L'Intelligenza Artificiale Rivoluziona il Social Engineering: Lezioni dalle Organizzazioni Sportive

Ogni team di sicurezza vive lo stesso incubo: un dipendente riceve un messaggio che sembra provenire dal capo e agisce di conseguenza. Indipendentemente dalla quantità di formazione fornita, qualcosa riesce sempre a sfuggire, lasciando il reparto IT a gestire la situazione. Questo sottolinea l'importanza della preparazione in tutte le fasi del ciclo delle minacce.

Durante un recente webinar sponsorizzato da Doppel e condotto dal suo chief strategy officer, Bobby Ford, due leader tecnologici della NFL, Costa Kladianos, EVP e responsabile tecnologico dei San Francisco 49ers, e Christina Morillo, senior director e responsabile della sicurezza informatica dei New York Giants, hanno illustrato come l'IA abbia riscritto il manuale del social engineering in vista della stagione 2026. I loro ambienti sono estremi, ma le lezioni si applicano direttamente a qualsiasi azienda.

La Minaccia non è Cambiata, ma l'Economia Sì

Il social engineering rimane uno dei modi più accessibili per gli attaccanti di prendere di mira un'organizzazione. L'IA generativa ha cambiato la velocità, la scala e la credibilità di questi attacchi. "Non credo che le minacce create dall'IA siano una novità", ha affermato Morillo. "Penso solo che l'IA le abbia rese un po' più semplici. Un processo che prima poteva richiedere minuti, ora potrebbe richiedere giorni o anche più."

Morillo ha anche evidenziato il crollo delle competenze richieste. "Prima, parlavamo solo di script kiddies e di quali strumenti usare. Ora non serve molto. Puoi andare su qualsiasi modello e gli strumenti sono lì. Paga $20 al mese e sei dentro."

Ford ha citato ricerche che indicano come il phishing potenziato dall'IA possa produrre tassi di click-through più elevati e che l'impersonificazione assistita dall'IA sia in aumento. La velocità e la scala di questi attacchi preoccupano entrambi i dirigenti, che hanno affermato che il volume affrontato dalle organizzazioni sportive era già sostanziale.

La Qualità degli Attacchi è Migliorata

Un'altra modifica riguarda la qualità. "Prima, si trattava di messaggi come 'Sono di questo paese, mandami il tuo conto bancario e ti manderò un miliardo di dollari'", ha affermato Morillo. "Ora potrebbe provenire da un fornitore, un partner o qualcuno con cui lavori, e potrebbe non essere lui. Ora sono molto, molto convincenti."

Kladianos ha inquadrato il problema dei deepfake in termini che la maggior parte delle aziende sottovaluta: più le persone sono pubbliche, più materiale di addestramento grezzo hanno a disposizione gli attaccanti. "Tutti conoscono George Kittle e Christian McCaffrey, e questo li rende facili bersagli", ha affermato. "È molto facile andare su social media e distribuire un deepfake, ed è incredibilmente convincente. Il test visivo è qualcosa, ma stanno diventando incredibilmente bravi."

Sostituite i video delle conferenze stampa del vostro CEO, l'audio delle chiamate sui risultati del vostro CFO e la presenza del vostro team vendite su LinkedIn, e l'esposizione rimane identica. La superficie di attacco si estende ora ben oltre i sistemi controllati dall'IT, includendo dirigenti impersonati, account falsi, domini simili e truffe con criptovalute su piattaforme esterne.

Consigli Pratici per i Leader IT e della Sicurezza

Diversi pratiche difendibili sono emerse che non richiedono un budget NFL.

Rendete la Verifica un Processo, non una Decisione

L'avvertimento di Kladianos sulle richieste notturne è l'intuizione più trasferibile della sessione: "Gli attacchi possono arrivare in qualsiasi momento, anche quando la guardia è abbassata. Quella chiamata alle 2 di notte — ho bisogno di entrare, ho bisogno di fare questo". La sua risposta sono le porte e la governance, e il rifiuto di trattare le richieste a basso attrito come a basso rischio. "Dovete farlo per cose che considerate piccole, come il reset delle password. Non sono piccole. È la porta d'ingresso a ciò che avete nella vostra organizzazione. Proteggete le vostre risorse come proteggete i vostri soldi, perché sono la stessa cosa."

La Convalida Fuori Banda è la Norma

La versione di Morillo utilizza la conferma fuori banda come standard. "Uno dei nostri giocatori ha appena chiamato. Come faccio a validare che è lui? Potrebbero spoofare il suo numero, spoofare il suo qualsiasi cosa". Il suo team si affida al contatto faccia a faccia e ai canali laterali pre-stabiliti per le richieste ad alto impatto. In pratica: il movimento di denaro, il reset delle credenziali, l'iscrizione a MFA e l'escalation dell'accesso dovrebbero tutti essere confermati su un secondo canale che il richiedente non ha scelto.

Smettete di Dare per Scontato che il Test Visivo Scali

La prescrizione di Kladianos è combattere il fuoco con il fuoco, abbinando la rilevazione basata su IA alla revisione umana e all'educazione continua — un modello in tre parti che paragona all'esperienza di scouting, agli strumenti di coaching e allo sviluppo dei giocatori. "Metti insieme tutte e tre, e ora vincerai le partite."

Rendete la Segnalazione più Facile di un Click

Questa è una delle modifiche più semplici e potenzialmente ad alto valore della lista. "Non dovrebbe essere difficile per qualcuno segnalare", ha affermato Kladianos. "Dovrebbe essere più facile segnalare che cliccare sul link di phishing". L'attrito nel vostro flusso di lavoro di segnalazione è un controllo di sicurezza che avete silenziosamente disattivato.

Rimuovete la Vergogna

Morillo ha identificato il vero motivo per cui le segnalazioni non arrivano. "C'è sempre questa sensazione di aver fatto qualcosa di sbagliato, mi vergogno". La sua soluzione: rendere sicuro inviare un messaggio, chiamare o entrare nel suo ufficio e dire: "Ho cliccato su questo, ho inserito le mie credenziali, mi dispiace" — poi rispondere senza punizione. "La risposta è anche una parte importante di quel puzzle". Fa anche sì che il training di consapevolezza sia personale piuttosto che aziendale: "Lo rendo una questione di cosa succede a casa, cosa succede con il tuo conto bancario, così può risuonare."

Lavorate sui Fondamentali Durante Tutto l'Anno Invece di Creare un Elenco

Quando le è stato chiesto cosa dovrebbe essere incluso in un controllo di sicurezza pre-stagione, Morillo ha respinto il presupposto. "Se rimani pronto, non devi prepararti", ha affermato, citando valutazioni continue, test di penetrazione, audit di copertura MFA, revisioni del ritmo di patch e formazione alla sicurezza che viene automaticamente attivata non appena un account viene creato. "Solo perché sono basi o fondamentali non significa che siano semplici da fare."

Integrate i Vostri Strumenti, Anche se Non Potete Consolidarli

Morillo è stata diretta riguardo alla realtà del tooling: non esiste un'unica finestra panoramica; le piattaforme di rischio e GRC raramente si integrano pulitamente; l'IT ombra e l'IA ombra creano punti ciechi; e una piattaforma può diventare un singolo punto di fallimento. Kladianos ha offerto questo contro-punto: "Ogni sistema deve parlare con gli altri. Se avete sistemi disparati qui e là, potete perdere qualcosa."

Condividete l'Intelligence con i Vostri Competitor

Una pratica frequentemente trascurata è la collaborazione tra pari. I dirigenti hanno affermato che i club NFL scambiano indicatori di compromissione, valutazioni dei fornitori e appunti sugli strumenti di sicurezza. "Siamo competitivi sul campo, ma non siamo competitivi dietro le quinte", ha affermato Morillo. Kladianos ha sostenuto questo, spiegando che se i Giants fossero arrivati allo Levi's Stadium con un incidente, "saremmo entrati al 100% e avremmo lavorato insieme."

Le organizzazioni sportive stanno affrontando minacce di social engineering sempre più sofisticate grazie all'IA. Implementando le pratiche difendibili discusse in questo articolo, le aziende possono migliorare la loro preparazione e resilienza contro queste minacce in evoluzione.