--- id: CP-023 slug: tailgating-piggybacking-intrusione-locali lang: it title: "Tailgating e piggybacking: entrare senza badge" description: Uno sconosciuto cortese entra dietro di Lei o con il Suo consenso. Cosa nota il dipendente, i punti deboli dell'accesso fisico e i riflessi da adottare. canonical_url: https://startbrain.io/cyberpedia/it/articles/tailgating-piggybacking-intrusione-locali/ markdown_url: https://startbrain.io/cyberpedia/it/articles/tailgating-piggybacking-intrusione-locali.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: "Brain, «Tailgating e piggybacking: entrare senza badge», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/tailgating-piggybacking-intrusione-locali/ (CC BY 4.0)" wing: 1 theme: outsmart_social_engineering reflex: cr-042 schema: G5 updated: "2026-11-03" translations: it: https://startbrain.io/cyberpedia/it/articles/tailgating-piggybacking-intrusione-locali/ fr: https://startbrain.io/cyberpedia/fr/articles/tailgating-piggybacking-intrusion-locaux/ en: https://startbrain.io/cyberpedia/en/articles/tailgating-piggybacking-physical-intrusion/ de: https://startbrain.io/cyberpedia/de/articles/tailgating-piggybacking-unbefugter-zutritt/ es: https://startbrain.io/cyberpedia/es/articles/tailgating-piggybacking-intrusion-fisica/ nl: https://startbrain.io/cyberpedia/nl/articles/tailgating-piggybacking-onbevoegde-toegang/ sources: - "n": 1 title: Avoiding Social Engineering and Phishing Attacks | CISA publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" - "n": 2 title: Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1200/ accessed: "2026-11-03" - "n": 3 title: Replication Through Removable Media, Technique T1091 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1091/ accessed: "2026-11-03" - "n": 4 title: Scattered Spider | CISA publisher: CISA url: https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a published: "2023-11-16" accessed: "2026-11-03" - "n": 5 title: "Phishing attacks: defending your organisation" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/guidance/phishing published: "2018-02-05" accessed: "2026-11-03" --- # Tailgating e piggybacking: entrare senza badge Tailgating e piggybacking indicano due modi di entrare in un edificio senza averne il diritto. Nel tailgating la persona segue un dipendente a sua insaputa, passando prima che la porta si richiuda. Nel piggybacking entra con il consenso del dipendente, che le tiene la porta o le presta il badge perché la richiesta sembra normale. Entrambi gli scenari rientrano nell'ingegneria sociale: l'intruso non forza nessuna serratura, conta sulla cortesia. Le fonti citate qui non descrivono il tailgating in sé. Descrivono l'inganno a parole, l'identità presa in prestito e i dispositivi collegati sul posto, cioè ciò che un intruso può fare una volta entrato. Questa scheda si limita a quanto dicono. ## In 30 secondi - Dove succede: a una porta d'ingresso, in un vestibolo di accesso, a un piano o in una sala dove Le chiedono di tenere la porta o di far passare qualcuno. - Cosa vuole l'attaccante: trovarsi all'interno per collocare un dispositivo, collegare un supporto o ottenere informazioni che la rete non gli darebbe. - Il riflesso: Il riflesso: rifiutare con cortesia, indirizzare la persona alla reception, poi segnalare la situazione. - Se è già successo: avvisi i responsabili della sicurezza della Sua organizzazione, anche se il dubbio è lieve. ## Domande dirette ### Che differenza c'è tra tailgating e piggybacking? Nel tailgating la persona si infila dietro di Lei senza che l'abbia autorizzata. Nel piggybacking Lei l'ha lasciata entrare, per esempio tenendole la porta. Il risultato è lo stesso: qualcuno è entrato senza un badge proprio. ### Perché è difficile rifiutare uno sconosciuto cortese? Perché l'attaccante fa leva sulla credibilità. La CISA descrive un attaccante che può sembrare « unassuming and respectable », che dichiara di essere un nuovo dipendente, un tecnico delle riparazioni o un ricercatore, e che a volte offre documenti a sostegno di questa identità [1]. ### Cosa può fare un intruso una volta all'interno? La tecnica MITRE T1200 descrive l'introduzione fisica di accessori, apparecchiature di rete o altri dispositivi in un sistema o in una rete per ottenere un accesso [2]. Precisa che i riferimenti pubblici a un uso da parte di attaccanti sono rari, ma che numerose squadre di intrusione autorizzate (red team) vi ricorrono per l'accesso iniziale [2]. ### Il dipendente ha un ruolo reale nel controllo degli accessi? Sì. Un vestibolo di accesso, un badge o una reception servono solo se tutti li usano. Le fonti citate qui non quantificano la quota di intrusioni che passa da una porta tenuta aperta. Mostrano invece che l'attaccante cerca l'interlocutore che risponderà, poi un secondo se il primo non basta [1]. ## Nei panni dell'attaccante L'intruso sceglie un pretesto che spieghi la sua presenza. La CISA cita il nuovo dipendente, la persona incaricata di una riparazione e il ricercatore [1]. Può anche procedere per tappe: se una persona non fornisce abbastanza informazioni, ne contatta un'altra nella stessa organizzazione e si appoggia a ciò che la prima ha detto per sembrare più credibile [1]. Una reception, un addetto alla sicurezza o un collega di passaggio possono così fare, senza saperlo, da garanti per il successivo. L'obiettivo varia. Può trattarsi di manomettere dell'hardware: MITRE cita strumenti come il Bash Bunny o il Raspberry Pi, e portatili economici, collegati alla rete locale dell'organizzazione dal gruppo DarkVishnya [2]. Può trattarsi di lasciare un supporto rimovibile, un caso illustrato più avanti [3]. ## Cosa si vede sullo schermo In questo tipo di scenario non c'è nessuno schermo sospetto: conta la scena stessa. L'illustrazione seguente è inventata e non riprende alcun caso reale. ```text Illustrazione (scena fittizia, nessun caso reale) [Una persona sconosciuta, gentile, con le braccia cariche, arriva dietro di Lei davanti a una porta con badge e chiede di farla passare.] [Spiega che è attesa o che ha dimenticato il badge.] ``` Ciò che il dipendente nota per prima cosa è una normale cortesia. I segnali utili sono altrove: la persona non può provare chi sia, non ha un referente interno da nominare, oppure insiste. La CISA raccomanda di diffidare di visite, telefonate o e-mail non richieste di persone che si interessano ai dipendenti o a informazioni interne, e di verificare l'identità di chi dichiara di appartenere a un'organizzazione rivolgendosi direttamente a quest'ultima [1]. In pratica, non ci si affida ai recapiti che la persona fornisce da sé. Il primo riflesso è rifiutare con cortesia, poi indirizzare la persona alla reception. L'NCSC raccomanda di verificare le richieste importanti ricevute per e-mail attraverso un secondo mezzo di comunicazione, compresa una conferma di persona [5]. Trasposta alla porta, questa logica dà il seguente risultato: una persona che dice di essere attesa può essere annunciata dal suo referente interno. Poi bisogna segnalare. L'NCSC descrive una cultura in cui gli utenti segnalano i tentativi, anche quelli a cui hanno ceduto, il che informa l'organizzazione sugli attacchi in corso [5]. La CISA chiede di avvisare le persone competenti dell'organizzazione, tra cui gli amministratori di rete, se si pensa di aver rivelato informazioni sensibili, in modo che sorveglino qualsiasi attività insolita [1]. ## Sotto il cofano Il controllo degli accessi poggia su più livelli: vestibolo, badge, reception. Ciascuno può essere aggirato se una persona autorizzata apre il passaggio. Le fonti citate qui non dettagliano questi meccanismi. Indicano invece le difese che contano quando un intruso è già entro le mura. MITRE raccomanda regole di controllo degli accessi alla rete, come i certificati dei dispositivi e lo standard 802.1x, e di limitare il DHCP ai dispositivi registrati, per impedire a un dispositivo sconosciuto di dialogare con sistemi attendibili [2]. Raccomanda anche di bloccare i dispositivi e gli accessori sconosciuti con la configurazione delle postazioni e un agente di monitoraggio [2]. Per i supporti rimovibili, MITRE spiega che un telefono collegato via USB, anche tramite alcuni cavi di ricarica, può infettare un computer, soprattutto se la funzione Autorun è attiva [3]. Consiglia di limitare l'uso di periferiche USB e supporti rimovibili in una rete [3]. ## Autopsie ### Scattered Spider, avviso congiunto del 16 novembre 2023, aggiornato il 29 luglio 2025 Questo avviso è stato pubblicato dall'FBI, dalla CISA e da diverse agenzie partner, tra cui l'NCSC britannico [4]. Descrive un gruppo criminale che prende di mira grandi aziende e i loro help desk informatici in outsourcing [4]. Il caso non riguarda un'intrusione fisica: è un inganno per telefono e SMS. Mostra tuttavia la stessa leva del tailgating, l'usurpazione di un'identità fidata. Il gruppo si è finto personale informatico o di supporto per ottenere credenziali o far avviare strumenti di accesso remoto [4]. L'aggiornamento di luglio 2025 aggiunge che alcuni membri si sono finti anche dipendenti per ottenere il ripristino di una password [4]. ### FIN7 e le chiavette USB inviate per posta MITRE riferisce che attori di FIN7 hanno spedito per posta chiavette USB a potenziali vittime. Contenevano un malware che installa varie backdoor, a volte per operazioni di ransomware [3]. Alcune chiavette si comportavano come una tastiera virtuale [3]. La fonte non indica una data per questo caso. Mostra che un dispositivo fisico può arrivare senza che alcun intruso entri. ## Fonti 1. CISA, «Avoiding Social Engineering and Phishing Attacks | CISA», 1 febbraio 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultato il 3 novembre 2026) 2. MITRE ATT&CK, «Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1200/ (consultato il 3 novembre 2026) 3. MITRE ATT&CK, «Replication Through Removable Media, Technique T1091 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1091/ (consultato il 3 novembre 2026) 4. CISA, «Scattered Spider | CISA», 16 novembre 2023. https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a (consultato il 3 novembre 2026) 5. NCSC (Royaume-Uni), «Phishing attacks: defending your organisation», 5 febbraio 2018. https://www.ncsc.gov.uk/guidance/phishing (consultato il 3 novembre 2026) --- Fonte originale: Cyberpedia, l'enciclopedia pubblica di cybersicurezza e IA pubblicata da Brain. Versione canonica: https://startbrain.io/cyberpedia/it/articles/tailgating-piggybacking-intrusione-locali/ Puoi riutilizzare liberamente questo testo con licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), a condizione di citare «Brain, Cyberpedia» con un link all'indirizzo qui sopra.