Social engineering, frodi interne, intrusioni fisiche.
Cosa è cambiato nel 2026 e cosa fare lunedì mattina.
Passa da una telefonata, da una mail che imita la PEC del commercialista, da un dipendente uscente, da una porta sul retro lasciata aperta. Le difese tecniche le abbiamo. Mancano quasi sempre le altre tre.
Non è un manuale di compliance ISO 27001 (esistono già, sono ottimi, costano cari). Non è un white paper di vendor. Non è un elenco di best practice generiche.
È la nostra postura operativa: cosa abbiamo visto succedere davvero ai clienti che difendiamo, cosa funziona, cosa è teatro di sicurezza, e cosa puoi cominciare a fare lunedì mattina senza budget aggiuntivo.
I report dei vendor di sicurezza tendono a spaventare. Lo facciamo poco apposta. Le minacce esistono, non serve gonfiarle: serve capirle. Dove citiamo numeri o casi, sono pubblici e verificabili. Dove esprimiamo opinioni, lo diciamo.
Il social engineering non è una novità. Quello che è cambiato è il costo marginale di farlo bene: voce clonata da 30 secondi di audio, mail iperpersonalizzate generate in scala, ricognizione automatizzata su LinkedIn, traduzioni italiane indistinguibili. La "scrittura sgrammaticata" come segnale d'allarme è morta.
Clonare una voce da campioni pubblici (intervento a un convegno, vocale WhatsApp inoltrato, podcast aziendale) richiede 30–90 secondi di audio e qualche euro. Caso documentato: Arup, Hong Kong, febbraio 2024 — videoconferenza interamente popolata da deepfake convince un dipendente a trasferire 25 milioni di dollari.
L'attaccante non scrive più mail in inglese maccheronico tradotto male. Scrive in italiano corretto, citando colleghi reali estratti da LinkedIn, riferimenti a progetti pubblici, calendario fiscale italiano. Volume × qualità ora coesistono.
Tutti hanno MFA push. Quindi gli attaccanti mandano 50 richieste push alle 3 di notte finché qualcuno tappa "approva". Oppure chiamano l'help desk fingendosi il dipendente, chiedono di resettare l'MFA. La vulnerabilità si è spostata dall'autenticazione alla procedura di recupero.
Il punto debole del 2026 è il primo livello di supporto: persone giovani, ad alto turnover, pressate sul tempo medio di gestione, autorizzate a sbloccare account. È il bersaglio preferito dei gruppi Scattered Spider e affini.
Cambiano i payload, cambia il tono, cambiano le piattaforme. La struttura del kill-chain umano è notevolmente stabile da vent'anni. Conoscerla aiuta a interrompere l'attacco prima che chiuda.
LinkedIn (organigramma, recenti assunzioni, tecnologie usate), sito aziendale, registro imprese, archivio PEC, social personali dei dipendenti chiave, fughe di credenziali da breach precedenti, dump di mailing list. Costo per l'attaccante: zero. Tempo: 2–6 ore.
Costruzione della copertura. Mail da dominio simile (videnté.it vs vidente.it), profilo LinkedIn falso di un "nuovo collega", spoof del numero del commercialista, sito gemello dell'azienda partner. Più curato è questo strato, più sale il tasso di successo dei passaggi successivi.
La consegna del primo contatto: mail, chiamata, SMS, messaggio WhatsApp/Teams, QR code stampato, intervento a un evento. La regola di gergo: il canale conta meno del pretesto.
Il momento decisivo. Click sul link, immissione credenziali, approvazione del push MFA, bonifico, condivisione di un documento, esecuzione di un comando "per testare se funziona". L'attaccante professionista costruisce sempre una via di fuga per la vittima: un motivo per cui, anche dopo, non chiamerà nessuno.
Una volta dentro: regole di forward sulla posta, creazione di token API, registrazione di un nuovo dispositivo MFA, attivazione di una mail rule che cancella ricevute di bonifico. La maggior parte dei danni avviene in questa fase, ed è quella che si continua a vedere meno nei controlli post-incidente.
Mail singola, scritta in italiano corretto, citando un progetto reale, il nome di un collega reale, una scadenza fiscale reale. Tasso di click sui controlli simulati: 18–34% a seconda del settore.
L'amministratore "in viaggio, non disturbarmi" chiede al CFO un bonifico urgente a fornitore nuovo. Mail interna compromessa o dominio look-alike. Danno medio per evento in Italia: €40–250k.
L'attaccante chiama il numero IT spacciandosi per un dipendente. "Sono fuori sede, mi è sparito il telefono, devo accedere al portale paghe, mi resetti l'MFA?" Il modus operandi di Scattered Spider — funziona contro chi non ha verifica out-of-band.
Vocale WhatsApp o telefonata "dal capo" con voce clonata da 30 secondi di intervista pubblica. Spinge a un bonifico, un cambio coordinate IBAN, l'invio di un documento. Casi italiani in crescita 2024–25.
"Pacco in giacenza", "anomalia bancaria", "ritiro fascicolo". Link verso pagine cloni mobile-first. Bersaglio: dipendente fuori orario, sullo smartphone personale collegato alla VPN aziendale.
L'attaccante ha già le credenziali (da credential stuffing). Manda 30 richieste push MFA nella stessa notte sperando in un "approva" di sfinimento o errore. Mitigazione: number-matching o passare a FIDO2.
QR code attaccato a una colonnina di ricarica, su un volantino, dentro una mail come immagine (bypassa filtri URL). Punta a una pagina di login fake. In crescita perché aggira la maggior parte dei link-scanner.
Profilo recruiter fittizio, contatto con un dipendente chiave (sviluppatore senior, DBA, sysadmin), "offerta interessante", PDF della job description con macro o link a sito di "assessment tecnico". Stile Lazarus/Ronin, costo basso, alto rendimento se va a segno.
| Bersaglio | Anno | Tecnica | Lezione operativa |
|---|---|---|---|
| MGM Resorts | 2023 | Vishing all'help desk · reset MFA · ransomware ALPHV/Scattered Spider | Stima impatto operativo $100M+. La telefonata di 10 minuti ha sbloccato l'identity provider. Mai resettare MFA via voce senza verifica out-of-band. |
| Caesars | 2023 | Stesso playbook MGM, su fornitore esterno di IT support | Riscatto ~$15M. Il rischio del terzo è il tuo rischio. Audit dei fornitori di supporto è parte della superficie d'attacco. |
| Uber | 2022 | MFA fatigue + messaggio Slack "sono dell'IT, accetta il push" | Number-matching su MFA avrebbe ridotto il rischio. Procedura: nessun IT chiede mai un push out-of-band. |
| 2020 | Social engineering a dipendenti per accesso a tool admin interno | Strumenti interni potenti → richiedono 4-eyes (doppia approvazione) e logging immutabile. | |
| Ronin Network | 2022 | Fake recruiter LinkedIn → PDF malevolo a ingegnere senior → $625M sottratti | Macro/PDF da contatti LinkedIn nuovi vanno aperti solo in sandbox. Vale anche per chi "non lavora con codice". |
| LastPass | 2022 | DevOps engineer compromesso a casa (Plex vulnerabile) → accesso vault | Endpoint personali con accesso ad asset critici sono parte del perimetro. Zero trust su ogni endpoint, anche "personale". |
| Retool | 2023 | SMS phishing + telefonata con voce deepfake da "IT" → MFA bypass | Combinare canali (SMS + voce) raddoppia la credibilità percepita. Procedura: la verifica vale solo se cambia canale e iniziatore. |
I controlli che hanno impatto reale sulla parte tecnica del social engineering remoto. In ordine di rapporto costo/beneficio per una PMI.
Sostituire MFA via SMS o app push con FIDO2 (chiavi fisiche YubiKey/passkeys) almeno per account ad alto privilegio: amministratori IT, finance, HR, sviluppatori con accesso a produzione. Una chiave hardware costa €30–60 e neutralizza vishing, push bombing e adversary-in-the-middle. Per il resto degli utenti, abilitare number-matching e geolocation check.
La maggioranza dei domini italiani PMI sono ancora in p=none o privi di DMARC. Chiunque può spoofare la mail aziendale. La transizione a p=reject richiede 2–8 settimane di monitoring e abbatte il vettore "mail dal capo" praticamente a zero.
Bloccare l'accesso ai sistemi sensibili da paesi non operativi, da reti non gestite, da dispositivi non aziendali. Per i ruoli a rischio, browser isolato (Edge for Business, Island, o equivalente) per la navigazione esterna. Limita la portata di un link aperto per errore.
Filtri che rilevano dominio simile (videnté.it vs vidente.it), homoglyph (cyrillic 'а' al posto di 'a'), display-name spoofing (mittente che si chiama come il CEO ma da indirizzo Gmail). Disponibili su tutti i gateway moderni — di solito disattivati per default.
Allarmi su: creazione di regole di forward, registrazione di nuovo dispositivo MFA, creazione di token API, accessi da Tor/VPN commerciali, cambio di password seguito da accesso da paese nuovo entro 30 minuti. Questi sono i segnali che separano un incidente recuperabile da un disastro.
Il punto più sottovalutato. Quando un utente perde l'accesso, la procedura per ridarglielo deve includere verifica out-of-band con canale diverso da quello compromesso, idealmente di persona o via videochiamata col volto riconoscibile dal collega.
La formazione "non cliccare sui link sospetti" non funziona. Funzionano le procedure che non chiedono all'umano di giudicare la legittimità sotto pressione.
Per ogni bonifico fuori standard, cambio coordinate fornitore, sblocco di account, accesso fisico straordinario: parola d'ordine concordata fuori dai sistemi aziendali, ruotata trimestralmente, custodita su carta. Se non viene pronunciata, l'operazione si ferma. Senza eccezioni — l'unica eccezione è la trappola.
Bonifici sopra una soglia, cambio IBAN fornitore, modifica beneficiario, sblocco account utente privilegiato, creazione utenza nuova in produzione. Due persone, due canali, due conferme. Non è burocrazia: è quello che ha fermato il deepfake CFO di Arup quando è stato provato la seconda volta.
Insegnare a riconoscere la forma dell'attacco: urgenza, autorità, deviazione dalla procedura standard, richiesta di segretezza, canale insolito. Tre pattern che ricorrono nel 95% dei casi. È più resiliente che insegnare a "riconoscere mail sospette".
Le campagne phishing simulato hanno senso se: (a) chi clicca viene istruito subito, non sgridato; (b) crescono in difficoltà nel tempo; (c) misurano il tempo di segnalazione, non solo il tasso di click. Un'azienda dove il 30% segnala in <10 minuti è più sicura di una dove il 5% clicca ma nessuno segnala.
Linea diretta, anonima se serve, senza ritorsioni, con SLA dichiarato di 1 ora. Il danno medio di un incidente segnalato in 10 minuti è il 5–10% di quello segnalato in 24 ore. Quasi tutto dipende dal clima: la gente segnala se sa che non viene massacrata.
Lettura del punteggio. 0–3: l'azienda è esposta su tutti i vettori comuni; un incidente nei prossimi 24 mesi è probabile. 4–6: copertura sui vettori commodity, ancora scoperta su attacchi mirati. 7–8: postura sopra la media italiana, residuo di rischio gestibile. 9–10: postura di livello enterprise; il rischio residuo riguarda attaccanti con risorse di stato.
La parola "insider threat" copre situazioni profondamente diverse. Trattarle come una cosa sola fa fallire i controlli. Vediamo nei clienti, in ordine di frequenza:
Non vuole danneggiare, ma manda il file allegato sbagliato, salva su Drive personale, condivide credenziali per comodità. È il 60–70% di tutti gli incidenti insider.
Le sue credenziali sono in mano di un attaccante esterno. Per il sistema sembra un insider — è un externe travestito. Distinguerli cambia la risposta.
Sta lasciando l'azienda, porta via clienti, listini, formule, codice. Picco di attività di download nei 60 giorni precedenti alle dimissioni. Il classico del settore commerciale e tecnico.
Vede una falla nei controlli (rimborsi, ordini, magazzino) e la sfrutta in piccolo, ripetutamente. Spesso parte come un episodio, diventa abitudine. Tipico di ruoli back-office sotto-controllati.
Un dipendente collabora con fornitore, ex-collega o partner per dirottare commesse, prezzi, contratti. Tipico nei contesti dove il singolo controlla l'intera filiera decisione → pagamento.
Dipendente o ex-dipendente con accesso residuo che danneggia volontariamente (cancellazione dati, modifica configurazioni, leak pubblico). Raro ma ad alto impatto. Tipico post-licenziamento gestito male.
Nessun singolo segnale è probante. Il valore sta nella combinazione: tre o più segnali nella stessa persona, nello stesso trimestre, meritano attenzione.
In Italia il monitoraggio sistematico dei lavoratori è regolato dall'art. 4 dello Statuto dei Lavoratori (L. 300/1970), modificato dal Jobs Act. I sistemi di controllo che possono indirettamente sorvegliare i lavoratori richiedono accordo sindacale o autorizzazione dell'Ispettorato Nazionale del Lavoro, oltre a informativa preventiva e DPIA ai sensi del GDPR. Implementare DLP, UEBA, monitoraggio degli accessi senza questa cornice espone l'azienda a contestazioni e rende inutilizzabili in giudizio le prove raccolte.
Chi crea il fornitore non può autorizzare il pagamento. Chi prepara il bonifico non lo firma. Chi gestisce magazzino non gestisce inventario. È il controllo più antico e tuttora il più efficace: nei nostri audit, l'80% delle frodi opportunistiche è possibile perché una sola persona controlla l'intera catena.
Nessuno deve avere accesso permanente a risorse che gli servono raramente. L'amministratore di database accede al server di produzione solo quando alza una richiesta tracciata, riceve l'accesso per N ore, poi viene revocato. Lo stesso per condivisioni di file sensibili.
Controllo finanziario classico: ferie consecutive di almeno 5–10 giorni per chi gestisce conti, cassa, contabilità. Una frode che richiede manutenzione quotidiana emerge quando il frodatore non c'è. Rotazione periodica dei portafogli clienti per la stessa ragione.
Tutti i pagamenti, ordini, modifiche anagrafiche fornitori sopra una certa soglia (definita per dimensione aziendale: tipicamente €5k–€25k per PMI) richiedono due approvazioni indipendenti, su sistema, con log. Vale anche per accessi privilegiati.
I log degli accessi, delle modifiche anagrafiche, dei pagamenti, vanno su un sistema separato dove chi ha causato l'evento non può alterarli. Revisione campionaria mensile, scelta a campione casuale di transazioni, anche solo 5–10. Effetto deterrente notevole, costo basso.
Dipendente che lascia (dimissioni o licenziamento): revoca accesso a TUTTI i sistemi entro la fine del giorno della comunicazione, inclusi cloud personali se collegati a SSO. Recupero hardware, badge, chiavi. Mailbox forwarda a manager per 30 giorni. Audit dei file scaricati negli ultimi 60 giorni.
Per posizioni che maneggiano denaro, dati sensibili, accesso privilegiato: due referenze contattate, casellario giudiziale richiesto al candidato (nei limiti GDPR), valutazione del fit etico oltre che tecnico. Costa, ma il costo medio di una frode interna in PMI italiana è di un ordine di grandezza superiore.
Il D.lgs 24/2023 ha reso obbligatori i canali di segnalazione interna per tutte le aziende con almeno 50 dipendenti (e per molte sotto soglia, in determinati settori). Eppure la maggior parte delle PMI italiane lo ha attivato come compliance burocratica, senza usarlo come strumento operativo.
Il 40–50% delle frodi interne pubblicate viene scoperto tramite segnalazione di un collega — più che da audit, controlli tecnici, ispezioni. Avere un canale credibile, davvero anonimo, gestito da una terza parte fidata, sposta drasticamente la probabilità di scoprire frodi in corso prima che diventino sistemiche.
Vidente offre, su richiesta, gestione tecnica del canale 24/2023 in modalità terza parte indipendente, con piattaforma cifrata, log non identificanti, triage entro 24 ore e report trimestrale aggregato.
Errori che vediamo ricorrere. Il più frequente è confondere "abbiamo l'antivirus" con "abbiamo controllo sugli insider". Il secondo è gestire il whistleblowing come compliance burocratica. Il terzo è non avere una procedura di uscita rigorosa, e accorgersi a danno avvenuto che l'ex-dipendente aveva ancora accesso al CRM 60 giorni dopo le dimissioni.
La sicurezza fisica è un capitolo della cybersecurity, non un cugino povero. Chi entra in un ufficio guadagna accesso a porte di rete, schermi non bloccati, documenti dimenticati, badge dimenticati, rifiuti, dipendenti distratti. Le tecniche sono note da decenni e continuano a funzionare esattamente perché nessuno le considera attuali.
Entrare dietro a un dipendente con badge, mani occupate da scatole, sorriso amichevole, finta telefonata. In contesti con tornelli singoli e cultura "tenere la porta": tasso di successo 60–90%.
"Devo consegnare un pacco al CFO, mi accompagna?", "Sono il tecnico del condizionatore, mi hanno chiamato dall'amministrazione", "Sono nuovo, è il primo giorno". Funziona con uniforme adatta, clipboard, atteggiamento sicuro.
I badge RFID 125 kHz (HID Prox, ancora diffusi in Italia) si clonano con un Proxmark o un Flipper Zero da pochi euro/centimetri di distanza. Il MIFARE Classic si clona quasi altrettanto facilmente. Le tessere DESFire EV2/3 sono robuste; verificare cosa avete davvero.
Chiavette USB lasciate nel parcheggio, vicino alla macchinetta caffè, in lobby. Casi documentati DEFCON: 45–70% delle chiavette vengono inserite in un computer entro 24 ore. La protezione: USB port whitelist o disattivazione del data-USB.
Un Raspberry Pi, un piccolo router 4G ostile collegato a una presa di rete in sala riunioni o sotto la scrivania, accede alla rete interna e crea un canale verso l'esterno. Se non c'è 802.1X, vince all'istante.
Postazioni con schermo visibile da finestre, sala d'attesa, bar adiacenti. Pin di sblocco osservati. Riunioni sentite da uffici vicini con pareti sottili. Privacy screen, posizionamento, gestione dei volumi sono economici e quasi mai applicati.
Notebook lasciato in albergo manomesso in 5 minuti: BIOS modificato, key logger USB inline tra tastiera e PC. Per ruoli che viaggiano con dati sensibili: full disk encryption sempre attiva, dispositivo mai lasciato incustodito.
Scartoffie, bozze, biglietti da visita, pen-drive obsolete buttate intere, vecchi documenti finanziari nella carta. Vale ancora oggi: prima delle riforme di gestione documentale, è la fonte più ricca per OSINT mirato.
L'edificio e i punti di ingresso. Obiettivo: aumentare l'attrito per chiunque non sia atteso.
Dentro l'edificio. Obiettivo: anche se uno è entrato, non può fare grandi danni in solitaria.
Anche un perimetro perfetto viene superato. La difesa moderna assume la violazione e investe in tempo di rilevamento.
Quando si sospetta un'intrusione fisica in corso o appena avvenuta:
Se rileggi le tre parti precedenti, il filo conduttore è uno solo. Social engineering, frode interna, intrusione fisica: tutti e tre vincono nello stesso punto del processo, quello in cui un essere umano deve decidere da solo, sotto pressione, senza appiglio procedurale.
Doppia firma, code-word, verifica out-of-band, 4-eyes. Ovunque c'è un costo, ci devono essere due paia di occhi e due canali. È noioso per chi lavora e impossibile per chi attacca.
Non puntiamo a impedire ogni intrusione — puntiamo a riconoscerla in minuti, non in giorni. Tutti i controlli più efficaci che proponiamo riducono il tempo medio di rilevamento.
Non con paranoia, con metodo. Se la procedura standard è "due firme", chi chiede di saltare le due firme va trattato come sospetto, anche se è il direttore generale. Soprattutto se è il direttore generale.
Modello di maturità su sei livelli (0–5), applicato in modo identico ai tre cerchi (social engineering, insider, fisico). Si calcola facendo la media dei tre punteggi.
Il rischio non è mappato. Nessuna procedura scritta. L'azienda si affida implicitamente alla buona fede. Probabilità di incidente non rilevato: alta. Probabilità che l'incidente arrivi prima del rilevamento: certa.
Esiste consapevolezza ma non azione strutturata. Ci si muove quando succede qualcosa. Controlli ad-hoc, non documentati, non testati. Tipico delle PMI italiane sotto i 50 dipendenti.
Procedure scritte esistono. Vengono lette all'onboarding. Non si verifica che vengano seguite. Compliance carta vs realtà operativa: divaricazione.
Le procedure vengono applicate nella maggior parte dei casi, verificate da almeno un controllo periodico. Esistono metriche di base (tasso di click phishing, tempo di revoca account uscenti, ecc.).
Le procedure sono misurate, le metriche revisionate trimestralmente, le anomalie investigate, le esercitazioni eseguite annualmente. Il sistema impara dai propri incidenti.
Il sistema si modifica in funzione del threat landscape emergente, ha capacità di red-team interno o esterno regolare, integra detection in tempo quasi reale, e ha procedure di risposta testate annualmente con esercizi tabletop completi.
Non un trattato. Le sei norme che, se non rispettate, rendono inutilizzabili i controlli o trasformano la difesa in un problema legale.
Trattamento dati personali, obbligo di DPIA per controlli che impattano lavoratori o utenti, notifica al Garante entro 72 ore in caso di data breach. Si applica trasversalmente a tutti i controlli proposti in questa guida.
Controllo a distanza dei lavoratori vietato in via generale. Strumenti che possono incidentalmente sorvegliare (DLP, UEBA, log dettagliato, telecamere) richiedono accordo sindacale o autorizzazione INL e informativa preventiva. Senza, le evidenze raccolte non sono utilizzabili e l'azienda è esposta.
Responsabilità amministrativa degli enti per reati commessi nel loro interesse. Include reati informatici (art. 24-bis), delitti contro l'industria e il commercio, frodi. Avere un modello organizzativo serio, con OdV funzionante, è la principale difesa giuridica disponibile.
Obbligo di canale di segnalazione interno per aziende ≥50 dipendenti e in determinati settori indipendentemente dalla dimensione. Sanzioni ANAC per mancata istituzione o per ritorsioni accertate. Strumento operativo, non solo compliance.
Si applica a soggetti essenziali e importanti in 18 settori (energia, trasporti, sanità, manifatturiero critico, infrastrutture digitali, gestione rifiuti, alimentare con soglie). Misure minime obbligatorie: risk management, incident handling, supply chain security, training. Sanzioni significative. Verificare se si rientra in ambito è la prima cosa da fare.
Linee guida AgID/ACN su sicurezza, identità digitale (SPID/CIE), conservazione documentale. Per aziende che lavorano con PA o sono fornitori critici, è parte del contratto.
Avviso. Questa pagina è una sintesi operativa, non parere legale. Per implementazioni concrete consultare il proprio DPO, il proprio consulente del lavoro e, dove serve, un avvocato esperto di lavoro e protezione dati. Vidente collabora regolarmente con studi di entrambe le specializzazioni e può intermediare.
Il D.lgs 138/2024 ha recepito la direttiva NIS2 in Italia. Si applica direttamente a "soggetti essenziali" e "soggetti importanti" in 18 settori. Ma la conseguenza meno discussa è che l'obbligo di supply chain security ricade a cascata sui loro fornitori: anche le PMI che non sono in ambito devono dimostrare misure di sicurezza minime per restare in piedi nei contratti.
Soglie principali: medie imprese (≥50 dipendenti o ≥€10M fatturato) operanti nei 18 settori NIS2; alcune categorie a prescindere dalle soglie (provider DNS, registry TLD, marketplace, motori di ricerca, cloud, datacenter).
Il punto è qui: anche se la vostra azienda non rientra nei 18 settori, se siete fornitori critici di un soggetto NIS2 (manutenzione IT, servizi sviluppo software, logistica, consulenza tecnica), il cliente vi chiederà, per contratto, di dimostrare misure tecniche e organizzative equivalenti. In pratica: questionari di security assessment, audit periodici, clausole contrattuali con SLA di sicurezza, prova di formazione del personale, esistenza di processi di incident response.
Il D.lgs 231/2001 ha introdotto la responsabilità amministrativa degli enti per reati commessi nel loro interesse o a loro vantaggio. Non è obbligatorio adottarlo, ma per molti settori è di fatto un prerequisito di gara e una difesa giuridica fondamentale in caso di indagini.
Adottare il modello non basta — deve essere effettivamente attuato. La giurisprudenza italiana è severa: modelli "carta" senza implementazione, senza OdV operativo, senza aggiornamenti, vengono dichiarati inefficaci.
I controlli che proponiamo nei capitoli precedenti — segregation of duties, doppia firma, logging immutabile, procedura di offboarding, canale 24/2023, code-word program — sono esattamente i protocolli che un modello 231 ben fatto richiede per i reati 24-bis e 24. Implementarli vi mette al riparo non solo dal rischio operativo, ma anche da quello giuridico-amministrativo dell'ente.
Avviso. L'adozione del modello 231 richiede consulenza legale specifica: studio penalista esperto, integrazione con il sistema HR, definizione dell'OdV. Vidente non redige modelli 231 — collabora regolarmente con studi che lo fanno, fornendo la componente tecnica (analisi rischi cyber, protocolli operativi).
Il mercato cyber-insurance italiano è cresciuto rapidamente. La buona notizia: oggi è accessibile alle PMI. La meno buona: i sinistri pagati negli ultimi tre anni hanno alzato i requisiti di sottoscrizione, e i questionari assicurativi sono diventati audit veri e propri.
Un questionario assicurativo cyber del 2026, per una PMI italiana, contiene tipicamente 30–80 domande tecniche e organizzative. Le risposte negative su questi punti chiave portano a sovrapremi o rifiuto:
Vidente collabora con broker e periti cyber per: (a) preparare l'azienda al questionario assicurativo (audit di pre-quotazione), (b) supportare in caso di sinistro nella relazione tecnica con la compagnia. Il pacchetto base di questa guida + template porta una PMI da una situazione di rifiuto/sovrapremio a una di accettazione standard nella maggioranza dei casi.
Una PMI di 20–80 dipendenti, partendo da maturità 1–2 (lo scenario tipico), può raggiungere maturità 3 in dodici mesi senza investimenti straordinari. Ecco la sequenza che applichiamo nei clienti.
Stime conservative su tre fasce dimensionali di PMI italiana, anno 1, per portare la maturità da 1–2 a 3. I numeri sono ordini di grandezza, da prendere come pavimento di trattativa con fornitori.
| Voce | Costo annuale stimato |
|---|---|
| Audit di postura iniziale (esterno) | €1.500–3.000 una tantum |
| Chiavi FIDO2 per ruoli privilegiati (5–8 chiavi) | €250–500 una tantum |
| Migrazione DMARC / hardening email (consulenza) | €800–1.500 una tantum |
| Canale whistleblowing (piattaforma SaaS conforme) | €500–1.200/anno |
| EDR endpoint (€3–8/utente/mese) | €600–1.800/anno |
| Cyber insurance (premio annuo base) | €1.500–4.000/anno |
| Formazione + simulazioni (1–2 cicli) | €800–2.000/anno |
| Totale anno 1 | €6.000–14.000 |
| Voce | Costo annuale stimato |
|---|---|
| Audit di postura (esterno) | €3.000–5.000 una tantum |
| Implementazione 802.1X sulla rete (progetto IT) | €2.000–5.000 una tantum |
| Chiavi FIDO2 esteso (15–25) | €800–1.500 una tantum |
| EDR + MDR base | €2.000–5.500/anno |
| Canale whistleblowing + DPO esterno | €2.500–5.000/anno |
| Cyber insurance | €3.000–8.000/anno |
| Formazione + 3 campagne simulazione | €2.500–5.000/anno |
| Physical assessment + remediation | €2.500–6.000 una tantum |
| Totale anno 1 | €18.000–40.000 |
| Voce | Costo annuale stimato |
|---|---|
| Audit completo + roadmap multi-anno | €5.000–10.000 una tantum |
| Hardening identità, rete, endpoint, cloud (progetti) | €10.000–25.000 una tantum |
| MDR/SOC esterno o equivalente | €8.000–20.000/anno |
| Awareness platform + simulazioni continuative | €4.000–10.000/anno |
| Compliance package (whistleblowing + DPO + 231 update) | €5.000–12.000/anno |
| Cyber insurance (limite più alto) | €5.000–15.000/anno |
| Totale anno 1 | €40.000–95.000 |
Variabili che fanno oscillare i numeri: settore (sanità, finanza, manifatturiero critico → +30/50%), distribuzione delle sedi, complessità dei sistemi legacy, livello di partenza. Aziende già in maturità 2 stabile: scontare ~25%.
Dall'esperienza sui clienti, gli errori non sono tecnici. Sono scelte di scope, priorità, governance. Ecco quelli che vediamo ripetere quasi a calco.
Un tabletop è un'esercitazione di gruppo, durata 60–120 minuti, in cui si simula un incidente e si discute, ruolo per ruolo, cosa si farebbe. Non si tocca un sistema. Si scopre dove le procedure crollano prima che crollino davvero.
I piani di incident response scritti sembrano sempre completi sulla carta. Quando li percorri ad alta voce con sei persone in stanza, emergono in 30 minuti tre tipi di problemi: (a) ruoli sovrapposti o vuoti, (b) decisioni che richiedono autorità che non sono in stanza, (c) informazioni che nessuno sa dove recuperare. Sono esattamente le crepe che vengono fuori in un incidente reale, ma scoperte a costo zero.
Due tabletop l'anno: uno cyber (BEC, ransomware, esfiltrazione dati), uno operativo (frode interna, intrusione fisica). Cambiare scenario ogni volta. Coinvolgere persone diverse a rotazione.
Le due pagine seguenti contengono due scenari pronti all'uso, con script, iniettori, e griglia di scoring. Possono essere eseguiti internamente o facilitati da Vidente.
Da leggere ad alta voce al gruppo. Sono le 17:20 di un venerdì pomeriggio. Il CFO riceve una mail apparentemente dall'amministratore delegato, attualmente in viaggio in Germania per una fiera. La mail dice: "Ho concluso un accordo riservato con il fornitore tedesco di cui ti accennavo. Devono ricevere oggi un acconto di €82.400 sul nuovo IBAN che ti allego per non perdere l'opportunità. Confidenziale fino a lunedì. Procedi prima delle 18, dopo il bonifico la banca non accetta. Mi raccomando, non telefonarmi, sono in riunione fino alle 19, ti scrivo io quando esco."
L'indirizzo del mittente sembra corretto a prima vista. Lo stile della firma è quello dell'AD. Il fornitore citato è plausibile (in effetti l'AD ne aveva parlato in una riunione). L'IBAN è italiano, banca toscana.
Da leggere ad alta voce al gruppo. Un commerciale senior, in azienda da otto anni, in carico al portafoglio clienti top, ha comunicato verbalmente al direttore commerciale, mercoledì mattina, l'intenzione di dimettersi. Lascia tra 30 giorni di preavviso. Va a lavorare per un concorrente diretto. Atteggiamento sereno, niente rancore apparente. Tra cinque giorni c'è la presentazione delle offerte commerciali Q1, e questa persona deve essere presente per i suoi tre top client.
HR scopre, nel controllo log routinario fatto su tutti i dipendenti dimissionari (procedura esistente), che il commerciale negli ultimi 14 giorni ha scaricato dal CRM 1.847 schede cliente, ha esportato lo storico ordini degli ultimi 3 anni, ha forwardato a una mail personale Gmail una rubrica completa fornitori. Inoltre, sulla cartella condivisa OneDrive di un collega ha lasciato (sembra inavvertitamente) un file Excel con listini riservati 2026.
Vettori prevalenti: frode pagamenti (POS compromessi, skimming, BEC con falsi fornitori per merce), furto dipendenti (cassa, magazzino, resi fittizi), intrusione fisica (chiusure serali, depositi). Priorità di intervento: SoD su ciclo passivo e gestione casse, doppia firma su rimborsi sopra soglia, video sorveglianza correlata a log POS, controllo gestione resi. Frequenza incidenti insider: alta. Importo medio per evento: medio-basso ma ricorrente.
Vettori prevalenti: account takeover clienti (credential stuffing), compromissione plugin/CMS, frode bancaria via API gateway, data breach di anagrafiche e carte. Priorità: hardening del CMS e plugin (CSP, WAF), MFA su tutti gli account admin, segregazione tra ambiente di produzione e staging, monitoraggio fraud su pagamenti, conformità PCI-DSS se si maneggiano carte. GDPR critico per il consumer-facing: un breach con 50k record esposti è procedimento Garante quasi certo.
Vettori prevalenti: BEC e modifica IBAN fornitori (l'industria ha pipeline di pagamenti grandi e ripetitivi → bersaglio ideale), ransomware con interruzione produzione, compromissione fornitori in filiera, furto IP tecnologico, OT/SCADA esposto. Priorità: separazione rete OT da IT, doppia firma sopra soglia con verifica IBAN out-of-band, backup offline testati, monitoraggio cambi anagrafica fornitori. Se si è in filiera NIS2: questionari di clienti più stringenti, prepararsi.
Vettori prevalenti: compromissione PEC (vettore numero uno in Italia), BEC sui clienti (l'attaccante intercetta lo scambio e dirotta il bonifico finale), dato del cliente esfiltrato, insider (dipendente che porta via dossier passando a un altro studio). Priorità: hardening PEC (password manager, MFA dove supportato, verifica out-of-band sui cambi IBAN), segregazione studio-cliente sui sistemi, contratti con clausole di riservatezza rigorose, modello 231 se la dimensione lo richiede. Responsabilità deontologica in caso di breach del segreto professionale: pesante.
Vettori prevalenti: ransomware (settore tra i più colpiti in Europa), data breach di dati sanitari (massimo valore in dark web), insider (curiosità su pazienti VIP, leak verso terzi). Priorità: backup offline davvero testati, MFA su EHR, controllo accessi a dossier (chi-cosa-quando), informativa rinforzata art. 4 Statuto per controllo personale clinico. Dati sanitari = categoria particolare GDPR: sanzioni Garante e impatto reputazionale altissimi. Se si rientra in NIS2 sanità (soglie): orologio ACN 24h.
Vettori prevalenti: furto IP cliente (codice, dati, metodologie), compromissione VPN/jump host verso clienti, insider con accesso ai sistemi di terzi, supply chain attack (il vostro software bucato compromette i vostri clienti). Priorità: zero trust su accessi a sistemi cliente, gestione segreti (Vault o equivalente), code review e supply chain integrity, contratti che limitano la responsabilità in caso di compromissione del fornitore.
Trasversale a tutti. Quasi nessuna PMI italiana ha mappato bene quale dei tre profili insider (negligente, compromesso, uscente con valigia) la colpisce con maggior frequenza. Una settimana di analisi degli incidenti degli ultimi 24 mesi, fatta seriamente, vale più di un audit ISO.
Documenti DOCX e fogli XLSX pronti all'uso, da personalizzare con i dati della vostra azienda. Sostituiscono settimane di lavoro per uno studio legale o un consulente, e sono coerenti tra loro.
Policy SoD per il ciclo passivo e l'amministrazione. Matrice incompatibilità ruoli, soglie autorizzazione, procedure di deroga tracciate, audit semestrale. Adattabile per fasce 10–25, 26–60, 61–150 dipendenti.
Procedura interna conforme al D.lgs 24/2023: ambito soggettivo, canali di segnalazione, ricezione e triage, riservatezza, indagine, tutele anti-ritorsione, registro segnalazioni, formazione. Pronta da approvare in CdA.
Regolamento integrato per dispositivi USB e gestione visitatori. Coerente con art. 4 Statuto, comprende informativa lavoratori, casi consentiti/vietati, procedura accesso visitatori, badge temporaneo, accompagnamento.
Procedura di verifica out-of-band tramite parola d'ordine per autorizzazioni straordinarie. Custodia, rotazione trimestrale, casi d'uso, modulo di rendicontazione utilizzo.
Foglio Excel di scoring sicurezza fornitori. 22 parametri pesati, calcolo automatico tier rischio (A/B/C/D), suggerimenti di mitigazione contrattuale per tier. Da usare in onboarding nuovi fornitori e revisione annuale dei fornitori critici.
Self-assessment guidato sui tre cerchi (social engineering, insider, fisico). 40 domande, calcolo automatico maturità 0–5 per cerchio + complessiva, generazione automatica delle priorità d'azione a 90/180/365 giorni. Da rieseguire ogni 6 mesi.
802.1X — autenticazione di rete a livello di porta: senza credenziale, la presa Ethernet non porta in LAN.
BEC — Business Email Compromise. Frode tramite mail aziendale compromessa o spoofata.
CEO Fraud — variante BEC in cui l'attaccante impersona un dirigente per ottenere bonifico urgente.
DLP — Data Loss Prevention. Strumenti che bloccano l'esfiltrazione di dati su canali non consentiti.
DMARC — politica antispoofing email. p=reject è il livello produttivo, p=none è solo monitoring.
DPIA — Data Protection Impact Assessment. Valutazione d'impatto privacy richiesta dal GDPR.
EDR — Endpoint Detection & Response. Antivirus moderno con telemetria e capacità di indagine.
FIDO2 / Passkey — autenticazione phishing-resistant basata su chiave hardware o credenziale legata al dispositivo.
Honeypot — risorsa esca pensata per essere toccata solo da chi non dovrebbe; chi la tocca si rivela.
Insider threat — minaccia che proviene da soggetti interni (dipendenti, fornitori, ex-dipendenti).
MFA — Multi-Factor Authentication. Più fattori (qualcosa che sai, hai, sei).
MFA fatigue — flood di richieste push per indurre approvazione di sfinimento o per errore.
OdV — Organismo di Vigilanza. Soggetto previsto dal 231/2001 con compito di sorveglianza sul modello organizzativo.
OSINT — Open Source Intelligence. Raccolta informativa da fonti pubbliche.
Phishing — pesca di credenziali via mail/web. Spear phishing: variante mirata. Whaling: contro dirigenti.
Pretexting — costruzione di una copertura credibile per la fase iniziale dell'attacco.
Quishing — phishing tramite QR code. Bypassa molti filtri URL classici.
SIEM — Security Information and Event Management. Sistema di aggregazione e correlazione log.
SoD — Segregation of Duties. Separazione di mansioni per impedire frodi a uomo singolo.
Tailgating — entrare dietro a un dipendente autorizzato sfruttando cortesia o disattenzione.
UEBA — User and Entity Behavior Analytics. Rilevamento di anomalie comportamentali.
Vishing — phishing per voce, via telefonata.
Whistleblowing — canale di segnalazione protetto per dipendenti, regolato in Italia dal D.lgs 24/2023.
Zero Trust — paradigma che assume che nessun perimetro sia sicuro: ogni richiesta è autenticata e autorizzata, sempre.
Una/due giornate sul campo, intervista a 4–6 figure chiave, mappatura controlli sui tre cerchi, calcolo punteggio maturità 0–5, report di 15–25 pagine con priorità d'azione a 30/60/90 giorni. Adatto a chi vuole una fotografia indipendente e una roadmap.
Campagna autorizzata su misura: combinazioni di phishing mirato, vishing all'help desk, simulazione CEO fraud con bonifico-trappola. Misurazione di click rate, tasso di compromissione, tempo di segnalazione, tempo di reazione IT. Inclusi rules of engagement, copertura legale, debrief con HR e formazione mirata ai reparti coinvolti. Mai punitivo.
Sopralluogo autorizzato a sede/i, valutazione strutturale (perimetro, accessi, server room, gestione visitatori), prove controllate di tailgating, badge inspection, USB drop, ispezione punti di rete. Report con priorità di intervento e stime di costo dei rimedi. Su esplicita richiesta, esercizio "red team fisico" con get-out-of-jail card scritta.
Gestione tecnica del canale di segnalazione interno, monitoraggio continuo dei controlli implementati, due tabletop exercise annui (uno cyber, uno fisico), revisione trimestrale dei controlli, supporto in caso di incidente sospetto. Per chi vuole continuità.
Non eseguiamo investigazioni private su singoli dipendenti sospetti: serve licenza prefettizia ai sensi dell'art. 134 TULPS, che Vidente non possiede. Per queste situazioni, lavoriamo come consulenti tecnici di agenzie investigative regolarmente autorizzate. Non eseguiamo indagini difensive per studi legali: stesso motivo. Su richiesta forniamo nominativi di partner con cui collaboriamo abitualmente.
Una discovery call gratuita per capire se ha senso lavorare insieme. Vi facciamo qualche domanda, dite cosa vi tiene svegli la notte, decidiamo dopo se intanto vi serviamo, e di che cosa.
Prato · Italia · disponibili da maggio 2026
ATECO 62.20.10 · regole d'ingaggio formali per ogni assessment
Vidente · Guida operativa Vol. 02 · Maggio 2026 · Distribuzione gratuita
Documento ad uso interno cliente, non distribuibile esternamente senza consenso