--- id: "phishing-019" title: "Perché le risorse umane sono il bersaglio preferito del phishing (e come rimediare)" description: "Scopri come proteggere i recruiter da phishing HR e falsi CV malevoli grazie a simulazioni realistiche e misure tecniche mirate per la tua azienda." canonical: https://startbrain.io/it/sicurezza-informatica/phishing-risorse-umane-falsi-cv-protezione/ slug: "phishing-risorse-umane-falsi-cv-protezione" date: "2026-09-25" category: "phishing" product: "superphisher" lang: it author: "Brain Security · R&S Cyber e Fattore Umano" frameworks: "ACN · NIS 2 · DORA · GDPR · ISO 27001" --- # Perché le risorse umane sono il bersaglio preferito del phishing (e come rimediare) Nella maggior parte dei reparti aziendali, la regola di sicurezza basilare resta universale: non aprire mai un allegato inatteso proveniente da un mittente sconosciuto. Per un talent acquisition specialist o un responsabile delle risorse umane, tuttavia, questa indicazione risulta del tutto inapplicabile nel lavoro quotidiano. La loro attività si fonda infatti sull'interazione costante verso l'esterno, sulla ricezione di candidature spontanee e sull'analisi continua di decine di profili mai visti prima. Questa contraddizione operativa trasforma i team HR in un punto di ingresso privilegiato per i criminali informatici. Gli aggressori sfruttano deliberatamente il sovraccarico di lavoro, la curiosità professionale dei recruiter e il timore di lasciarsi sfuggire il candidato ideale per infiltrarsi nella rete aziendale. Per un CISO o un responsabile della sicurezza, proteggere questo snodo critico senza paralizzare i processi di selezione richiede una strategia tecnica e umana ben strutturata. --- ## Come colpiscono i cybercriminali i recruiter e i team HR? > **In sintesi: I criminali informatici sfruttano la routine professionale dei recruiter iniettando ransomware o infostealer all'interno di candidature credibili. Utilizzano annunci reali pubblicati su piattaforme di recruiting per inviare CV malevoli, documenti con macro nascoste o collegamenti a finti portfolio online.** La minaccia non si presenta quasi mai come un messaggio sgrammaticato e grossolano. Le offensive contro i reparti risorse umane assumono la forma di uno spear phishing estremamente curato. L'attaccante individua una posizione aperta pubblicata dall'azienda, adotta il tono di un professionista qualificato e personalizza la comunicazione citando l'esatto titolo del ruolo. I vettori di attacco più diffusi fanno leva sulle consuete abitudini lavorative: - **Il file PDF a doppia estensione:** Il file si presenta come un documento innocuo denominato `CV_Sviluppatore_Senior.pdf.exe` oppure sfrutta collegamenti `.lnk`. Nelle impostazioni predefinite di Windows l'estensione finale rimane nascosta, inducendo il recruiter ad aprire il file con un semplice doppio clic. - **I documenti Office con macro:** File Word o fogli di calcolo che simulano un portfolio dettagliato o una scheda di aspettative retributive. All'apertura, il testo appare sfocato con l'invito ad "Abilitare il contenuto", innescando l'esecuzione di script malevoli. - **I portfolio ospitati su piattaforme cloud:** Per i ruoli creativi, i criminali condividono link a finte pagine Notion, Behance o Canva. Da queste pagine viene scaricato un archivio `.zip` protetto da password, pensato per eludere l'ispezione automatica dei filtri di posta. - **Le false comunicazioni amministrative:** Gli aggressori prendono di mira anche l'amministrazione del personale fingendosi enti previdenziali o dipendenti che richiedono con urgenza l'aggiornamento delle coordinate IBAN per l'accredito dello stipendio. --- ## Perché i controlli perimetrali della posta non bastano contro il phishing HR e i CV malevoli? > **In sintesi: I gateway di posta elettronica faticano a bloccare questi attacchi perché le e-mail provengono da caselle legittime gratuite e rispettano i protocolli di autenticazione. L'uso di archivi cifrati tramite password o di collegamenti verso servizi cloud autorizzati rende inefficaci i motori antivirus automatici.** Gli attaccanti conoscono alla perfezione l'architettura dei Secure Email Gateway (SEG). Sanno che chi si occupa di assunzioni riceve regolarmente comunicazioni da provider pubblici come Gmail, Outlook o ProtonMail. Tali messaggi presentano firme SPF e DKIM pienamente valide, aggirando i controlli standard contro lo spoofing. ### La tecnica dell'archivio cifrato Inserendo la password dell'archivio direttamente nel testo dell'e-mail (ad esempio: "La password per consultare il mio portfolio è candidato2024"), l'attaccante impedisce al sistema di sandbox della posta di estrarre e analizzare il contenuto. L'addetto alle selezioni digita la chiave di accesso in modo automatico per visionare il profilo, liberando il payload direttamente sulla propria workstation. ### La manipolazione della fiducia e dell'empatia La funzione HR è orientata all'ascolto, all'accoglienza e alla disponibilità. Rifiutare a priori un documento o ignorare un profilo genera un conflitto con gli obiettivi professionali del reparto. I malintenzionati sfruttano questa naturale propensione ideando scenari di urgenza o difficoltà (candidature in scadenza, documentazione urgente per tirocini), spingendo l'operatore a trascurare i segnali di anomalia. --- ## Come costruire uno scudo efficace per il reparto risorse umane senza rallentare le assunzioni? Per neutralizzare l'esposizione al rischio senza ostacolare l'acquisizione dei talenti, le organizzazioni devono combinare irrobustimento dell'infrastruttura e percorsi di addestramento pratico. ### Misure tecniche indispensabili - **Rendere visibili le estensioni dei file:** Configurare i sistemi aziendali tramite GPO per mostrare sempre le estensioni complete, facilitando l'individuazione di file sospetti. - **Bloccare l'esecuzione di macro da fonti esterne:** Disabilitare per impostazione predefinita le macro nei programmi di produttività individuale per qualsiasi documento proveniente dal web o dalla posta. - **Isolare l'apertura degli allegati:** Implementare soluzioni di Remote Browser Isolation (RBI) o canalizzare obbligatoriamente le candidature attraverso un sistema ATS aziendale capace di convertire i file ricevuti in anteprime statiche non eseguibili. ### Allenare il personale in contesti realistici con Brain Security La semplice lettura periodica di policy interne non modifica i comportamenti operativi di chi gestisce decine di selezioni al giorno. Per consolidare risposte efficaci, l'addestramento deve ricalcare con precisione le mansioni quotidiane. A questo scopo nasce [Super Phisher](/it/catalogo/super-phisher/), il nostro simulatore di campagne di phishing formativo implementato insieme al team di Brain Security. Super Phisher consente di strutturare simulazioni contestualizzate per i processi HR: candidature spontanee verosimili, CV trappola, richieste simulate di aggiornamento dati assistenziali o inviti fittizi a colloqui video. Il fine non è punire il collaboratore, ma fargli sperimentare la dinamica dell'attacco in uno spazio controllato per affinare lo spirito critico. --- ## Trasformare il punto di accesso in un presidio di sicurezza Spesso i team di selezione costituiscono la prima interfaccia pubblica di un'azienda verso l'esterno: per questo motivo devono rappresentare uno dei primi baluardi dell'architettura difensiva. Comprendendo le tecniche di ingegneria sociale mirate ai loro strumenti di lavoro, i recruiter smettono di costituire un bersaglio debole e diventano sentinelle attive, in grado di intercettare e segnalare i tentativi di intrusione prima che coinvolgano l'intera organizzazione. Desideri verificare la preparazione dei tuoi team di fronte agli scenari di ingegneria sociale più complessi? [Richiedi un confronto con i nostri specialisti](/it/appuntamento/) per definire un programma di allenamento su misura per i tuoi obiettivi di sicurezza. ### Maturity Self-Assessment Grid: Perché le risorse umane sono il bersaglio preferito del phishing (e come rimediare) | Assessed Domain | Target Practice Defined in Guide | Related Chapter | Priority | | --- | --- | --- | --- | | **Il file PDF a doppia estensione** | Il file si presenta come un documento innocuo denominato CV_Sviluppatore_Senior.pdf.exe oppure sfrutta collegamenti .lnk . Nelle impostazioni… | Come colpiscono i cybercriminali i recruiter e i team HR? | P1 · Critical | | **Rendere visibili le estensioni dei file** | Configurare i sistemi aziendali tramite GPO per mostrare sempre le estensioni complete, facilitando l'individuazione di file sospetti. | Come costruire uno scudo efficace per il reparto risorse umane… | P1 · High | | **I documenti Office con macro** | File Word o fogli di calcolo che simulano un portfolio dettagliato o una scheda di aspettative retributive. All'apertura, il testo appare sfocato con… | Come colpiscono i cybercriminali i recruiter e i team HR? | P2 · Core | | **Bloccare l'esecuzione di macro da fonti esterne** | Disabilitare per impostazione predefinita le macro nei programmi di produttività individuale per qualsiasi documento proveniente dal web o dalla… | Come costruire uno scudo efficace per il reparto risorse umane… | P2 · Ongoing | --- ## Per approfondire: articoli correlati e soluzioni Brain Security ### Articoli complementari su questo tema - **[Phishing interno: cosa fare se l'email proviene dalla casella di un collega?](/it/sicurezza-informatica/phishing-interno-email-compromessa-collega-cosa-fare/)** (Phishing e Ingegneria sociale) : Ricevi un'email sospetta dall'indirizzo legittimo di un collega? Scopri le azioni cruciali per bloccare un account compromesso e il phishing interno. - **[Smart working, treno e hotel: 6 errori di cybersicurezza in mobilità che espongono l'azienda](/it/sicurezza-informatica/smart-working-errori-cybersicurezza-mobilita/)** (Phishing e Ingegneria sociale) : Scopri le buone pratiche di cybersicurezza in mobilità: Wi-Fi pubblico, shoulder surfing e VPN per proteggere i tuoi dipendenti da remoto. - **[Frequenza delle simulazioni di phishing: il giusto ritmo per la tua azienda](/it/sicurezza-informatica/frequenza-simulazioni-phishing-ritmo-aziendale/)** (Phishing e Ingegneria sociale) : Quale frequenza scegliere per i test di phishing? Scopri il ritmo ideale per mantenere alta la vigilanza senza saturare i tuoi collaboratori. - **[PCI DSS v4.0 Requisito 12.6: Rafforzare la consapevolezza contro il phishing](/it/sicurezza-informatica/pci-dss-v4-requisito-12-6-phishing-consapevolezza/)** (Conformità (NIS 2, DORA, ISO)) : Scoprite i requisiti PCI DSS v4.0 (12.6) per la formazione cyber, la difesa dal phishing e il social engineering con i nostri consigli pratici. ### Scoprire le soluzioni Brain Security sul sito - **Soluzione associata : [Super Phisher](/it/catalogo/super-phisher/)** : Il simulatore di phishing che allena i Suoi team agli attacchi reali, dalla falsa e-mail al QR code trappola, in un quadro controllato che non cattura mai una password. - **[Consultare i casi d’uso per obiettivo e settore](/it/casi-duso/)** - **[Confrontare i nostri formati di sensibilizzazione cyber e IA](/it/confronto/)** - **[Esplorare l’intero catalogo interattivo di Brain Security](/it/catalogo/)** - **[Parlare delle vostre esigenze con il nostro team (demo e attivazione)](/it/appuntamento/)** --- - https://startbrain.io/it/sicurezza-informatica/phishing-risorse-umane-falsi-cv-protezione/ - [Français](https://startbrain.io/fr/cybersecurite/phishing-cible-ressources-humaines-cv-pieges/) - [Deutsch](https://startbrain.io/de/cybersecurity/warum-hr-abteilungen-ziel-fuer-phishing-sind/) - [English (UK)](https://startbrain.io/en-gb/cybersecurity/why-hr-departments-are-phishing-targets/) - [English (US)](https://startbrain.io/en-us/cybersecurity/why-hr-departments-target-phishing/) - [Español](https://startbrain.io/es/cyberseguridad/phishing-recursos-humanos-cv-malicioso-seguridad/) - [Nederlands](https://startbrain.io/nl/cybersecurity/waarom-hr-favoriete-doelwit-phishing-aanpak/) - [Português](https://startbrain.io/pt/ciberseguranca/phishing-recursos-humanos-cv-malicioso-seguranca/) - [日本語](https://startbrain.io/ja/cybersecurity/hr-recruitment-phishing-prevention-ciso-guide/) - [Polski](https://startbrain.io/pl/cyberbezpieczenstwo/dlaczego-dzial-hr-jest-celem-phishingu-ochrona/) - [Svenska](https://startbrain.io/sv/cybersakerhet/natfiske-hr-avdelning-skydda-rekryterare-cv/) - [Dansk](https://startbrain.io/da/cybersikkerhed/hr-phishing-sikkerhed-candidat-cv-angreb/) - [Suomi](https://startbrain.io/fi/kyberturvallisuus/miksi-hr-rekrytointi-tietojenkalastelu-valheelliset-ansioluettelot/) - [Norsk](https://startbrain.io/no/cybersikkerhet/hr-avdeling-phishing-angrep-falske-cv-sikkerhet/) - [English (Canada)](https://startbrain.io/en-ca/cybersecurity/why-hr-is-targeted-by-phishing/) - [llms.txt](https://startbrain.io/llms.txt)