L’ingegneria sociale funziona ancora (e ce lo dimostrano gli attacchi via Salesforce): Kevin Mitnick lo aveva già previsto

Kevin Mitnick lo diceva da anni: “L’anello debole della sicurezza informatica non è la tecnologia, sono le persone.” E aveva ragione.

In questi giorni ho letto della campagna messa in atto dal gruppo UNC6040, che ha utilizzato una versione malevola del Salesforce Data Loader per colpire aziende in Europa e America. Nessuna falla tecnica, nessuna vulnerabilità zero-day: solo ingegneria sociale ben fatta. Hanno convinto i dipendenti a installare il tool “truccato” fingendosi operatori IT, sfruttando la fiducia e la distrazione di chi si trova a lavorare sotto pressione.

Funziona? Sì. Funziona ancora nel 2025, nonostante firewall, MFA e mille strumenti di sicurezza. Perché alla fine, basta una telefonata fatta bene.

Non si sa ancora se tra le vittime ci siano aziende italiane, ma il punto non è chi è stato colpito oggi, bensì chi è vulnerabile domani. E la verità è che molte aziende italiane, soprattutto PMI, usano strumenti come Salesforce senza avere reali politiche di sicurezza o formazione per il personale.

Perché questo attacco ci riguarda da vicino

Mitnick ha passato metà della sua vita a dimostrare che è possibile ingannare chiunque, se si trova la leva giusta. Il gruppo UNC6040 non ha fatto altro che applicare quella lezione con strumenti moderni: chiamate telefoniche, strumenti conosciuti, ruoli credibili.

E il danno? Accesso ai sistemi aziendali, furto di dati e, spesso, estorsione dopo settimane di attesa, quando nessuno sospetta più nulla.

Come difendersi: la lezione resta sempre la stessa

1. Verificare sempre l’identità di chi ci contatta, soprattutto se ci chiede di installare qualcosa o di cambiare configurazioni.
2. Formare il personale: non basta un corso all’anno. Servono esempi pratici, simulazioni, e cultura della sicurezza.
3. Usare MFA, ma con consapevolezza: anche quello può essere aggirato, se clicchiamo “approva” senza pensarci.
4. Creare una policy interna semplice, ma chiara: nessuno deve installare strumenti se non autorizzati dal reparto IT ufficiale.

Non serve panico, ma realismo. Questi attacchi non richiedono competenze tecniche straordinarie: basta una telefonata e un link. Kevin Mitnick ci aveva avvisati. Ora tocca a noi non farci trovare impreparati.