Riconoscere una chiamata sospetta è solo il primo passo. In un’organizzazione bisogna anche raccogliere informazioni utili, proteggere l’account coinvolto e consegnare una segnalazione che il team di sicurezza possa verificare senza esporre altri dati.
Obiettivo e pubblico: esercitare una risposta ordinata a un caso di vishing simulato. La guida è destinata a utenti consapevoli, help desk e redattori di procedure interne. Richiede soltanto un ambiente di laboratorio e un modulo di segnalazione di prova.
Uso autorizzato: non chiamare persone ignare, non falsificare numeri e non usare marchi, credenziali o registrazioni reali. Tutti i partecipanti devono conoscere il carattere didattico dell’esercizio. Lo scenario può essere svolto anche interamente su carta.
Prerequisiti e risultato atteso
Prepara due partecipanti, oppure una sola persona che legga lo scenario, un orologio, un modulo vuoto e un account fittizio. Il risultato atteso non è identificare un criminale: è produrre una segnalazione essenziale, attivare le verifiche appropriate e stabilire se l’account simulato richieda contenimento.
Definisci prima dell’esercizio un canale ufficiale di verifica, per esempio una rubrica interna di laboratorio. Non inserire numeri telefonici reali. Predisponi inoltre una cartella temporanea priva di dati personali, che verrà eliminata al termine.
Scenario controllato
La scheda descrive una chiamata già conclusa. Un interlocutore si è presentato come addetto dell’assistenza e ha sostenuto che l’account aziendale fosse sotto attacco. Ha chiesto di leggere un codice ricevuto sul telefono e di approvare una notifica. Il partecipante ha interrotto la conversazione senza condividere il codice.
Lo scenario contiene intenzionalmente pochi dati. Il numero visualizzato, il tono della voce e il nome dichiarato non sono prove d’identità. Non occorre richiamare il numero né proseguire la conversazione per “raccogliere più informazioni”.
Procedura guidata
- Registra i fatti osservati. Annota ora, canale, identità dichiarata, richiesta ricevuta e azioni effettivamente compiute. Separa ciò che è stato visto da ciò che si presume.
- Verifica con un contatto indipendente. Consulta la rubrica preparata prima dell’esercizio. Non usare recapiti comunicati durante la chiamata o presenti in un messaggio correlato.
- Controlla l’esposizione. Indica se sono stati comunicati password, OTP, dati personali, informazioni aziendali o se è stata approvata una richiesta di accesso. “Nessun dato condiviso” è un’informazione utile, non la conclusione automatica dell’indagine.
- Consegna la segnalazione. Invia il modulo al canale di prova del team di sicurezza o dell’help desk. Evita di diffondere registrazioni o screenshot in chat generiche.
- Applica la decisione prevista. Se lo scenario dichiara un’OTP comunicata o una notifica approvata, simula revoca delle sessioni, reset controllato e verifica degli accessi. Se non vi è stata esposizione, documenta comunque la campagna.
Un modulo minimo, non un interrogatorio
| Campo | Esempio sintetico | Da evitare |
|---|---|---|
| Quando e come | 10:15, chiamata ricevuta | Interpretazioni non verificate |
| Identità dichiarata | Assistenza interna | Dati personali non necessari |
| Richiesta | Comunicare OTP | Trascrivere il codice |
| Azione compiuta | Chiamata interrotta | Minimizzare per imbarazzo |
| Canali correlati | SMS ricevuto pochi minuti prima | Aprire link per verificarli |
Il modulo deve rendere possibile una decisione. Accumulare dettagli non pertinenti aumenta il trattamento di dati e può confondere la sequenza temporale. NIST SP 800-61 Rev. 3 inquadra la risposta agli incidenti come parte della gestione del rischio e insiste sulla preparazione organizzativa: ruoli e canali vanno definiti prima dell’evento, non improvvisati durante la pressione.
Valutazione del risultato
- Il partecipante ha interrotto la pressione senza discutere con il chiamante?
- Ha scelto autonomamente il canale di verifica?
- La segnalazione distingue fatti, dichiarazioni e ipotesi?
- È chiaro se credenziali, OTP o approvazioni siano state esposte?
- La decisione di contenimento è coerente con l’esposizione dichiarata?
- La procedura indica chi aggiorna la persona che ha segnalato?
Un errore nell’esercizio non deve diventare una colpa individuale. Se il modulo è difficile da trovare, il recapito ufficiale non è noto o l’help desk chiede a sua volta dati eccessivi, il laboratorio ha individuato una debolezza del processo.
Ripristino e pulizia del laboratorio
Chiudi il ticket di prova con un’etichetta che lo distingua dagli incidenti reali. Elimina appunti, audio e schermate temporanee; conserva soltanto risultati aggregati e azioni di miglioramento. Ripristina l’account fittizio, revoca eventuali sessioni generate per il test e verifica che nessuna automazione abbia inviato notifiche a utenti reali.
Concludi con un breve debrief: quale segnale ha aiutato, quale passaggio ha rallentato la risposta e quale modifica concreta verrà assegnata a un responsabile. Ripeti il laboratorio dopo l’aggiornamento della procedura, non per valutare la memoria delle persone ma per verificare che il sistema sia diventato più semplice e sicuro.
Limiti
Un esercizio dichiarato non misura quanto una persona reagirebbe sotto pressione reale e non dimostra l’efficacia dei controlli telefonici dell’operatore. Verifica invece reperibilità dei canali, chiarezza delle decisioni e qualità della segnalazione. Non usare il risultato per stimare un “tasso di vulnerabilità” delle persone.
Fonti essenziali
Fonti istituzionali consultate il 10 ottobre 2026. La procedura e il laboratorio sono una proposta editoriale da adattare a ruoli, contratti e sistemi dell’organizzazione.
COMMUNITY
Non ci sono ancora commenti. Puoi iniziare tu la conversazione.