Come difendersi dal phishing in università: le simulazioni funzionano davvero?

Le università sono un bersaglio ideale per i truffatori digitali: studenti, professori e staff condividono centinaia di account e ricevono quotidianamente email. Un gruppo di ricercatori croati ha messo alla prova due strategie di difesa: simulazioni di phishing e un corso online di sicurezza. Sono state organizzate tre fasi di attacco simulato, ognuna rivolta a diversi dipartimenti, e un modulo formativo mirato. I risultati mostrano che, dopo il corso, il numero di utenti compromessi è sceso di poco, ma la differenza non è risultata statisticamente significativa rispetto alle sole simulazioni. La terza simulazione, lanciata poco prima delle vacanze, ha registrato un picco di clic su link malevoli, dimostrando quanto la stanchezza e il contesto temporale possano indebolire la vigilanza. In pratica, né le simulazioni né la formazione isolata bastano a garantire una protezione solida. Gli autori suggeriscono un approccio continuo, che combini esercizi pratici, aggiornamenti periodici e contestualizzazione delle minacce. Solo così le comunità accademiche possono trasformare la consapevolezza in un vero scudo contro il phishing.

Il progetto ha adottato un disegno sperimentale a gruppi controllati, con randomizzazione dei dipartimenti tra le tre condizioni di simulazione e il gruppo di formazione. Le metriche di valutazione includevano il tasso di click su link fraudolenti, la segnalazione di email sospette e il tempo medio di risposta. L'analisi statistica ha impiegato test chi‑quadrato per confrontare le proporzioni di compromissione e regressioni logistiche per valutare l'influenza di variabili demografiche (età, ruolo accademico, background formativo). I risultati hanno evidenziato una correlazione debole tra l'età avanzata e una maggiore probabilità di cadere nella trappola, probabilmente legata a minori abitudini digitali aggiornate. Inoltre, il modello ha mostrato che la variabile “periodo pre‑vacanze” era un predittore significativo di vulnerabilità, con un odds ratio di circa 2,5. Dal punto di vista psicologico, la teoria della “cognitive load” spiega come il sovraccarico di informazioni e lo stress stagionale riducano la capacità di elaborare segnali di allarme. Questi dati suggeriscono che le campagne di sensibilizzazione debbano essere integrate con momenti di pausa e revisione, evitando sovraccarichi informativi. Infine, l'analisi ha rivelato che le simulazioni ripetute, se ben distribuite nel tempo, migliorano la resilienza a lungo termine, ma solo se accompagnate da feedback personalizzati e da un contesto di apprendimento continuo, piuttosto che da sessioni isolate. Questo approccio ibrido può favorire la formazione di “mental models” più robusti, capaci di riconoscere pattern di phishing anche in scenari nuovi e più sofisticati.