Glossario / Privacy e sicurezza
Ingegneria sociale
- Che cos'è l'ingegneria sociale?
- L'ingegneria sociale è l'arte di far svolgere a una persona il lavoro dell'attaccante al posto suo: approvare un trasferimento, leggere ad alta voce un codice o aggirare una regola che la persona è stata addestrata a far rispettare.
In questo tipo di attacco non si rompe nulla, tranne il giudizio di una persona. Gli attaccanti prendono di mira il personale con la stessa facilità dei clienti: una campagna telefonica contro i dipendenti di Twitter il 15 luglio 2020 ha raggiunto 130 account e raccolto circa 12,86 bitcoin in un solo pomeriggio. Poiché un pagamento in bitcoin confermato non può essere annullato, l'intera truffa deve funzionare una volta sola.
Come funziona
Ogni attacco di ingegneria sociale mette insieme le stesse quattro parti, nello stesso ordine.
Un pretesto dà all'attaccante una ragione per parlarti: reparto antifrode, assistenza dell'exchange, un problema di consegna, un'offerta di lavoro, un nuovo incontro su un'app di appuntamenti. L'autorità o la familiarità fa reggere il pretesto, fornita da un identificativo del chiamante falsificato, da un dettaglio reale tratto da un database violato o semplicemente dal conoscere il tuo nome e quale exchange usi. L'urgenza ti toglie la possibilità di verificare, perché un conto compromesso o un'opportunità in scadenza significano che la decisione va presa subito. Infine l'azione irreversibile: inviare i bitcoin, leggere il codice ad alta voce, installare lo strumento di accesso remoto, digitare le parole.
Il bitcoin acuisce l'ultimo passaggio. La frode con carta ha un emittente che può annullare un addebito e una banca che assorbe parte della perdita. Un pagamento on-chain confermato non ha né l'uno né l'altra, quindi il guadagno dell'attaccante è definitivo al momento della prima conferma, di solito circa dieci minuti dopo che hai premuto invio.
Le campagne più dannose saltano del tutto il cliente e prendono di mira il personale dell'azienda, dove un solo successo raggiunge migliaia di account. Coinbase ha divulgato il 15 maggio 2025 che collaboratori esterni dell'assistenza clienti all'estero erano stati corrotti per consegnare dati dei clienti, poi usati per fare telefonate convincenti del tipo "il tuo conto è compromesso". L'azienda ha rifiutato una richiesta di riscatto di 20 milioni di dollari e ha stimato costi di rimedio e rimborso tra 180 e 400 milioni di dollari.
Dove lo vedi
Sei schemi di ingegneria sociale coprono la stragrande maggioranza delle perdite, e ognuno ha una regola meccanica che lo sconfigge.
La telefonata del wallet sicuro. Qualcuno che dice di essere del tuo exchange o del fornitore del tuo wallet afferma che il tuo conto è compromesso e ti guida a spostare i fondi su un "indirizzo sicuro" che ti fornisce. Nessuna azienda legittima ti chiederà mai di spostare bitcoin. Chiunque ti chiami per farlo è l'attacco, quindi riaggancia.
Assistenza impersonata nella ricerca e nelle chat. Annunci sponsorizzati nei motori di ricerca e account Telegram o Discord con il logo giusto compaiono nel momento in cui pubblichi un reclamo pubblico. L'assistenza reale non ti scrive per prima. Contatta l'assistenza solo tramite una pagina a cui sei arrivato da solo.
Truffe di recupero. Dopo una perdita, un secondo attaccante offre di rintracciare e recuperare i tuoi bitcoin dietro un compenso anticipato. Le liste delle vittime vengono rivendute proprio per questo. Nessun servizio privato può annullare una transazione in bitcoin.
Accesso dall'interno. Collaboratori dell'assistenza corrotti e dipendenti degli operatori telefonici trasformano i normali strumenti di un'azienda in una superficie di attacco, come ha mostrato la divulgazione di Coinbase. Dai per scontato che l'exchange conosca i tuoi bitcoin detenuti e il tuo indirizzo, e conserva la tua riserva di lungo periodo in un luogo fuori dalla portata dell'exchange.
Finti colloqui di lavoro e codice. Ai developer viene inviato un "compito da svolgere a casa" o un plugin per videochiamate che installa un ladro di informazioni, il quale poi cerca sul disco file di wallet e backup della frase di recupero.
Coercizione fisica. Liste di indirizzi dei clienti finite online hanno portato a invasioni domestiche contro detentori noti, quindi tratta i tuoi bitcoin come qualcosa di cui non parli e che non mostri.
Due regole coprono tutti e sei i casi. Non compiere mai un'azione sui tuoi bitcoin sollecitata da un contatto in entrata, e richiama sempre a un numero che hai cercato tu. Aggiungi un periodo personale di attesa di 24 ore per qualsiasi trasferimento non pianificato, perché l'urgenza è l'ingrediente di cui nessun attaccante può fare a meno.