L'esca finge di essere la perdita di qualcun altro
Una chiavetta USB vicino all'ingresso di un ufficio, in un parcheggio o in ascensore non è spazzatura: è uno scenario preparato. Viene lasciata dove qualcuno la raccoglierà di sicuro e contrassegnata in modo da sembrare di qualcuno: un nome, «Vacanze 2026», il numero di una stanza. Da quel momento, fai tutto in autonomia, ed è proprio questo il punto.
Funziona grazie al senso del dovere, non alla stupidità. Un oggetto trovato ti mette all'istante nel ruolo di chi può aiutare. Per restituire la chiavetta, devi vedere di chi sono i file che contiene, e collegarla al computer comincia a sembrare un gesto corretto, non un rischio. Ecco perché un adesivo con un nome funziona meglio di un dispositivo anonimo.
I file sono stati aperti su quasi metà delle chiavette USB lasciate apposta
La seconda leva è la curiosità, alimentata da ciò che c'è scritto sopra. «Confidenziale», «premi», «foto della festa aziendale»: la promessa di un segreto altrui, che puoi scoprire senza testimoni. Dal tuo punto di vista, nessuno dei due motivi sembra un errore: o si è gentili, o semplicemente curiosi.
Perché ci cascano anche le persone attente
A un truffatore non serve una persona ingenua: gli serve una persona impegnata. Il trucco coglie il momento in cui stai gestendo diverse cose insieme e vuoi risolvere una piccola questione in 30 secondi. La tua prudenza non scompare: semplicemente, l'oggetto trovato non riceve una decisione separata.
Ci cascano solo le persone imprudenti. Io di sicuro non lo farei.
In quello studio, le chiavette USB sono state raccolte da persone comuni in un campus universitario, che spiegavano più spesso di voler trovare il proprietario. Il trucco fa leva sulla disponibilità ad aiutare e sulla fretta, non sulla stupidità.
Poi entrano in gioco le stesse leve di una chiamata «dall'ufficio sicurezza»: l'urgenza, un ruolo già pronto («mi aiuti, vero?»), l'autorità di qualcun altro e un piccolo favore che ti viene voglia di ricambiare. Una chiavetta USB è la versione silenziosa di quella stessa conversazione.
Come riconoscerlo
Il segnale è generale e abbastanza affidabile: ti spingono a decidere in fretta e in autonomia. Una richiesta autentica può aspettare una pausa e una verifica attraverso un secondo canale: una chiamata al numero indicato sul sito ufficiale, una domanda a una collega, un'e-mail all'indirizzo di lavoro. La pressione dura solo finché non compare una seconda persona.
- Portare l'oggetto trovato a chi se ne occupa, per esempio alla reception o all'amministratore di sistema
- Verificare una richiesta urgente attraverso un canale che hai trovato tu, non usando i contatti indicati nel messaggio
- Concederti una pausa: il trucco fa leva sui primi secondi
- Collegare il dispositivo trovato al tuo computer personale o di lavoro per «trovare il proprietario»
- Aprire un file la cui etichetta promette un segreto altrui
- Pensare che la prudenza, da sola, ti protegga
Finisci di leggere nell'app Miqo
Ancora 1 minuto, poi un quiz alla fine. Lo trovi in «Psicologia → Ingegneria sociale»
Inquadra il codice con la fotocamera del telefono per aprire App Store o Google Play.
Fonti
- Tischer et al., «Users Really Do Plug In USB Drives They Find», IEEE Symposium on Security and Privacy, 2016: delle 297 chiavette lasciate in giro per un campus, il 98% è stato portato via e i file sono stati aperti su circa il 45%