--- id: CP-365 slug: sicurezza-fisica-badge-visitatori lang: it title: Badge, visitatori e porte tagliafuoco description: "Uno sconosciuto in tuta da tecnico, una porta tenuta aperta per cortesia: come l'ingegneria sociale entra nei locali e cosa fare." canonical_url: https://startbrain.io/cyberpedia/it/articles/sicurezza-fisica-badge-visitatori/ markdown_url: https://startbrain.io/cyberpedia/it/articles/sicurezza-fisica-badge-visitatori.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Badge, visitatori e porte tagliafuoco», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/sicurezza-fisica-badge-visitatori/ (CC BY 4.0) wing: 5 theme: handle_scams reflex: cr-084 schema: G5 updated: "2026-11-03" translations: it: https://startbrain.io/cyberpedia/it/articles/sicurezza-fisica-badge-visitatori/ fr: https://startbrain.io/cyberpedia/fr/articles/securite-physique-badges-prestataires/ en: https://startbrain.io/cyberpedia/en/articles/physical-security-badges-visitors/ de: https://startbrain.io/cyberpedia/de/articles/zutrittskontrolle-ausweise-dienstleister/ es: https://startbrain.io/cyberpedia/es/articles/seguridad-fisica-credenciales-visitantes/ nl: https://startbrain.io/cyberpedia/nl/articles/fysieke-beveiliging-toegangspassen-bezoekers/ sources: - "n": 1 title: Avoiding Social Engineering and Phishing Attacks publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" - "n": 2 title: Trusted Relationship, Technique T1199 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1199/ accessed: "2026-11-03" - "n": 3 title: Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1200/ accessed: "2026-11-03" - "n": 4 title: Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1598/ accessed: "2026-11-03" - "n": 5 title: Physical Security | Cybersecurity and Infrastructure Security Agency CISA publisher: CISA url: https://www.cisa.gov/topics/physical-security accessed: "2026-11-03" - "n": 6 title: SP 800-53 Rev. 5, Security and Privacy Controls for Information Systems and Organizations | CSRC publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final accessed: "2026-11-03" --- # Badge, visitatori e porte tagliafuoco Un'intrusione non passa sempre da uno schermo. Può cominciare all'ingresso dell'edificio, con una persona che sembra avere il diritto di stare lì: tuta da tecnico, un pacco tra le braccia, un badge dall'aspetto corretto. A far aprire la porta non è una falla tecnica, ma la fiducia di un dipendente. Questa scheda spiega come funziona questo stratagemma e cosa può fare ciascuno, nella propria postazione, per accogliere un visitatore senza lasciare entrare uno sconosciuto. Le fonti citate qui trattano soprattutto l'ingegneria sociale in generale e l'accesso tramite dispositivi collegati sul posto [3]. I gesti di accoglienza descritti più avanti sono regole di buon senso, da confrontare con le indicazioni della Sua azienda. ## In 30 secondi - Dove accade: all'ingresso dei locali, alle porte ad accesso controllato, alla reception e negli uffici quando un «fornitore» si muove da solo. - Cosa vuole l'attaccante: entrare, osservare, collocare un dispositivo [3] o raccogliere informazioni [4] approfittando della cortesia dei dipendenti. - Il riflesso: non faccia passare nessuno che non conosce, verifichi con la persona attesa e accompagni lo sconosciuto alla reception. - Se è già successo: avvisi subito la vigilanza o il team sicurezza, anche se non è certo di nulla. ## Domande dirette ### Perché si parla di ingegneria sociale per un'intrusione fisica? Perché il metodo è lo stesso di un'e-mail trappola: ingannare una persona. La CISA descrive l'attaccante che sfrutta l'interazione umana per ottenere informazioni su un'organizzazione o sui suoi sistemi [1]. Può apparire «unassuming and respectable» (discreto e rispettabile) e dichiararsi un nuovo dipendente, un tecnico di riparazioni o un ricercatore, a volte esibendo documenti di identificazione a sostegno [1]. ### Chi può presentarsi alla porta? Per esempio i fornitori. MITRE osserva che le organizzazioni concedono spesso un accesso ampio a fornitori esterni, tra cui i subappaltatori di infrastrutture come riscaldamento e climatizzazione, ascensori o sicurezza fisica [2]. Un visitatore in abiti da lavoro è quindi una situazione frequente, ed è questo a rendere credibile lo stratagemma. ### Cosa cerca chi entra senza essere stato invitato? Secondo MITRE, un avversario può introdurre fisicamente accessori, apparati di rete o altri dispositivi in un sistema o in una rete per usarli come via d'accesso [3]. MITRE descrive anche il phishing per ottenere informazioni come un tentativo di far rivelare dati, spesso credenziali [4]. Tra i mezzi cita l'invio di più messaggi dall'aspetto urgente [4]. ### Cosa fare davanti a una persona sconosciuta senza accompagnatore? La CISA raccomanda di diffidare di chiamate, visite o e-mail non richieste da parte di persone che fanno domande sui dipendenti o su informazioni interne [1]. Se lo sconosciuto dice di rappresentare un'organizzazione legittima, consiglia di verificarne l'identità direttamente presso quell'organizzazione [1]. In concreto, si rifiuta con garbo di farlo passare, lo si accompagna alla reception e si avvisa la vigilanza. ### Un badge dimenticato o smarrito è davvero un problema? Le fonti citate qui non trattano i badge smarriti. Il principio resta semplice: un badge apre le porte a chi lo porta, chiunque sia. Segnali subito lo smarrimento, in modo che l'accesso possa essere disattivato. ## Come funziona Un'intrusione basata sull'ingegneria sociale poggia sulla credibilità. La CISA spiega che, se l'attaccante non ottiene abbastanza informazioni da una persona, può contattarne un'altra nella stessa organizzazione e basarsi su ciò che la prima ha detto per apparire più affidabile [1]. Un dipendente che conferma «sì, è atteso» senza aver verificato fa così da garante dello sconosciuto per tutto ciò che segue. La CISA ricorda che ogni membro della comunità, colleghi compresi, è «the first line of defense» per la sicurezza [5]. Il NIST inserisce la protezione fisica e ambientale tra le famiglie di controlli del suo catalogo SP 800-53, accanto alla sensibilizzazione e alla formazione [6]. In altre parole, porte, badge e formazione delle persone fanno parte dello stesso dispositivo di sicurezza delle password. ## Cosa fa Lei Le azioni qui sotto sono pratiche di prudenza. Solo la verifica dell'identità presso l'organizzazione interessata è sostenuta dalle fonti citate qui [1]. - Accolga il visitatore alla reception, non in un corridoio, e lo accompagni dall'inizio alla fine della visita, fino all'uscita. - Verifichi la sua identità e il suo badge con la persona che lo attende, usando un numero che già conosce, non quello che il visitatore Le fornisce. - Non tenga la porta a una persona che non conosce, anche se è carica di scatoloni. Si offra di accompagnarla alla reception. - Non presti mai il Suo badge e non lasci che un collega o un fornitore lo usi al Suo posto. - Segnali subito un badge smarrito o dimenticato, senza aspettare il giorno dopo. - Non blocchi mai una porta tagliafuoco in posizione aperta e non la sblocchi mai per comodità. Se è d'intralcio, lo segnali alla vigilanza. - Se uno sconosciuto si muove da solo, chieda con cortesia chi sta cercando, poi lo accompagni alla reception o avvisi la vigilanza. ## Le trappole Tre leve ricorrono nei racconti di ingegneria sociale. Le fonti citate qui documentano le prime due per canali diversi dalla porta d'ingresso, ma valgono anche alla reception. - L'urgenza simulata. MITRE rileva l'invio di più messaggi dall'aspetto urgente per spingere il bersaglio a rispondere [4]. All'ingresso diventa un «sono in ritardo, la squadra mi aspetta». - La falsa legittimità. La CISA osserva che l'attaccante può dichiararsi un tecnico di riparazioni ed esibire documenti di identificazione a sostegno [1]. Una divisa e un badge non provano nulla finché la persona attesa non ha confermato. - La cortesia. Non è menzionata nelle fonti citate qui. Eppure spinge a lasciar passare qualcuno per non offenderlo. Rifiutare con garbo non è una colpa. Un'altra trappola riguarda ciò che non si vede: un piccolo dispositivo posato sotto una scrivania o collegato a una presa di rete. MITRE cita tra le capacità di questo hardware l'ascolto passivo della rete, la modifica del traffico, l'iniezione di tasti e l'aggiunta di punti di accesso wireless [3]. Un dispositivo sconosciuto o un cavo che non dovrebbe esserci si segnala, non lo si scollega da sé. ## Casi reali ### DarkVishnya, banche attaccate con collegamento diretto MITRE cita il gruppo DarkVishnya, che ha collegato fisicamente dispositivi (un Bash Bunny, un Raspberry Pi, netbook e portatili economici) nell'ambiente dell'organizzazione presa di mira per accedere alla sua rete locale [3]. MITRE rimanda a un'analisi datata 6 dicembre 2018, intitolata «DarkVishnya: Banks attacked through direct connection to local network» [3]. Le fonti citate qui non precisano come i dispositivi siano stati introdotti nei locali. MITRE precisa inoltre che gli usi documentati pubblicamente da parte di attori malevoli sono rari, mentre molti team di penetration test utilizzano queste aggiunte di hardware come primo accesso [3]. ## Fonti 1. CISA, «Avoiding Social Engineering and Phishing Attacks», 1 febbraio 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultato il 3 novembre 2026) 2. MITRE ATT&CK, «Trusted Relationship, Technique T1199 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1199/ (consultato il 3 novembre 2026) 3. MITRE ATT&CK, «Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1200/ (consultato il 3 novembre 2026) 4. MITRE ATT&CK, «Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1598/ (consultato il 3 novembre 2026) 5. CISA, «Physical Security | Cybersecurity and Infrastructure Security Agency CISA». https://www.cisa.gov/topics/physical-security (consultato il 3 novembre 2026) 6. NIST, «SP 800-53 Rev. 5, Security and Privacy Controls for Information Systems and Organizations | CSRC». https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final (consultato il 3 novembre 2026) --- Fonte originale: Cyberpedia, l'enciclopedia pubblica di cybersicurezza e IA pubblicata da Brain. Versione canonica: https://startbrain.io/cyberpedia/it/articles/sicurezza-fisica-badge-visitatori/ Puoi riutilizzare liberamente questo testo con licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), a condizione di citare «Brain, Cyberpedia» con un link all'indirizzo qui sopra.