Attacchi di phishing: framework teorico e modelli psicologici e criminologici per la vulnerabilità al phishing

Questo articolo si inserisce in una serie di approfondimenti dedicati all’analisi di una survey di cybersecurity awareness condotta su 65 dipendenti di un’azienda IT, tutti caduti in una simulazione di attacchi di phishing aziendale nel 2025. Nel precedente articolo è stato presentato il profilo demografico del campione e le sue abitudini di sicurezza digitale: un gruppo mediamente istruito, con un’elevata esposizione formativa pregressa (86%), ma comunque interamente vulnerabile alla simulazione. Sono state inoltre evidenziate differenze di genere ed età nella percezione del rischio e nei comportamenti dichiarati, insieme a criticità ricorrenti nella gestione delle password e nell’adozione sistematica di pratiche prudenti.

A partire da questi dati, il presente articolo propone un framework teorico multidisciplinare integrando psicologia cognitiva, sociale e criminologia per interpretare le dinamiche che portano individui formati e consapevoli a cadere vittime del phishing. Vengono esaminati il ruolo delle emozioni e dei principi di persuasione nel social engineering, il Modello di Elaborazione Euristico-Sistematico, la Teoria dell’Apprendimento Basato su Istanza, la Teoria delle Attività di Routine e la Teoria della Dissonanza Cognitiva, con particolare attenzione all’impatto emotivo dell’errore (vergogna, ansia, rabbia auto-diretta) e alle sue implicazioni per la gestione organizzativa.

Attacchi di phishing: il ruolo delle emozioni e del social engineering

La comprensione della vulnerabilità al phishing richiede un approccio multidisciplinare che integri contributi della psicologia cognitiva, della psicologia sociale e della criminologia. I modelli teorici presentati in questa sezione forniscono le lenti interpretative attraverso cui leggere i risultati empirici dello studio, offrendo al contempo indicazioni per la progettazione di interventi preventivi più efficaci.

Gli attacchi di phishing sono, nella loro essenza, attacchi di social engineering: non mirano a sfruttare vulnerabilità tecniche, ma debolezze umane. Al centro di queste debolezze si collocano le emozioni, che gli attaccanti manipolano sistematicamente per indurre comportamenti desiderati.

Emozioni come urgenza, paura, curiosità e senso di responsabilità giocano un ruolo determinante nella risposta agli attacchi. Cialdini (2009), nel suo lavoro seminale sui principi della persuasione, ha identificato sei leve fondamentali sfruttate nelle tecniche di manipolazione: reciprocità, impegno e coerenza, riprova sociale, simpatia, autorità e scarsità. Gli attacchi di phishing fanno leva su almeno tre di questi principi: l’autorità (email che sembrano provenire da superiori o istituzioni), la scarsità (messaggi che creano urgenza temporale) e la riprova sociale (riferimenti a comportamenti di colleghi o conoscenti).

Sebbene le reazioni individuali dipendano da fattori contestuali e personali, è possibile ricondurle a pattern analizzabili attraverso le principali teorie comportamentali. I modelli che seguono offrono framework complementari per comprendere perché anche individui formati e consapevoli possano cadere vittime di attacchi ben congegnati.

Pensiero rapido vs. analitico: il modello euristico-sistematico

Il Modello di Elaborazione Euristico-Sistematico (HSM – Heuristic-Systematic Model), sviluppato da Shelly Chaiken (1980) e successivamente approfondito da Chen e Chaiken (1999), distingue due modalità fondamentali di elaborazione delle informazioni.

L’elaborazione sistematica è caratterizzata da un’analisi attenta, approfondita e analitica delle informazioni disponibili. Richiede motivazione, capacità cognitiva e tempo sufficiente. Quando elaboriamo sistematicamente, valutiamo criticamente gli argomenti, verifichiamo le fonti e consideriamo le implicazioni delle nostre azioni.

L’elaborazione euristica, al contrario, si basa su scorciatoie mentali – regole semplici e automatiche che permettono di prendere decisioni rapide con minimo sforzo cognitivo. Esempi di euristiche rilevanti per il phishing includono: “se il mittente sembra autorevole, il messaggio è affidabile”, “se il messaggio è urgente, devo agire subito”, “se altri colleghi hanno risposto, posso farlo anch’io”.

In condizioni di stress, urgenza, sovraccarico cognitivo o stanchezza, gli individui tendono a privilegiare l’elaborazione euristica, aumentando significativamente la probabilità di errore. Questo spiega perché attacchi di phishing che creano un senso di urgenza (“il tuo account sarà sospeso entro 24 ore”) o che arrivano in momenti di picco lavorativo risultino particolarmente efficaci.

Personalità e modalità di elaborazione. Diversi tratti di personalità secondo il modello Big Five influenzano la propensione verso l’una o l’altra modalità di elaborazione (Frauenstein & Flowerday, 2020). L’amicalità e il nevroticismo risultano associati a una maggiore propensione all’elaborazione euristica: gli individui amicali tendono a fidarsi dei messaggi senza verificarli approfonditamente, mentre i nevrotici, sotto la pressione dell’ansia, ricorrono a decisioni rapide per ridurre il disagio. L’apertura all’esperienza può portare a interagire con messaggi insoliti per curiosità, senza adeguata verifica. Al contrario, la coscienziosità favorisce un approccio più sistematico, caratterizzato da attenzione ai dettagli e rispetto delle procedure.

Implicazioni per la formazione. Il modello HSM suggerisce che la formazione anti-phishing non dovrebbe limitarsi a trasmettere conoscenze (che richiedono elaborazione sistematica per essere applicate), ma dovrebbe anche mirare a: (1) creare euristiche protettive automatiche (“quando vedo urgenza, mi fermo e verifico”); (2) ridurre i fattori contestuali che favoriscono l’elaborazione euristica (pressione temporale, multitasking); (3) aumentare la motivazione alla verifica attraverso la consapevolezza delle conseguenze.

Apprendimento esperienziale e cybersecurity: la teoria IBLT

La Teoria dell’Apprendimento Basato su Istanza (IBLT – Instance-Based Learning Theory), sviluppata da Gonzalez, Lerch e Lebiere (2003), offre una prospettiva complementare sulla presa di decisione in condizioni di incertezza.

Secondo questa teoria, le decisioni non sono guidate primariamente da regole astratte apprese, ma dal richiamo di esperienze passate specifiche – denominate “istanze” – memorizzate nella memoria episodica. Ogni istanza integra tre elementi: il contesto della situazione, l’azione intrapresa e l’esito ottenuto. Di fronte a una nuova situazione, l’individuo richiama istanze simili dalla memoria e basa la propria decisione sugli esiti associati a quelle esperienze.

Implicazioni per la vulnerabilità al phishing. In assenza di esperienze negative memorizzate legate al phishing, il rischio tende a essere sistematicamente sottovalutato. Un dipendente che non ha mai subito conseguenze negative dopo aver cliccato su un link sospetto (o che non ricorda tali conseguenze) non dispone di istanze che attivino un comportamento prudente. La “non-esperienza” del danno genera una falsa percezione di sicurezza.

Cranford e Lebiere (2019), applicando la teoria IBLT al contesto del phishing, hanno dimostrato che la creazione di istanze negative attraverso simulazioni realistiche migliora significativamente la capacità di riconoscimento delle minacce nelle situazioni successive. L’esperienza diretta dell’errore – in un contesto controllato e privo di conseguenze reali – rafforza la memoria episodica e orienta le decisioni future verso scelte più sicure.

Implicazioni per la formazione. Questo modello fornisce una solida base teorica per la progettazione di interventi formativi esperienziali. Le simulazioni di phishing, i cyber game e gli esercizi pratici risultano più efficaci della formazione puramente teorica proprio perché creano istanze memorizzabili. L’errore commesso durante una simulazione diventa un'”esperienza negativa” che la memoria può richiamare di fronte a minacce reali. La chiave è garantire che l’esperienza sia sufficientemente saliente da essere memorizzata e sufficientemente simile alle minacce reali da essere richiamata nei contesti appropriati.

Routine digitali e vulnerabilità: la teoria delle attività di routine

La Teoria delle Attività di Routine (RAT – Routine Activity Theory), formulata da Cohen e Felson (1979) nell’ambito della criminologia ambientale, interpreta il crimine come risultato della convergenza spazio-temporale di tre elementi: un aggressore motivato, un bersaglio idoneo e l’assenza di guardiani efficaci.

Originariamente sviluppata per spiegare i crimini predatori nel mondo fisico, la teoria è stata successivamente adattata al contesto del cybercrime da diversi autori (Leukfeldt & Yar, 2016; Reyns et al., 2011), dimostrando una notevole capacità esplicativa anche nell’ambiente digitale.

Applicazione al phishing. Nel contesto degli attacchi di phishing, i tre elementi della teoria si declinano come segue:

• Aggressore motivato: i cybercriminali sono motivati da incentivi economici (furto di credenziali, ransomware, frodi finanziarie), spionaggio industriale o, in alcuni casi, motivazioni ideologiche. La bassa barriera all’ingresso e l’elevato rapporto rischio/beneficio rendono il phishing un’attività attraente.
• Bersaglio idoneo: l’idoneità del bersaglio dipende da diversi fattori. Il valore (accesso a sistemi critici, dati sensibili, risorse finanziarie); la visibilità (presenza online, esposizione di informazioni personali); l’inerzia (propensione a scaricare allegati, cliccare su link, rispondere a richieste); e l’accessibilità (misure di sicurezza implementate, filtri anti-spam, autenticazione multifattore).
• Guardiani efficaci: nel mondo digitale, i guardiani possono essere tecnologici (filtri anti-phishing, sistemi di rilevamento, sandbox) o umani (colleghi attenti, procedure di verifica, cultura della sicurezza). L’assenza o l’inefficacia di questi guardiani aumenta la probabilità di successo dell’attacco.

Implicazioni per la prevenzione. La teoria RAT suggerisce che la prevenzione del phishing può operare su tutti e tre i fronti. Ridurre la motivazione degli aggressori è difficile a livello di singola organizzazione, ma è possibile aumentare il costo percepito dell’attacco attraverso sistemi di tracciamento e risposta. Ridurre l’idoneità del bersaglio significa intervenire sulle abitudini digitali quotidiane: limitare l’esposizione di informazioni, ridurre i comportamenti automatici rischiosi, implementare procedure di verifica. Rafforzare i guardiani implica sia investimenti tecnologici sia la creazione di una cultura della sicurezza in cui colleghi e superiori fungano da “guardiani sociali”, pronti a segnalare anomalie e a verificare richieste sospette.

I risultati del presente studio confermano la rilevanza di questo framework: i partecipanti che operano in condizioni di sovraccarico (ridotta capacità di “auto-sorveglianza”) e in assenza di procedure di verifica consolidate (guardiani inefficaci) risultano più vulnerabili.

La dissonanza cognitiva: quando l’errore sfida l’immagine di sé

La Teoria della Dissonanza Cognitiva, formulata da Leon Festinger (1957), rappresenta un costrutto centrale per interpretare le reazioni emotive e comportamentali osservate nei partecipanti allo studio.

La dissonanza cognitiva è il disagio psicologico che emerge quando un individuo mantiene simultaneamente cognizioni tra loro incongruenti – credenze, atteggiamenti o comportamenti che si contraddicono a vicenda. Questo stato di tensione genera una motivazione a ridurre l’incongruenza, attraverso diverse strategie possibili.

Manifestazione nel contesto del phishing. Nel presente studio, la dissonanza si manifesta quando la percezione di competenza (“so riconoscere le minacce informatiche”, “sono stato formato”, “sono un professionista IT”) entra in contrasto con l’esperienza concreta dell’errore (“ho cliccato su un link di phishing”).

Numerosi partecipanti dichiaravano un’elevata fiducia nella propria capacità di riconoscere minacce, pur essendo caduti nella simulazione. Questa incongruenza genera una tensione cognitiva che si traduce in reazioni emotive intense: vergogna per aver fallito nonostante la competenza percepita, rabbia verso sé stessi per l’errore commesso, ansia per le possibili conseguenze e per la messa in discussione della propria immagine professionale.

Strategie di riduzione della dissonanza. Secondo Festinger, gli individui possono ridurre la dissonanza attraverso diverse strategie:

1. Modificare il comportamento: adottare pratiche più prudenti in futuro (“d’ora in poi verificherò sempre”);
2. Rivedere le credenze: ridimensionare la propria percezione di competenza (“forse non sono così esperto come pensavo”);
3. Giustificare l’azione: attribuire l’errore a fattori esterni (“l’email era davvero ben fatta”, “ero sotto pressione”);
4. Minimizzare l’importanza: svalutare la rilevanza dell’evento (“era solo una simulazione”, “non è successo niente di grave”).

Implicazioni per la cybersecurity awareness. La dissonanza cognitiva può essere utilizzata come leva formativa. L’esperienza controllata dell’errore – come nelle simulazioni di phishing – genera dissonanza in modo sicuro, creando la motivazione al cambiamento comportamentale. Tuttavia, è fondamentale che il debrief successivo orienti la riduzione della dissonanza verso strategie costruttive (modifica del comportamento, revisione realistica delle credenze) piuttosto che verso strategie difensive (giustificazione, minimizzazione).

Un feedback colpevolizzante rischia di attivare meccanismi difensivi che bloccano l’apprendimento. Al contrario, un approccio che normalizza l’errore (“può capitare a chiunque, ecco perché”) e fornisce strumenti concreti per il miglioramento trasforma la dissonanza in opportunità formativa.

L’impatto emotivo dell’errore: vergogna, ansia e conseguenze psicologiche

Le conseguenze degli attacchi di phishing non sono solo tecniche o economiche, ma anche psicologiche. La letteratura documenta come le vittime sperimentino frequentemente imbarazzo sociale, riduzione della fiducia interpersonale, senso di colpa e, nei casi più gravi, sintomi ansiosi prolungati (Modic & Lea, 2013).

Vergogna e imbarazzo. L’imbarazzo sociale rappresenta una delle reazioni più comuni e può essere interpretato come manifestazione esterna della vergogna – un’emozione auto-consapevole che emerge quando l’individuo percepisce di aver violato standard personali o sociali. Nel contesto aziendale, cadere vittima di phishing può essere vissuto come un fallimento professionale, soprattutto per chi ricopre ruoli tecnici o di responsabilità. La paura del giudizio dei colleghi può portare a nascondere l’incidente, compromettendo la tempestività della risposta.

Rabbia auto-diretta. Molti partecipanti riportano rabbia verso sé stessi per essere “caduti nel tranello”. Questa reazione è particolarmente intensa in chi possedeva elevata fiducia nelle proprie capacità, coerentemente con la dinamica della dissonanza cognitiva descritta sopra. La rabbia auto-diretta, se non elaborata costruttivamente, può tradursi in evitamento (rifiuto di partecipare a future simulazioni) o in ipervigilanza disfunzionale.

Ansia e nevroticismo. Gli individui con elevati livelli di nevroticismo – un tratto di personalità caratterizzato da instabilità emotiva e propensione all’ansia – mostrano una vulnerabilità particolare sia all’attacco sia alle sue conseguenze psicologiche. Da un lato, l’ansia anticipatoria (“e se fosse importante?”, “e se ignorassi qualcosa di urgente?”) li rende più propensi a interagire con messaggi sospetti. Dall’altro, l’esperienza dell’errore amplifica la risposta ansiosa, generando un circolo vizioso che può compromettere il benessere lavorativo (Eftimie et al., 2022).

Implicazioni organizzative. Questi dati sottolineano l’importanza di una gestione organizzativa dell’errore orientata all’apprendimento piuttosto che alla colpevolizzazione. Le simulazioni di phishing dovrebbero essere seguite da debrief costruttivi che normalizzino l’errore, forniscano strumenti pratici e supportino emotivamente i partecipanti. Una cultura della sicurezza basata sulla paura e sulla punizione rischia di generare underreporting, evitamento e malessere, compromettendo gli stessi obiettivi di protezione che si propone di raggiungere.

Il prossimo approfondimento tornerà sul piano empirico, analizzando l’efficacia percepita della formazione ricevuta dai partecipanti e i cambiamenti comportamentali da essi auto-riferiti. Verrà esplorato il paradosso per cui, nonostante una valutazione altamente positiva dei corsi di cybersecurity (l’86% li giudica utili o molto utili), la totalità dei partecipanti sia comunque risultata vulnerabile all’attacco simulato un dato che, alla luce dell’intention-behavior gap, solleva interrogativi cruciali sulla reale efficacia delle pratiche formative tradizionali e sulla necessità di approcci più esperienziali e continuativi.

Fonti:

Fonti teoriche classiche:

Chaiken, S. (1980). Heuristic versus systematic information processing and the use of source versus message cues in persuasion. Journal of Personality and Social Psychology, 39(5), 752-766. https://doi.org/10.1037/0022-3514.39.5.752

Chen, S., & Chaiken, S. (1999). The heuristic-systematic model in its broader context. In S. Chaiken & Y. Trope (Eds.), Dual-process theories in social psychology (pp. 73-96). Guilford Press.

Cialdini, R. B. (2009). Influence: Science and practice (5th ed.). Pearson.

Cohen, L. E., & Felson, M. (1979). Social change and crime rate trends: A routine activity approach. American Sociological Review, 44(4), 588-608. https://doi.org/10.2307/2094589

Festinger, L. (1957). A theory of cognitive dissonance. Stanford University Press.

Gonzalez, C., Lerch, J. F., & Lebiere, C. (2003). Instance-based learning in dynamic decision making. Cognitive Science, 27(4), 591-635. https://doi.org/10.1207/s15516709cog2704_2

Fonti applicative al cybercrime:

Leukfeldt, E. R., & Yar, M. (2016). Applying routine activity theory to cybercrime: A theoretical and empirical analysis. Deviant Behavior, 37(3), 263-280. https://doi.org/10.1080/01639625.2015.1012409

Modic, D., & Lea, S. E. G. (2013). Scam compliance and the psychology of persuasion. Social Science Research Network. https://doi.org/10.2139/ssrn.2364464

Reyns, B. W., Henson, B., & Fisher, B. S. (2011). Being pursued online: Applying cyberlifestyle-routine activities theory to cyberstalking victimization. Criminal Justice and Behavior, 38(11), 1149-1169. https://doi.org/10.1177/0093854811421448