Fine ottobre 2026, Damien si è classificato secondo al Social Engineering CTF dell’Hackfest di Québec, la sua settima partecipazione a questa competizione. Venti concorrenti si sono confrontati con un esercizio di intelligence e manipolazione telefonica riguardante 28 aziende, con trenta minuti per ottenere il massimo di informazioni da veri dipendenti.
- Damien si è classificato secondo al Social Engineering CTF dell’Hackfest di Québec, la sua settima partecipazione.
- La competizione univa ricerche su fonti aperte e chiamate telefoniche a dipendenti reali.
- In finale, Damien ha ottenuto 39 informazioni su 67 fingendosi un sindacalista.
- Secondo lui, le informazioni più preziose sono quelle che le persone condividono senza capire perché vengono richieste.
La prima fase si è svolta per iscritto, una settimana prima dell’Hackfest. I concorrenti dovevano compilare un rapporto di ricognizione con una lunga serie di domande su aziende come Decathlon, Ikea, Air Canada o Home Depot, ad esempio sul fornitore di servizi di disinfestazione, la società che gestisce i distributori automatici o la presenza di una mensa. Ogni risposta doveva essere giustificata da una fonte aperta e verificabile. Damien indica di aver trovato circa il 95% delle risposte, un risultato che rappresentava comunque solo la metà della valutazione.
L’altra metà si giocava al telefono, e l’orario di esecuzione era estratto a sorte. Damien è capitato nella pausa pranzo, un momento in cui alcuni dipendenti hanno solo quindici minuti. È comunque riuscito a proseguire la competizione.
Per questi scambi, aveva preparato cinque strumenti. Cita in particolare una rubrica che permette di associare coordinate, funzioni e servizi, un sintetizzatore di atmosfere sonore composto da una cinquantina di file MP3, e un’intelligenza artificiale fatta in casa, che presenta come un mezzo per ritrovare rapidamente elementi di contesto già raccolti e verificati. Secondo lui, « il tono, il ritmo, i silenzi, le esitazioni e le reazioni del mio interlocatore rimangono essenziali », e nessun software può garantire la lettura perfetta di un comportamento umano.
Cambiare personaggio per raggiungere la finale
In finale, i concorrenti avevano venti minuti per raccogliere informazioni con l’aiuto del pubblico, e poi trenta minuti per telefonare. Su 67 obiettivi da raggiungere, Damien ne ha ottenuti 39 direttamente dai suoi interlocutori. Per guadagnare credibilità, ha costruito il personaggio di un sindacalista incaricato di finalizzare un sondaggio interno su rivendicazioni salariali, dopo aver letto per dieci giorni la stampa locale.
Racconta che un supervisore, che aveva seguito una formazione sulla cybersecurity tre settimane prima, ha digitato un indirizzo Internet proposto durante la chiamata. La sua giustificazione ha colpito l’autore: « L’ho digitato perché c’è il nome della mia azienda, altrimenti non digito nulla! » Damien sottolinea che la presenza del nome di un’azienda in un indirizzo non garantisce nulla.
Il concorso includeva anche un dispositivo di misurazione: i concorrenti erano collegati a un rilevatore di bugie e a un monitor cardiaco durante le loro chiamate. Il cuore di uno di loro ha raggiunto 155 battiti al minuto.
Secondo posto e una lezione sull’umano
Damien ricorda una frase dell’hacker Kevin Mitnick, ascoltata durante il suo passaggio a Lille: « Sai, Damien, la cosa più complicata non è parlare con loro, è sentire il loro respiro! »
Durante i tre giorni della competizione, Damien ha chiamato 43 persone e le ha richiamate tutte per spiegare il contesto. Indica che la frase di un partecipante, « Beh, guarda un po’, mi hanno beccato! », riassume l’esperienza. Ritiene che la sensibilizzazione dovrebbe confrontare i dipendenti con situazioni realistiche, perché la vera trappola può iniziare con una conversazione banale.
« Nell’intelligence informatica, le informazioni più preziose non sono sempre quelle che uno strumento scopre. A volte sono quelle che un essere umano accetta di condividere, senza nemmeno capire perché gli vengono richieste. »
