovare, accompagnarla alla reception senza lasciarla sola, poi avvisare la reception o la sicurezza. - Se è già successo: se ha lasciato solo uno sconosciuto o ha risposto alle sue domande, lo segnali alla reception, alla sicurezza o al team informatico. ## Domande dirette ### Perché un semplice visitatore senza badge pone un problema di cybersicurezza? Il NIST definisce l'ingegneria sociale come l'atto di ingannare una persona per ottenere informazioni sensibili, un accesso non autorizzato o una frode, guadagnandone la fiducia [1]. Una persona senza badge può cercare un accesso ottenuto grazie alla fiducia di un dipendente. ### Che cosa può fare chi è entrato nei locali? Le fonti citate qui descrivono soprattutto l'aggiunta di hardware. MITRE descrive attaccanti che introducono fisicamente accessori, apparecchiature di rete o altri dispositivi in un sistema o in una rete per ottenerne l'accesso [3]. Le funzioni citate vanno dall'ascolto passivo della rete all'iniezione di tasti premuti e all'aggiunta di un punto di accesso wireless [3]. ### È un rischio teorico? MITRE osserva che i riferimenti pubblici a un uso da parte di gruppi di attaccanti sono rari, ma che molti team di audit lo impiegano per l'accesso iniziale [3]. Viene citato un caso: il gruppo DarkVishnya ha collegato fisicamente un Bash Bunny, un Raspberry Pi, netbook e portatili economici all'ambiente di un'organizzazione per raggiungerne la rete locale [3]. ### Bisogna diffidare di chi sembra legittimo? Sì, con cortesia. CISA descrive un attaccante dall'aspetto innocuo e rispettabile, che può presentarsi come nuovo dipendente, riparatore o ricercatore, fino a esibire documenti a sostegno di quell'identità [2]. L'apparenza, dunque, non prova nulla [2]. Solo una verifica presso la reception o presso la persona attesa ne offre una. ### Che cosa dire, concretamente? Basta una frase semplice, per esempio: «Buongiorno, posso aiutarla? Chi è venuto a trovare? La accompagno alla reception.» Il tono resta quello di un favore, non di un controllo. L'obiettivo è non lasciare sola la persona e affidare la verifica alla reception. ## Come funziona Un visitatore con un appuntamento passa dalla reception, dove si possono verificare la sua identità e la persona che viene a trovare. Chi si trova ai piani senza badge ha saltato questo passaggio, volontariamente o no. Il dipendente non può stabilire quale dei due casi sia, e non deve farlo: la reception dispone delle informazioni per farlo. CISA ricorda che ogni membro della comunità, amici, famiglie, colleghi o vicini, è una prima linea di difesa per la sicurezza pubblica [6]. Il rischio informatico viene dopo. Un dispositivo collegato in azienda può aggiungere funzioni che un semplice supporto di memorizzazione non offre [3]. Anche i supporti rimovibili restano un mezzo di propagazione: MITRE descrive malware copiati su un supporto che si eseguono all'inserimento grazie alla funzione Autorun, anche verso reti scollegate da Internet [4]. Lo stesso testo indica che dispositivi mobili, perfino cavi di ricarica USB, possono servire a infettare una postazione [4]. ## Cosa fa Lei - Avvicini la persona senza indugio e con cortesia, chiedendo chi sia venuta a trovare. - La accompagni fino alla reception invece di indicarle la strada, e non la lasci sola lungo il percorso. - Avvisi la reception o la sicurezza di quanto è accaduto, anche se tutto sembra normale. - Se la persona afferma di appartenere a un'organizzazione nota, la verifica passa dalla reception o da un contatto che Lei già conosce. CISA consiglia di verificare l'identità direttamente presso l'organizzazione e di diffidare delle visite non sollecitate di persone che fanno domande sui dipendenti o su informazioni interne [2]. - Non risponda a domande sull'organizzazione dell'azienda, sui suoi team o sulla sua rete finché non ha la certezza dell'autorità del suo interlocutore [2]. ## Le trappole Il falso fornitore. CISA cita il riparatore tra i ruoli che un attaccante può interpretare [2]. MITRE, da parte sua, rileva che le organizzazioni danno spesso a fornitori esterni un accesso esteso ai propri sistemi interni, per esempio per climatizzazione, ascensori o sicurezza fisica, e che questo rapporto di fiducia riceve a volte meno controlli degli accessi abituali [5]. Davanti a chi si dice fornitore, la verifica passa dalla reception, non dall'apparenza. L'informazione che si accumula. Un attaccante che non ottiene abbastanza informazioni da una persona può rivolgersi a un'altra della stessa organizzazione, appoggiandosi a ciò che la prima ha detto per risultare più credibile [2]. Una risposta innocua data in corridoio può servire nella conversazione successiva. L'imbarazzo. Temere di offendere un visitatore è naturale. La formula che aiuta: proporre di accompagnare la persona, che resta un gesto di accoglienza. Il NIST descrive l'ingegneria sociale come l'atto di guadagnare la fiducia della persona [1]. Il passaggio dietro a qualcuno. Far entrare una persona dietro di sé a una porta con badge le evita il passaggio dalla reception. La regola non cambia: una persona senza badge né accompagnatore viene indirizzata alla reception. L'urgenza o l'autorità ostentata. A proposito delle e-mail, CISA segnala che un falso senso di urgenza serve a spingere qualcuno ad agire senza esaminare [2]. La stessa prudenza vale di persona: la reception verifica, quale che sia la fretta dichiarata. ## Fonti 1. NIST, «social engineering - Glossary | CSRC». https://csrc.nist.gov/glossary/term/social_engineering (consultato il 3 novembre 2026) 2. CISA, «Avoiding Social Engineering and Phishing Attacks», 1 febbraio 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultato il 3 novembre 2026) 3. MITRE ATT&CK, «Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1200/ (consultato il 3 novembre 2026) 4. MITRE ATT&CK, «Replication Through Removable Media, Technique T1091 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1091/ (consultato il 3 novembre 2026) 5. MITRE ATT&CK, «Trusted Relationship, Technique T1199 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1199/ (consultato il 3 novembre 2026) 6. CISA, «Physical Security | Cybersecurity and Infrastructure Security Agency CISA». https://www.cisa.gov/topics/physical-security (consultato il 3 novembre 2026) --- Fonte originale: Cyberpedia, l'enciclopedia pubblica di cybersicurezza e IA pubblicata da Brain. Versione canonica: https://startbrain.io/cyberpedia/it/articles/riaccompagnare-visitatore-senza-badge-reception/ Puoi riutilizzare liberamente questo testo con licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), a condizione di citare «Brain, Cyberpedia» con un link all'indirizzo qui sopra.