Social Engineering e Truffe Online

Gli studenti imparano meglio quando sperimentano in prima persona i meccanismi che i truffatori usano per manipolare. Attraverso simulazioni e analisi pratiche, costruiscono consapevolezza attiva invece di ricevere solo informazioni teoriche, rendendo il tema concreto e significativo per la loro quotidianità.

• 3a Scuola Media
• Cittadinanza Digitale e Innovazione Tecnologica
• 4 attività
• 15 min–30 min

Obiettivi di apprendimento

1. Analizzare le tattiche psicologiche comuni utilizzate negli attacchi di social engineering, come la creazione di urgenza o la leva sulla paura.
2. Confrontare le caratteristiche distintive di un attacco di phishing con altre forme di social engineering, identificando i vettori di attacco comuni.
3. Valutare la credibilità di messaggi o richieste online, applicando criteri specifici per riconoscere potenziali tentativi di truffa.
4. Proporre strategie di difesa personalizzate per proteggere dati sensibili da attacchi di social engineering basati su scenari specifici.
5. Spiegare il ruolo delle emozioni umane, come la curiosità e l'avidità, nel rendere gli individui vulnerabili alle truffe online.

Attività Pronte all’Uso

Gioco di ruolo

⏱ 30 min·Coppie

Gioco di ruolo: Simulazione Truffa Telefonica

Dividete la classe in coppie, uno interpreta il truffatore che finge urgenza bancaria per ottenere dati, l'altro la vittima che risponde o resiste. Invertite i ruoli dopo 5 minuti, poi debriefing collettivo sulle emozioni sfruttate.

Preparazione e dettagli

Come i truffatori sfruttano le emozioni umane per ingannare le vittime?

Suggerimento per la facilitazione: Durante la simulazione telefonica, chiedi agli studenti di notare come il tono della voce o la fretta influenzano la loro reazione emotiva.

Setup: Spazio aperto o banchi riorganizzati per la messa in scena

Materials: Schede personaggio con background e obiettivi, Documento di briefing dello scenario

• Applicare
• Analizzare
• Valutare
• Consapevolezza Sociale
• Autoconsapevolezza

Gioco di ruolo

⏱ 25 min·Piccoli gruppi

Small Groups: Analisi Email Phishing

Distribuite esempi di email truffaldine. I gruppi identificano segnali rossi come richieste insolite o mittenti sospetti, discutono differenze con comunicazioni legittime e propongono verifiche.

Preparazione e dettagli

Distingui tra un attacco di phishing e un attacco di social engineering.

Suggerimento per la facilitazione: Quando analizzate email di phishing, fate emergere le prime impressioni prima di spiegare i dettagli tecnici, per mostrare ai ragazzi come i truffatori sfruttino le intuizioni rapide.

Setup: Spazio aperto o banchi riorganizzati per la messa in scena

Materials: Schede personaggio con background e obiettivi, Documento di briefing dello scenario

• Applicare
• Analizzare
• Valutare
• Consapevolezza Sociale
• Autoconsapevolezza

Gioco di ruolo

⏱ 20 min·Intera classe

Whole Class: Brainstorming Strategie Protettive

Proiettate uno scenario di social engineering. La classe elenca regole come 'verifica sempre l'identità' o 'non condividere sotto pressione', poi crea un manifesto comune da affiggere.

Preparazione e dettagli

Proponi strategie per proteggersi da tentativi di ingegneria sociale.

Suggerimento per la facilitazione: Nel brainstorming collettivo, scrivi tutte le strategie protettive su una lavagna visibile per tutta la classe, così ogni contributo diventa patrimonio comune.

Setup: Spazio aperto o banchi riorganizzati per la messa in scena

Materials: Schede personaggio con background e obiettivi, Documento di briefing dello scenario

• Applicare
• Analizzare
• Valutare
• Consapevolezza Sociale
• Autoconsapevolezza

Gioco di ruolo

⏱ 15 min·Individuale

Individuale: Diario Personale Anti-Truffa

Ogni alunno annota una truffa reale sentita dai media, descrive l'emozione manipolata e scrive tre azioni protettive personali.

Preparazione e dettagli

Come i truffatori sfruttano le emozioni umane per ingannare le vittime?

Suggerimento per la facilitazione: Nel diario personale, incoraggiate gli studenti a descrivere situazioni reali in cui hanno dubitato di una comunicazione online, anche se poi si sono rivelate sicure.

Setup: Spazio aperto o banchi riorganizzati per la messa in scena

Materials: Schede personaggio con background e obiettivi, Documento di briefing dello scenario

• Applicare
• Analizzare
• Valutare
• Consapevolezza Sociale
• Autoconsapevolezza

Insegnare questo argomento

Gli insegnanti esperti sanno che la chiave sta nell'equilibrio tra allerta e critica costruttiva. Evitate di spaventare gli studenti con storie estreme, ma usate esempi reali e vicini alla loro esperienza. La ricerca mostra che praticare la verifica delle informazioni in contesti sicuri riduce l'ansia e aumenta l'autonomia. Includete sempre momenti di riflessione condivisa per normalizzare il dubbio come strumento positivo.

Cosa aspettarsi

Gli studenti saranno in grado di riconoscere almeno due tecniche di truffa online, formulare domande critiche per verificare informazioni e condividere almeno una strategia personale per proteggersi. L'obiettivo è sviluppare un atteggiamento di diffidenza sana e consapevole.

Attenzione a questi errori comuni

Errore comune

Durante la simulazione di truffa telefonica, alcuni studenti potrebbero pensare che le truffe colpiscono solo gli anziani o i meno esperti.

Cosa insegnare invece

Usate la discussione post-simulazione per chiedere a ogni gruppo quali emozioni hanno provato durante la chiamata e come queste avrebbero potuto ingannare chiunque, indipendentemente dall'età o dall'esperienza.

Errore comune

Durante l'analisi delle email di phishing, alcuni studenti potrebbero confondere il phishing con il social engineering in generale.

Cosa insegnare invece

Fate confrontare agli studenti una email di phishing con un esempio di pretexting o baiting, chiedendo loro di identificare elementi unici di ciascuna tecnica e di spiegare perché non possono essere considerate la stessa cosa.

Errore comune

Durante il brainstorming sulle strategie protettive, alcuni studenti potrebbero credere che evitare link sospetti sia sufficiente per essere al sicuro.

Cosa insegnare invece

Durante la discussione, introducete uno scenario di truffa senza link (ad esempio una chiamata o un messaggio vocale) e chiedete agli studenti di aggiornare la lista delle strategie includendo anche la verifica delle identità attraverso canali ufficiali.

Idee per la Valutazione

Biglietto di Uscita

Dopo l'analisi delle email di phishing, distribuite tre brevi testi (email di phishing, messaggio di pretexting e comunicazione legittima) e chiedete agli studenti di identificarne uno, spiegare brevemente perché e indicare una parola chiave che tradisce l'inganno.

Spunto di Discussione

Durante la simulazione di truffa telefonica, presentate lo scenario ipotetico di una chiamata dal 'supporto tecnico' e chiedete: 'Quali emozioni potrebbero sfruttare? Quali domande fareste per verificare la sua identità? Quali informazioni NON dovreste mai fornire?' Registrate le risposte su una lavagna per valutare la comprensione delle domande critiche.

Verifica Rapida

Dopo il brainstorming sulle strategie protettive, presentate una serie di affermazioni vere o false relative al social engineering e al phishing. Chiedete agli studenti di rispondere con un segnale visivo (ad esempio alzare una mano per 'vero' e due per 'falso') e discutete brevemente le risposte errate per valutare la comprensione immediata.

Estensioni e supporto

• Chiedete agli studenti di creare una campagna di sensibilizzazione con poster o video brevi per spiegare a compagni più giovani come riconoscere una truffa telefonica.
• Per chi fatica, fornite una lista di controllo con 5 domande da porsi prima di rispondere a una comunicazione sospetta.
• Approfondite con una ricerca guidata su casi reali di truffe online in Italia, analizzando come le vittime hanno reagito e quali segnali hanno ignorato.

Vocabolario Chiave

Social Engineering	Tecnica di manipolazione psicologica usata dai criminali informatici per indurre le persone a compiere azioni o divulgare informazioni riservate.
Phishing	Attacco informatico che utilizza messaggi (email, SMS) falsificati per indurre l'utente a rivelare dati sensibili, spesso tramite link malevoli.
Pretexting	Creazione di uno scenario fittizio (pretesto) da parte del truffatore per guadagnare la fiducia della vittima e ottenere informazioni.
Baiting	Offerta di qualcosa di allettante (es. download gratuito, premio) per attirare la vittima e indurla a compiere un'azione rischiosa, come scaricare malware.
Quid pro quo	Offerta di un servizio o beneficio in cambio di informazioni personali o accesso a sistemi, creando uno scambio apparentemente vantaggioso.