Riaccompagnare un visitatore senza badge
Chi circola nei locali senza badge può preparare un'intrusione o collegare un dispositivo manomesso. Il riflesso cortese: accompagnarlo alla reception.
In 30 secondi
- Dove succede
- In un corridoio, vicino a una porta, in una sala riunioni o in un open space, quando qualcuno si muove da solo senza un badge visibile.
- Cosa vuole l'attaccante
- Entrare e collegare un dispositivo3.
- Il riflesso
- Chiedere gentilmente chi la persona sia venuta a trovare, accompagnarla alla reception senza lasciarla sola, poi avvisare la reception o la sicurezza.
- Se è già successo
- Se ha lasciato solo uno sconosciuto o ha risposto alle sue domande, lo segnali alla reception, alla sicurezza o al team informatico.
Di cosa si tratta
Una persona che si muove negli uffici senza un badge visibile non è per forza un intruso: può essere un visitatore che si è perso o un nuovo collega. Può anche essere qualcuno che conta sulla cortesia dei dipendenti per spingersi oltre la reception.
Questa scheda spiega perché la situazione rientra nell'ingegneria sociale e che cosa può fare un dipendente, senza creare conflitti: avvicinare la persona con cortesia, riaccompagnarla alla reception, avvisare la reception o la sicurezza.
Domande dirette
Perché un semplice visitatore senza badge pone un problema di cybersicurezza?
Il NIST definisce l'ingegneria sociale come l'atto di ingannare una persona per ottenere informazioni sensibili, un accesso non autorizzato o una frode, guadagnandone la fiducia1. Una persona senza badge può cercare un accesso ottenuto grazie alla fiducia di un dipendente.
Che cosa può fare chi è entrato nei locali?
Le fonti citate qui descrivono soprattutto l'aggiunta di hardware. MITRE descrive attaccanti che introducono fisicamente accessori, apparecchiature di rete o altri dispositivi in un sistema o in una rete per ottenerne l'accesso3. Le funzioni citate vanno dall'ascolto passivo della rete all'iniezione di tasti premuti e all'aggiunta di un punto di accesso wireless3.
È un rischio teorico?
MITRE osserva che i riferimenti pubblici a un uso da parte di gruppi di attaccanti sono rari, ma che molti team di audit lo impiegano per l'accesso iniziale3. Viene citato un caso: il gruppo DarkVishnya ha collegato fisicamente un Bash Bunny, un Raspberry Pi, netbook e portatili economici all'ambiente di un'organizzazione per raggiungerne la rete locale3.
Bisogna diffidare di chi sembra legittimo?
Sì, con cortesia. CISA descrive un attaccante dall'aspetto innocuo e rispettabile, che può presentarsi come nuovo dipendente, riparatore o ricercatore, fino a esibire documenti a sostegno di quell'identità2. L'apparenza, dunque, non prova nulla2. Solo una verifica presso la reception o presso la persona attesa ne offre una.
Che cosa dire, concretamente?
Basta una frase semplice, per esempio: «Buongiorno, posso aiutarla? Chi è venuto a trovare? La accompagno alla reception.» Il tono resta quello di un favore, non di un controllo. L'obiettivo è non lasciare sola la persona e affidare la verifica alla reception.
1Come funziona1 min
Un visitatore con un appuntamento passa dalla reception, dove si possono verificare la sua identità e la persona che viene a trovare. Chi si trova ai piani senza badge ha saltato questo passaggio, volontariamente o no. Il dipendente non può stabilire quale dei due casi sia, e non deve farlo: la reception dispone delle informazioni per farlo.
CISA ricorda che ogni membro della comunità, amici, famiglie, colleghi o vicini, è una prima linea di difesa per la sicurezza pubblica6.
Il rischio informatico viene dopo. Un dispositivo collegato in azienda può aggiungere funzioni che un semplice supporto di memorizzazione non offre3. Anche i supporti rimovibili restano un mezzo di propagazione: MITRE descrive malware copiati su un supporto che si eseguono all'inserimento grazie alla funzione Autorun, anche verso reti scollegate da Internet4. Lo stesso testo indica che dispositivi mobili, perfino cavi di ricarica USB, possono servire a infettare una postazione4.
2Cosa fa Lei1 min
- Avvicini la persona senza indugio e con cortesia, chiedendo chi sia venuta a trovare.
- La accompagni fino alla reception invece di indicarle la strada, e non la lasci sola lungo il percorso.
- Avvisi la reception o la sicurezza di quanto è accaduto, anche se tutto sembra normale.
- Se la persona afferma di appartenere a un'organizzazione nota, la verifica passa dalla reception o da un contatto che Lei già conosce. CISA consiglia di verificare l'identità direttamente presso l'organizzazione e di diffidare delle visite non sollecitate di persone che fanno domande sui dipendenti o su informazioni interne2.
- Non risponda a domande sull'organizzazione dell'azienda, sui suoi team o sulla sua rete finché non ha la certezza dell'autorità del suo interlocutore2.
3Le trappole2 min
Il falso fornitore. CISA cita il riparatore tra i ruoli che un attaccante può interpretare2. MITRE, da parte sua, rileva che le organizzazioni danno spesso a fornitori esterni un accesso esteso ai propri sistemi interni, per esempio per climatizzazione, ascensori o sicurezza fisica, e che questo rapporto di fiducia riceve a volte meno controlli degli accessi abituali5. Davanti a chi si dice fornitore, la verifica passa dalla reception, non dall'apparenza.
L'informazione che si accumula. Un attaccante che non ottiene abbastanza informazioni da una persona può rivolgersi a un'altra della stessa organizzazione, appoggiandosi a ciò che la prima ha detto per risultare più credibile2. Una risposta innocua data in corridoio può servire nella conversazione successiva.
L'imbarazzo. Temere di offendere un visitatore è naturale. La formula che aiuta: proporre di accompagnare la persona, che resta un gesto di accoglienza. Il NIST descrive l'ingegneria sociale come l'atto di guadagnare la fiducia della persona1.
Il passaggio dietro a qualcuno. Far entrare una persona dietro di sé a una porta con badge le evita il passaggio dalla reception. La regola non cambia: una persona senza badge né accompagnatore viene indirizzata alla reception.
L'urgenza o l'autorità ostentata. A proposito delle e-mail, CISA segnala che un falso senso di urgenza serve a spingere qualcuno ad agire senza esaminare2. La stessa prudenza vale di persona: la reception verifica, quale che sia la fretta dichiarata.
Scheda
- Identificativo
- CP-542
- Ala
- 5. Vita in ufficio e riflessi
- Competenza Brain
- Smascherare l'ingegneria sociale (outsmart_social_engineering)
- Riflesso Brain
- cr-047
- Schema
- G5 · Albero decisionale del riflesso
- Lingue
- de, en, es, fr, it
- Fonti
- 6 fonti verificate il 3 novembre 2026
Fonti6 fonti
- NIST, «social engineering - Glossary | CSRC». https://csrc.nist.gov/glossary/term/social_engineering (consultato il 3 novembre 2026)
- CISA, «Avoiding Social Engineering and Phishing Attacks», 1 febbraio 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultato il 3 novembre 2026)
- MITRE ATT&CK, «Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1200/ (consultato il 3 novembre 2026)
- MITRE ATT&CK, «Replication Through Removable Media, Technique T1091 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1091/ (consultato il 3 novembre 2026)
- MITRE ATT&CK, «Trusted Relationship, Technique T1199 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1199/ (consultato il 3 novembre 2026)
- CISA, «Physical Security | Cybersecurity and Infrastructure Security Agency CISA». https://www.cisa.gov/topics/physical-security (consultato il 3 novembre 2026)
Cita questo articolo
Brain, «Riaccompagnare un visitatore senza badge», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp542_it_2026,
author = {Brain},
title = {Riaccompagnare un visitatore senza badge},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/it/articles/riaccompagnare-visitatore-senza-badge-reception/},
note = {CC BY 4.0}
}