Contro le truffe online, più burocrazia o più attenzione? La difesa è nelle procedure

Un dirigente in viaggio, irraggiungibile per alcune ore. Una mail che arriva dal suo indirizzo, o da uno quasi identico, recita così: «Operazione riservata: bonifico da eseguire subito. Non parlarne con nessuno prima che sia partito». Chi riceve quella mail non ha il tempo di pensare e, infatti, non deve pensarci: deve solo obbedire, in fretta, prima che l’occasione sfumi.

È lo schema che il settore chiama whaling o CEO fraud ed è tra le varianti più redditizie del Business Email Compromise. Ma non voglio ammorbarvi con le BEC.

Non siamo di fronte a un problema di scarsa attenzione, ma di architettura mentale. Kahneman separa il Sistema 1, rapido e istintivo, dal Sistema 2, lento e analitico. Il secondo è quello che chiederebbe: «perché proprio ora, perché in segreto, perché su un nuovo canale?»

L’urgenza è progettata apposta per impedirne l’intervento e farlo stare zitto.

L’urgenza come leva di inganno

L’urgenza, in altre parole, è un grilletto cognitivo. Attiva il Sistema 1 e mette in pausa il Sistema 2, esattamente come un allarme che ti fa correre prima ancora che tu abbia capito cosa sta succedendo.

Chi scrive una mail di CEO fraud non sta cercando di ingannare l’intelligenza della vittima, ma di aggirarla, affidandole un compito da eseguire prima che l’intelligenza abbia il tempo di intervenire. Ed è per questo che dire o scrivere “state più attenti” non funziona: l’attenzione è proprio la funzione che l’attacco disattiva. Nemmeno i videocorsi possono farci nulla.

I numeri, quando sono verificabili, raccontano la scala del fenomeno più di qualunque aneddoto. L’FBI, attraverso il suo Internet Crime Complaint Center, ha pubblicato nel settembre 2024 un avviso pubblico intitolato “Business Email Compromise: The $55 Billion Scam” (IC3, PSA I-091124), che stima in oltre 55 miliardi di dollari le perdite esposte a livello globale riconducibili al BEC tra il 2013 e il 2023, sommando dati dell’IC3 e segnalazioni internazionali.

Nel solo 2023, secondo il 2023 Internet Crime Report dello stesso IC3, le perdite denunciate per la compromissione della posta elettronica aziendale negli Stati Uniti si sono avvicinate a 2,9 miliardi di dollari. Non sono cifre che riguardano solo le multinazionali, ma anche qualunque organizzazione con un conto corrente bancario e una casella di posta.

La difesa che funziona non è cognitiva, ma è procedurale. Cioè, sto dicendo che la burocrazia è bella? Vediamo.

Se una richiesta arriva con urgenza e richiede denaro, credenziali o dati sensibili, non si esegue sul canale da cui è arrivata: si verifica su un canale indipendente, concordato in anticipo, diverso da quello usato per la richiesta stessa. Una telefonata al numero già in rubrica, non a quello indicato nella mail. Un messaggio su un’app aziendale, non una risposta alla stessa email. Se il presunto richiedente non conferma tramite quel canale, l’azione si interrompe. Punto. Non è una gentilezza verso il collega impaziente, ma è la procedura, cioè una regola burocratica.

In questo senso, la burocrazia è bella ed è anche utile.

Un caso per capire la dinamica

Un episodio mostra come agisce. L’addetto amministrativo riceve la mail del dirigente in viaggio: bonifico urgente, riservato, da eseguire subito.

La regola procedurale non gli chiede di stabilire se la mail sia autentica. Gli chiede una sola cosa: qualsiasi richiesta di pagamento urgente si conferma su un secondo canale concordato in precedenza, non su quello da cui è arrivata. L’addetto chiama il dirigente al numero già in rubrica. Se il dirigente non risponde, l’operazione resta sospesa finché non arriva la conferma; il denaro non viene inviato.

Tuttavia, consideriamo che in questo schema l’addetto non ha dovuto riconoscere l’inganno, non ha dovuto vincere la pressione e non ha dovuto avere ragione: ha soltanto applicato un passaggio previsto. È la differenza tra chiedere alle persone di essere infallibili e chiedere loro di seguire una procedura che regge anche quando non lo sono.

Il punto di svolta rispetto alla vulgata comune è che questa procedura non deve valere solo per i pagamenti approvati dal CFO o per le richieste indirizzate ai vertici. Ogni ruolo che gestisca denaro, dati o accessi è un bersaglio possibile: l’amministrativo che gestisce le fatture, l’HR che gestisce le buste paga, il tecnico che ha le credenziali di un fornitore cloud. Limitare la verifica out-of-band ai soli dirigenti significa proteggere il piano più visibile dell’organizzazione e lasciare aperti tutti gli altri piani.

Automatizzare la pausa significa anche togliere alla vittima potenziale il peso della decisione nel momento sbagliato.

Nessuno deve “capire in tempo reale” che è una truffa, ma deve solo sapere che, di fronte a un’urgenza legata a denaro o dati, la mossa è sempre la stessa, indipendentemente da quanto sia convincente la mail o quanto sia alta la pressione percepita. È una regola meccanica applicata a un attacco meccanico e, per questo, funziona anche quando il Sistema 1 ha già preso il controllo.

Le implicazioni per il CISO

Per un CISO questo sposta il lavoro dalla sensibilizzazione al disegno del processo. Una procedura di verifica indipendente produce effetto solo se ha tre proprietà: il secondo canale è definito in anticipo, non improvvisato in caso di urgenza; l’obbligo di verifica vale per una classe di richieste, quelle che riguardano denaro, dati o accessi, e non per il rango di chi le invia; e la sospensione dell’azione in attesa di conferma non è considerata ostruzionismo, ma il comportamento previsto.

La proprietà più difficile è la terza, perché tocca la cultura, non la tecnica: finché fermarsi viene letto come una mancanza di fiducia nei confronti di un collega o di un superiore, la procedura verrà aggirata proprio quando serve.

Quindi, il compito del CISO non è attirare maggiormente l’attenzione delle persone, ma rendere la verifica la via di minor resistenza, anziché quella che costa di più.

Una proposta metodologica

Il Cybercognitivismo, come proposta metodologica, parte proprio da qui: non da come le persone dovrebbero reagire, ma da come reagiscono quando l’urgenza disattiva la verifica. La risposta alla domanda del titolo, allora, non è né più burocrazia né più attenzione. È una procedura eseguita al momento giusto, perché la scelta più sicura non può dipendere da quanto lucida è la persona proprio nell’istante in cui l’attacco è progettato per renderla meno lucida.

Progettare queste procedure di verifica indipendente, insieme alle politiche di personnel security che le rendono davvero operative e non solo scritte su un documento, è uno dei nuclei del Manuale CISO Security Manager (per la preparazione all’esame CISSP e la pratica quotidiana), che affronta la sicurezza dell’organizzazione a partire da come le persone reagiscono sotto pressione, non da come dovrebbero reagire in teoria.

La risposta che ti avevo promesso? Niente burocrazia né maggiore attenzione, ma una telefonata al numero giusto. La difesa più solida contro una frode da un milione di euro costa uno squillo.