𝗣𝗵𝗶𝘀𝗵𝗶𝗻𝗴 𝗲𝘃𝗼𝗹𝘂𝘁𝗼

L’altra sera guardavo Stranger Things. A un certo punto ti rimane addosso quella frase non detta: 𝗾𝘂𝗲𝘀𝘁𝗼 𝗽𝗼𝘀𝘁𝗼 𝗻𝗼𝗻 è 𝗰𝗼𝗺𝗲 𝘀𝗲𝗺𝗯𝗿𝗮. Ed è lì che ho pensato al phishing.
Perché più lo raccontiamo come boss finale leggendario, più assomiglia a una campagna di D&D giocata male: il party entra sempre dallo stesso corridoio, ignora gli stessi segnali, corre quando dovrebbe fermarsi. E chi prova a dire 𝗳𝗼𝗿𝘀𝗲 𝗻𝗼 viene trattato come quello che rovina il ritmo.
Nel 2025 parliamo di AI e 𝗽𝗵𝗶𝘀𝗵𝗶𝗻𝗴 𝘀𝗼𝗳𝗶𝘀𝘁𝗶𝗰𝗮𝘁𝗼.
La verità è meno epica: il phishing non è salito di livello. Ha solo capito che abbiamo massimizzato la velocità operativa e lasciato la 𝗦𝗮𝗴𝗴𝗲𝘇𝘇𝗮 a zero.
Non serve un 𝗗𝗲𝗺𝗼𝗴𝗼𝗿𝗴𝗼𝗻𝗲 quando l’ambiente è già progettato per farti scegliere male. Nel Sottosopra non inventano: copiano. Prendono il tuo quotidiano e lo rendono appena più ostile. Quanto basta per spingerti su 𝗮𝗱𝗲𝘀𝘀𝗼. 𝘀𝘂𝗯𝗶𝘁𝗼. Il social engineering non è un attacco. È una 𝗯𝘂𝗶𝗹𝗱 𝗼𝘁𝘁𝗶𝗺𝗶𝘇𝘇𝗮𝘁𝗮. Urgenza. Autorità. Abitudine. Senso del dovere. Il master non sta barando: sta leggendo la scheda del personaggio che gli abbiamo consegnato noi, e quando la trappola scatta, non è sfortuna: è 𝗽𝗿𝗼𝗯𝗮𝗯𝗶𝗹𝗶𝘁à.
SMS: la corsia preferenziale dell’ansia. Arriva, vibra, sembra urgente. E tu corri.
Email: l’illusione più vecchia del manuale; il 𝗙𝗿𝗼𝗺 è una stringa, ma la trattiamo come un sigillo. (E sì: 𝗳𝗿𝗶𝗲𝗻𝗱𝘀 𝗱𝗼𝗻’𝘁 𝗹𝗶𝗲, ma le intestazioni email sì.)
Push: la sicurezza diventa irritazione finché qualcuno approva per sfinimento.
QR code: portali di teletrasporto messi ovunque; inquadri e vieni spedito altrove senza sapere dove.
E qui arriva il pezzo 𝗱𝗮𝗿𝗸 che fa meno scena ma più danni: il phishing ormai è a catalogo, non è più leggenda: è listino prezzi
Nel 2024 un’operazione internazionale ha colpito LabHost, piattaforma di phishing-as-a-service. Nel 2025 Microsoft ha descritto e poi interrotto RaccoonO365, venduto anche tramite canali privati.
Traduzione: non affronti 𝗶𝗹 𝗴𝗲𝗻𝗶𝗼. Affronti 𝘂𝗻 𝗺𝗲𝗿𝗰𝗮𝘁𝗼.
Quindi sì, 𝗶𝗹 𝗽𝗵𝗶𝘀𝗵𝗶𝗻𝗴 è 𝗲𝘃𝗼𝗹𝘂𝘁𝗼, ma spesso è solo commoditizzato. Non è il mostro che è diventato più forte: è il dungeon che abbiamo reso più favorevole a chi corre. E quando le operazioni criminali diventano servizi replicabili, l’incidente smette di essere eccezione e diventa probabilità: il dado cade sempre dallo stesso lato, perché è truccato dal contesto.
Sulla scheda del personaggio c’è scritto 𝗭𝗲𝗿𝗼 𝗧𝗿𝘂𝘀𝘁. Talento mitologico. Peccato che lo attiviamo contro i draghi (server, infrastrutture) e poi ci fidiamo ciecamente di SMS, email, push e QR
Zero Trust contro i boss
Fiducia totale contro una notifica
Nel Sottosopra la risposta è sempre la stessa: 𝗲𝗿𝗮 𝗴𝗶à 𝗹ì. Solo che abbiamo finto di non vederla.