Vishing: come i cybercriminali manipolano i dipendenti al telefono

La scena si ripete ogni settimana in decine di organizzazioni: il tecnico del supporto IT risponde al telefono. Dall'altro capo del filo, una voce affannata si presenta come un dirigente o un direttore commerciale bloccato in aeroporto prima di una negoziazione strategica. L'accesso VPN risulta bloccato, l'applicazione di autenticazione a più fattori (MFA) non risponde più e l'interlocutore esige un reset immediato della password per non perdere un accordo cruciale. Davanti a questa miscela di urgenza e autorità, l'empatia e la pressione gerarchica spingono spesso il tecnico ad aggirare le procedure stabilite.

Il vishing (crasi di "voice" e "phishing") rappresenta oggi uno dei vettori di intrusione più devastanti per il sistema informativo aziendale. A differenza delle e-mail fraudolente, bloccate in gran parte dai gateway di sicurezza perimetrali, una telefonata diretta sfrutta la vulnerabilità più imprevedibile dell'organizzazione: il fattore psicologico umano. Mentre gli attaccanti perfezionano le proprie strategie con strumenti vocali avanzati, comprendere le loro leve di manipolazione diventa una priorità assoluta per ogni CISO e Security Manager.

Quali sono le tecniche di manipolazione utilizzate durante un attacco di vishing?#

In sintesi: Gli attaccanti combinano la raccolta meticolosa di dati pubblici, l'usurpazione di autorità interna, la creazione di un falso senso di urgenza critica e la lusinga per spingere un dipendente o l'help desk IT a disattivare barriere di sicurezza, approvare una notifica MFA o ripristinare le credenziali di accesso.

Per raggiungere l'obiettivo, i criminali informatici non compongono mai un numero a caso. Il vishing si basa su una collaudata catena di social engineering, articolata in diverse fasi psicologiche:

• L'OSINT preparatorio (Open Source Intelligence): L'attaccante analizza a fondo profili LinkedIn, post sui social network e il sito istituzionale. Raccoglie i nomi dei manager, il gergo interno dell'azienda, i software collaborativi adottati e il calendario degli spostamenti dei dirigenti.
• Il pretesto plausibile (pretexting): Il truffatore costruisce un ruolo credibile. Può fingere di essere un neoassunto in difficoltà durante il suo primo giorno di lavoro, un auditor esterno incaricato dalla direzione generale o un tecnico di rete impegnato in una manutenzione notturna urgente.
• La saturazione cognitiva tramite l'urgenza: Alimentando lo stress (un blocco operativo imminente, la collera simulata di un vertice aziendale, una perdita economica immediata), l'interlocutore costringe la vittima a cortocircuitare il pensiero critico e i controlli di sicurezza.
• L'inversione dei ruoli di soccorso: L'attaccante finge spesso di voler aiutare il dipendente a risolvere un problema inventato ad arte, trasformando una richiesta rischiosa in un gesto di apparente collaborazione.

Perché il supporto IT e l'MFA sono i bersagli privilegiati?#

In sintesi: L'help desk possiede privilegi amministrativi elevati e una cultura orientata all'assistenza rapida. Gli aggressori sfruttano questa disponibilità per aggirare l'MFA tramite l'affaticamento da notifiche o per ottenere il reset diretto dei token di autenticazione.

Il centro di supporto tecnico (service desk) rappresenta la porta di ingresso ideale per i gruppi criminali. I team di assistenza sono formati per risolvere i problemi con efficienza e rapidità, spesso valutati sui tempi medi di chiusura dei ticket. Quando un interlocutore persuasivo afferma di aver smarrito lo smartphone aziendale, il tecnico può sentirsi tentato di associare un nuovo dispositivo di autenticazione senza richiedere una doppia verifica video o una chiamata di riscontro su una linea certificata.

La manipolazione dell'MFA attraverso il canale vocale

L'autenticazione a più fattori non costituisce una barriera insormontabile se la risorsa umana cede al telefono. Gli aggressori impiegano il vishing per coordinare attacchi di "MFA fatigue" (l'invio massivo e ripetuto di notifiche push di autorizzazione). Mentre l'utente viene sommerso di notifiche sul cellulare, il criminale lo contatta spacciandosi per il team di sicurezza interna: "Rileviamo un'anomalia grave sul suo account, convalidi la prossima notifica per bloccare l'attacco". L'utente autorizza la richiesta e l'attaccante ottiene l'accesso alla rete interna.

In che modo l'intelligenza artificiale amplifica la minaccia vocale?#

L'evoluzione dell'intelligenza artificiale generativa ha fatto compiere un salto di qualità allarmante al social engineering vocale. Bastano ormai pochi secondi di traccia audio (estrapolata da un'intervista su YouTube, da un intervento pubblico o da un podcast aziendale) per clonare la voce di un dirigente con un livello di dettaglio impressionante, replicando timbro, pause e inflessioni.

Di fronte a inganni così realistici, le lezioni puramente teoriche non bastano a consolidare la vigilanza dei collaboratori. Per mostrare concretamente con quale semplicità sia possibile replicare un'identità vocale o visiva, Brain Security ha sviluppato Deepfake Studio, un laboratorio pedagogico fruibile gratuitamente online senza creare un account. Sperimentando queste tecnologie in sessioni di formazione pratica, i dipendenti comprendono il funzionamento di queste minacce e imparano a non fidarsi esclusivamente del tono familiare di una voce al telefono.

ESPERIENZA OPERATIVA BRAIN SECURITY · Deepfake Studio

Quali contromisure umane adottare contro le telefonate fraudolente?#

La sola componente tecnologica non può neutralizzare un attacco imperniato sulla manipolazione psicologica. La resilienza dell'organizzazione fa perno su procedure operative rigorose e riflessi comportamentali condivisi:

• Il protocollo di richiamata obbligatoria (Out-of-Band): Per qualsiasi operazione critica (modifica della password da remoto, registrazione di un nuovo dispositivo MFA, transazioni finanziarie), va applicata una regola ferrea. Il supporto interrompe la chiamata e ricontatta il dipendente tramite il numero registrato nella rubrica aziendale ufficiale, oppure convalida l'identità tramite un canale alternativo verificato.
• La legittimazione del dubbio: Nessun collaboratore deve temere sanzioni per aver sospeso una richiesta urgente proveniente da un presunto dirigente allo scopo di verificarne l'autenticità. Il supporto della direzione verso chi applica cautela è il primo scudo difensivo.
• L'adozione di frasi segrete o codici di validazione: Nelle operazioni sensibili o nei ripristini di accesso fuori sede, l'uso di codici temporanei distribuiti in precedenza consente di certificare l'identità dell'interlocutore senza ambiguità.
• L'addestramento pratico continuo: La teoria si dimentica in fretta, mentre l'esperienza diretta resta impressa. Quando affrontano simulazioni realistiche di social engineering, i tecnici e il personale sviluppano la capacità di riconoscere gli indizi tipici della truffa (ansia indotta, fretta anomala, compiacenza eccessiva).

La sicurezza dei vostri accessi dipende dalla prontezza del personale di fronte alla cornetta. Desideri valutare la robustezza delle difese umane della tua azienda e pianificare un programma di formazione su misura per i tuoi rischi? Contattaci per approfondire le tue esigenze con i nostri esperti di social engineering.

Per approfondire: articoli correlati e soluzioni Brain Security#

Articoli complementari su questo tema

• Attacco BEC e truffa IBAN fornitore: Come sventare la frode (Phishing e Ingegneria sociale) : Come individuare un falso cambio di IBAN quando la casella del fornitore e violata? Segnali comportamentali, procedura di recall e verifiche chiave.
• Typosquatting e domini omografi: insegnare ai team a leggere una URL (Phishing e Ingegneria sociale) : Scopri come riconoscere typosquatting e attacchi omografi. Allena i tuoi dipendenti ad analizzare le URL per bloccare sul nascere il phishing.
• Phishing AiTM: Perché anche il codice 2FA inserito su un sito clone viene rubato (Phishing e Ingegneria sociale) : Scopri come il phishing AiTM elude l'autenticazione a due fattori tramite il furto del cookie di sessione MFA e come proteggere la tua azienda.
• Clonazione vocale IA contro l'Helpdesk IT: Bloccare il reset fraudolento del MFA (Cultura IA e AI Act) : Scoprite come contrastare la clonazione vocale IA contro l'helpdesk IT e il vishing MFA tramite protocolli out-of-band e Deepfake Studio di Brain Security.

Scoprire le soluzioni Brain Security sul sito

• Soluzione associata : Deepfake Studio : Il photobooth deepfake: autorizzi la webcam, un’IA La trasforma dal vivo e non guarderà più un’immagine allo stesso modo.
• Consultare i casi d’uso per obiettivo e settore
• Confrontare i nostri formati di sensibilizzazione cyber e IA
• Esplorare l’intero catalogo interattivo di Brain Security
• Parlare delle vostre esigenze con il nostro team (demo e attivazione)