480 targets · 12% credential submit · security-awareness gap
Che cos'è Ingegneria Sociale?
Il test di ingegneria sociale e phishing è una valutazione controllata e basata sul consenso in cui operatori etici impersonano parti fidate per misurare come le tue persone, i tuoi processi e le tue difese email rispondono all'inganno - attraverso email di phishing, chiamate vocali (vishing), SMS (smishing) e scenari di persona o con pretesto. CyberXplore progetta campagne guidate da senior e realizzate manualmente che rispecchiano il tradecraft attuale degli attaccanti - esche per il furto di credenziali, allegati malevoli e consegna di payload benigni - per quantificare in sicurezza tassi di click, invio di credenziali e comportamento di segnalazione. Ogni ingaggio trasforma il rischio umano misurato in raccomandazioni prioritizzate su awareness, processi e controlli tecnici, senza attribuire colpe.
MITRE ATT&CKOWASPNIST SP 800-115PTES
Perché CyberXplore
Solo tester senior (OSCP, CRTP, CREST)
Certificazione ISO 27001 & ISO 9001
Retest gratuito + lettera di attestazione
Scope e preventivo su misura in 24 ore
Perché è importante
L'elemento umano è coinvolto nella grande maggioranza delle brecce - una singola email di phishing convincente può consegnare agli attaccanti credenziali valide e aggirare milioni spesi in controlli perimetrali.
Le simulazioni di phishing generiche e preconfezionate raramente riflettono il tradecraft mirato degli attaccanti; misurare la suscettibilità contro esche realistiche e realizzate manualmente è l'unico modo per conoscere la tua vera esposizione.
La formazione di awareness senza misurazione è un'ipotesi - campagne di baseline e ripetute dimostrano se comportamento, tassi di segnalazione e time-to-report stanno davvero migliorando.
Gateway email, MFA ed EDR possono essere tutti sconfitti da un pretesto ben costruito; testare il livello umano valida che i tuoi controlli tecnici e l'incident response funzionino insieme sotto pressione reale.
Allineato agli standard di settore: MITRE ATT&CK · OWASP · NIST SP 800-115 · PTES
La nostra metodologia
01
Scoping e autorizzazione
Concordiamo obiettivi, gruppi target, canali (email, voce, SMS, fisico), aree off-limits e un chiaro documento di regole d'ingaggio e autorizzazione - proteggendo sia il tuo personale sia i nostri operatori.
02
OSINT e sviluppo del pretesto
Usando open-source intelligence sul tuo brand, fornitori e persone, costruiamo pretesti credibili e scenari a tema - da reset password IT a esche su fatture e HR - calibrati sul tuo settore.
03
Costruzione della campagna e infrastruttura
Registriamo domini simili, configuriamo landing page tracciate e simulazioni di furto di credenziali e prepariamo payload o allegati benigni e strumentati che registrano l'interazione senza causare danni.
04
Consegna controllata
Lanciamo campagne di phishing, vishing o smishing in ondate misurate, monitorando consegna, click, invio di credenziali e qualsiasi dato catturato - rispettando le condizioni di stop e le regole di gestione sicura.
05
Misurazione e analisi
Analizziamo il funnel - consegnato, aperto, cliccato, inviato, segnalato - segmentiamo i risultati per reparto e ruolo e identifichiamo le lacune di awareness, processo e difese email dietro ogni esito.
06
Reportistica e potenziamento dell'awareness
Ricevi metriche senza attribuzione di colpe, andamenti rispetto a qualsiasi baseline e raccomandazioni concrete su formazione, flussi di segnalazione e controlli tecnici, oltre a un debrief opzionale per i team di sicurezza e leadership.
Cosa testiamo
Campagne di phishing via email (di massa, mirate e pretesti di spear-phishing)
Simulazione di furto di credenziali tramite landing page simili e tracciate
Vishing (pretexting via voce/telefono e impersonificazione dell'helpdesk)
Smishing (esche via SMS e scenari di intercettazione di codici one-time)
Pretexting e scenari di tipo business email compromise (BEC)
Consegna di payload e allegati benigni (strumentazione macro/link/QR-code)
Scenari di MFA-fatigue e phishing con relay in tempo reale (ove autorizzati)
Verifiche di efficacia di gateway email, filtraggio e pulsante di segnalazione
Scenari di pretesto fisico o on-site e tailgating (opzionale)
Segmentazione della suscettibilità per reparto e ruolo
Cosa ottieni
Executive summary con valutazione complessiva del rischio umano e metriche chiave
Metriche del funnel della campagna: consegna, apertura, click, invio di credenziali e tassi di segnalazione
Analisi per reparto e ruolo con andamenti rispetto a qualsiasi baseline
Analisi di quali pretesti hanno avuto successo e delle lacune tecniche e di processo dietro di essi
Raccomandazioni prioritizzate per formazione di awareness, flussi di segnalazione e controlli email
Finding anonimizzati e senza attribuzione di colpe adatti a comunicazioni al personale e reportistica al consiglio
Sessione di debrief opzionale e lettera di attestazione per auditor e clienti
Esempio di deliverable
Cosa vedrai nel tuo report
Ogni engagement si conclude con un report chiaro e prioritizzato: finding classificati per severità con punteggi CVSS, asset coinvolti e stato di remediation - più un retest gratuito. I dati riportati di seguito sono illustrativi.
Finding per severità
12 total
Critical
2
High
6
Medium
3
Low
1
Critical · CVSS 9.6CX-1220
Full domain compromise (Domain Admin obtained)
MITRE T1003CORP domainOpen
Critical · CVSS 9.0CX-1214
EDR bypass - payload executed, no alert raised
MITRE T1562ws-022.corp.localOpen
Esempio illustrativo: red team assessment - anonimizzato su example.com.
High · CVSS 8.0CX-1202
Spear-phishing → initial access (38% click rate)
MITRE T156624 of 63 employeesOpen
Vuoi il report di esempio anonimizzato completo? Lo includeremo nel tuo preventivo.
“As an early-stage team we needed real depth, not a checkbox scan. They hardened our LLM product and walked us through every fix.”
Hardened in 30 days
FC
Founder & CTO
Early-stage AI startup · Seed · LLM product
AI / ML
Certificazioni dei nostri tester
OSCP
CRTP
CREST
CEH
eWPTX
ISO 27001
ISO 9001
Domande frequenti
Sì. Ogni campagna è pienamente autorizzata, definita nello scope e vincolata da regole d'ingaggio. Usiamo payload benigni e strumentati, non esponiamo mai dati reali e riportiamo i risultati in modo anonimizzato e senza attribuzione di colpe, con l'obiettivo di migliorare le difese anziché punire gli individui.
