Il social hacking sfrutta la vulnerabilità del fattore umano: un utente inesperto può essere la vittima perfetta di un ingegnere sociale, che studia il comportamento individuale per acquisire informazioni utili ad avere accesso a dati sensibili. L’anello debole della catena è sempre l’uomo, che rende vano ogni tentativo di miglioramento e/o protezione dell’asset aziendale.
“Puoi investire milioni di dollari per il software, per l’hardware delle macchine e per dispositivi di sicurezza all’avanguardia, ma se c’è anche un solo dipendente dell’azienda che può essere manipolato con un attacco di ingegneria sociale, tutto il denaro investito sarà stato inutile”, sottolinea Kevin David Mitnick, l’hacker più famoso del mondo.
Non è possibile proteggere e controllare cose che non si conoscono: antivirus, firewall, dispositivi avanzati, policy aziendali avveniristiche sono sempre subordinati o controllati dall’essere umano.
Violazioni di dati, se la minaccia viene dall’interno: come limitare i danni
Secondo la nuova edizione del Rapporto Clusit 2021, gli attacchi gravi compiuti per finalità di “Cybercrime” sono aumentati del 21,1% e quelli riferibili a “Information Warfare” del 18,2%.
Il 25% degli attacchi riscontrati nel primo semestre è stato diretto verso l’Europa, a fronte del 7% nel 2020 e dell’11% nel 2019.
Le categorie principalmente colpite sono “Transportation/Storage” (+108,7%), “Professional, Scientific, Technical” (+85,2%) e “News & Multimedia” (+65,2%). Non mancano gli attacchi verso le categorie “Energy/Utilities” (+46,2%), “Government” (+39,2%), “Arts/Entertainment” (+36,8%) ed “Healthcare” (+18,8%).
Alcune aziende sono riuscite ad innalzare i propri livelli di protezione adottando strumenti come firewall o VPN, ma altre non sono riuscite a fornire ai loro dipendenti laptop aziendali. Molti lavoratori sono stati quindi obbligati a ricorrere a dispositivi personali e più vulnerabili. Il pc del dipendente è diventato l’endpoint. Il numero di attacchi indirizzati ai laptop personali è aumentato da 45.000 nel 2019 a ben 85.000 nel 2021.
Ecco quali sono le tecniche di social hacking più diffuse e come difendersi attraverso la formazione aziendale.
Social hacking: cos’è e da dove viene l’ingegneria sociale
L’ingegneria sociale viene definita come “l’arte dell’inganno, che esiste da tempo, anche quando non c’erano i computer.
È una forma di hacking in cui qualcuno usa la sua influenza per convincere qualcun altro a soddisfare le sue richieste, ricorrendo non solo all’inganno ma anche alla manipolazione psicologica.
Si possono spendere enormi somme di denaro in tecnologia, ma spesso questo è inefficace contro queste tecniche”.
Il social hacking non è unicamente associato al collegamento ad Internet: già alla fine degli anni ’50 esistevano i “pheraker” che rubavano informazioni vitali alle compagnie telefoniche americane e “giocavano” con le linee telefoniche come gli hacker moderni “giocano” con Internet.
Quando la compagnia telefonica statunitense AT&T – American Telephone and Telegraph Incorporated introdusse le chiamate dirette a lunga distanza completamente automatizzate, i pheraker intasarono la centrale attraverso dispositivi portatili capaci di generare toni acustici riconosciuti come messaggi di segnalazione da utenti remoti e in grado di stabilire i collegamenti desiderati.
Il phreaker divenne un vero e proprio hacker informatico, in grado di auto-costruire le più disparate apparecchiature che emulavano fedelmente i codici utilizzati e quindi continuavano a concedere l’accesso “libero” alle reti.
Con la diffusione dei BBS – Bulletin Board System, computer con un software che permetteva di connettersi a utenti esterni tramite la linea telefonica, il fenomeno assunse un ruolo ancor più pervasivo.
Per contattare uno specifico BBS occorreva effettuare una telefonata che raggiungesse la località in cui si trovava, attraverso connessioni point-to-point con i relativi costi di chiamata: i collegamenti più ambiti erano quelli internazionali o intercontinentali e la “caccia” di connessioni gratuite per accedere alle BBS più remote era un’attività abbastanza comune.
Verso la fine degli anni ’90, il phreaking vantava un buon numero di followers che con l’avvento di Internet si scambiavano informazioni sul funzionamento di centrali elettriche, cabine telefoniche e sui metodi migliori per “hackerarle”.
Il fenomeno del phreaking ha vissuto un periodo di “decadenza”, fino a scomparire completamente ed essere sostituito dall’ingegneria sociale.
Social hacking: come riconoscere un ingegnere sociale
L’ingegnere sociale è considerato dalla comunità come il più subdolo degli hacker: riesce ad ottenere quello che vuole chiedendolo.
Utilizza strumenti tecnico-informatici come crittografare i dati memorizzati sul disco della vittima per impedirle di accedere al sistema, o persino installare i Trojan ransomware (un tipo di cyberware progettato per estorcere denaro a una vittima).
È un abile truffatore che ha deciso di sfruttare i punti deboli dell’anello più vulnerabile, cioè gli esseri umani.
È estremamente curioso di ciò che è nascosto o addirittura proibito: il suo scopo principale è conoscere e scoprire, informare e divulgare.
Riconoscere un ingegnere sociale è quindi davvero difficile, perché potrebbe nascondersi dietro chiunque: potrebbe essere un semplice cliente o un esperto o, ancora, semplicemente il neoassunto.
Fermare e smascherare un ingegnere sociale è un compito impegnativo: la certezza assoluta della sua presenza si ha solo a compromissione avvenuta del sistema con relativa diffusione delle informazioni.
Per questo motivo, un ingegnere sociale potrebbe nascondersi dietro un abile oratore: non è necessariamente un guru o un esperto di informatica, ma sicuramente una persona acuta e abile sia nella comunicazione che nella manipolazione del carattere umano, capace di impersonare qualsiasi figura professionale e presentarsi come qualcuno di cui fidarsi.
Supponiamo, ad esempio, il caso di una chiamata improvvisa che ci costringe ad alzarci dalla nostra comoda poltrona per rispondere al telefono: Nicola, il segretario di un ambulatorio polispecialistico, vuole farci prenotare una visita di controllo.
Nicola è attento a fornire tutti i dettagli e, per ultimare la prenotazione, non ci resta che fornirgli i nostri dati personali: chiudiamo la chiamata e ci dimentichiamo di Nicola, che invece ha ottenuto i nostri dati.
Questi tipi di attacco sfruttano proprio la disponibilità e l’insicurezza delle persone ad accedere a dati riservati o inducono le vittime a svolgere determinate operazioni.
La vittima viene scelta sulla base di varie informazioni e in relazione all’attacco che l’ingegnere sociale vuole perseguire. Elementi chiave sono la vicinanza alle notizie da ottenere, la conoscenza e il rapporto tra l’utente e le politiche aziendali.
Fiducia e capacità di comunicazione sono i veri requisiti essenziali, piuttosto che le vere competenze IT. La vittima in questione, infatti, non si accorge nemmeno di essere attaccata e l’aggressore riesce a rubare informazioni piuttosto riservate, attraverso le quali cerca di monetizzare l’attacco.
Un punto fondamentale utilizzato da ogni ingegnere sociale è anche quello di sfruttare i bug presenti nei processi e nelle politiche aziendali. È infatti in grado di leggere e interpretare qualsiasi policy per trovare le lacune o semplicemente utilizzare il bug necessario per ottenere ciò di cui ha bisogno in modo anonimo e senza correre troppi rischi.
Un altro vantaggio è la velocità e la semplicità dell’attacco. L’ingegnere sociale non deve trovare bug del software, non deve clonare badge, non ha bisogno di analizzare i punti deboli di una rete. L’ingegnere sociale ottiene tutto ciò di cui ha bisogno semplicemente chiedendolo direttamente alla vittima.
Ne consegue che questo tipo di approccio è sicuramente più vantaggioso di altri perché comporta costi minimi, rischi contenuti, non necessita di certo di specialisti informatici, funziona con qualsiasi sistema operativo e soprattutto non necessita di networking, né lascia tracciabilità.
Social hacking: come funziona un attacco e quali sono le sue fasi
Gli step fondamentali dell’attività di un ingegnere sociale sono tre:
- la ricerca di un obiettivo (possibilmente un’azienda con un numero elevato di dipendenti)
- la selezione della potenziale vittima (il personale più sensibile sono le segretarie, i nuovi dipendenti o il dipendente più anziano)
- la creazione di un vero e proprio legame con la “preda”.
Solo dopo aver completato questi passaggi, il nostro hacker può dedicarsi al vero attacco.
In particolare, la sua attività si articola in quattro fasi:
- footprinting
- contact
- mind hacking
- escape
Il footprinting è il recupero iniziale delle informazioni sulla potenziale vittima, il contact è la creazione di un contatto reale con il target prestabilito, il mind hacking è la manipolazione della fiducia e del rapporto precedentemente instaurato, l’escape è la fuga con l’intento di dileguarsi, senza lasciare alcuna traccia.
Fase 1: il footprinting
Il recupero iniziale delle informazioni sulla potenziale vittima costituisce la prima parte dell’attacco. Una fase che può durare mesi, in cui l’ingegnere sociale studia e analizza i sistemi di comunicazione aziendale, il funzionamento della posta interna, i rispettivi giorni di pulizia e il comportamento del personale.
L’ingegnere sociale lavora sfruttando ciò che Mitnick chiama “il valore nascosto dell’informazione”: non importa che tu lo consideri inutile o irrilevante, perché qualsiasi dato può aiutarti a scoprire qualcosa di più rilevante e significativo. L’età, il nome dei tuoi figli, lo sport o l’hobby praticato: un ingegnere sociale ha la capacità di capitalizzare ogni singola informazione e investirla in nuovi attacchi più potenti e mirati.
La capacità di rubare informazioni personali, gusti, e/o hobby può aiutare ad avvicinarsi alla vittima e passare dall’essere un completo estraneo al diventare un amico con cui condividere del tempo o anche il collega ideale.
Oltre al personale devono essere valutati anche l’ambiente che circonda la vittima, il settore in cui opera l’azienda e i rapporti sia con i dipendenti che con i fornitori. Questo permetterà all’ingegnere di entrare negli spazi comuni, mescolarsi ai veri dipendenti e avvicinarsi silenziosamente, senza destare alcun tipo di sospetto.
Fase 2: il contact
Dopo aver raccolto tutte le informazioni in tempi e metodiche diverse, l’aggressore deve cercare di stabilire un contatto con il target, in genere un dipendente o qualcuno che lavora all’interno dell’azienda, con il quale deve essere stabilito un buon rapporto. La fiducia che l’ingegnere sociale acquisisce gradualmente verrà utilizzata per rivelare informazioni private che possono causare gravi danni al sistema.
Fase 3: il mind hacking
Per strutturare il comportamento della vittima, l’hacker ricorre a tecniche psicologiche di classificazione dei caratteri.
Non è un caso che l’ingegnere sociale sia spesso definito un “ottimo psicologo”, poiché è proprio questa stessa capacità che contribuisce ad aumentare l’intensità dell’attacco. Alla luce di ciò, le tecniche di social hacking, o meglio i cosiddetti “mind trick” sono molteplici, anche se condividono tutte una base strettamente psicologica.
In particolare, una delle tecniche più utilizzate è ad esempio quella del pretesto, che cerca di creare con la vittima un legame speciale all’interno di un ambiente artificiale (il pretesto, appunto), inducendola così a divulgare le informazioni necessarie.
Si tratta sostanzialmente di quella pratica che consiste nell’ottenere le informazioni personali della vittima e poi venderle a soggetti che potrebbero utilizzarle per ricevere un certo accreditamento con le credenziali acquisite, o addirittura per sottrarre i beni della persona in questione.
Fase 4: l’escape
Nell’ultima fase della “fuga”, l’ingegnere sociale copre le sue tracce, come sulla scena di un delitto, in modo da essere irreperibile e tornare nell’ombra senza dare la possibilità alla vittima e alle forze dell’ordine di ritrovarlo. È proprio per questo motivo che un buon ingegnere sociale non si espone mai troppo.
Social hacking: i trucchi psicologici più usati dall’ingegneria sociale
Ogni hacker si concentra sui tratti comportamentali specifici del target in modo da estrarre quante più informazioni possibili.
Tra questi spiccano:
- l’entusiasmo per una vittoria
- la paura dell’autorità
- il desiderio di essere utili
- la paura della perdita
- la pigrizia
- la conoscenza insufficiente
Nel primo caso, ipotizziamo che il signor X abbia ricevuto un’e-mail in cui viene informato della vincita di 1 milione di dollari. Deve controllare il documento allegato e inoltrare una mail all’indirizzo indicato.
Seguendo le istruzioni, dovrà disattivare l’antivirus in quanto potrebbe causare seri problemi di download, dovuto al fatto che il documento è stato firmato digitalmente.
Preso dall’entusiasmo, il soggetto esegue tutte le istruzioni, ma aprendo il documento criptato scopre che è danneggiato. Inutile dire che in questo modo ha scaricato un malware, dando al mittente della mail un accesso remoto al proprio sistema.
Nel secondo caso sono comprese quelle persone che si sentono intimidite dalla presenza di una figura autoritaria, ma non tanto dalla persona stessa, quanto piuttosto dalla posizione e dal potere che essa detiene. L’attaccante si attribuisce quindi a un ruolo autoritario, come quello di poliziotto, avvocato, medico o qualcuno che ha potere all’interno dell’azienda al fine di estrarre informazioni dalla vittima.
Il desiderio di essere utili, risolvendo le richieste di altre persone, aiuta invece a fornire molte informazioni, che altrimenti non verrebbero fornite a uno sconosciuto.
Il timore di una perdita si concretizza nel caso ipotetico in cui il signor X riceve una mail in cui viene indicato come vincitore di una grossa somma di denaro, prima di ottenere tale somma deve depositare $90.000 sul conto indicato, altrimenti 10 giorni dal ricevimento della mail. Se non deposita la somma, verrà estratto un altro vincitore. Il signor X ha paura di perdere questa opportunità, seguirà le istruzioni. Solo quando avrà già effettuato il deposito, si renderà conto di essere stato ingannato.
La pigrizia ci rende anche potenziali vittime, soprattutto se svolgiamo lavori che ci permettono di compiere solo un numero limitato di azioni, senza possibilità di modificare la procedura. Questi soggetti assumono quindi un atteggiamento rilassato al lavoro, diventando così bersagli sensibili in quanto potrebbero rivelare informazioni senza troppi sforzi.
A volte, per mancanza di preparazione, i dipendenti stessi non si sentono sicuri della loro conoscenza del proprio lavoro e quindi un ingegnere sociale cerca di trarne vantaggio, creando un senso di urgenza, non dando al dipendente molto tempo per pensare e capire che in effetti è sotto attacco.
Un altro scenario utile potrebbe essere quello di simulare un incontro casuale in cui si finge di vivere la stessa brutta situazione della vittima (problemi emotivi, problemi familiari, difficoltà lavorative). Questo approccio può spingere la barriera della sfiducia, consentendo all’hacker di entrare in contatto con la vittima.
Un altro espediente che può essere considerato è quello del cosiddetto Human Buffer OverFlow.
Stiamo parlando della tecnica che viene spesso utilizzata in guerra, ad esempio quando c’è un indebolimento dell’attenzione, viene inserito un input frettoloso in modo che la vittima sia disorientata e confusa e abbia maggiori probabilità di cadere nella trappola. Questo ci basta per dedurre quanto sia importante gestire i tratti emotivi della relazione con la vittima.
Anche il principio di autorità è estremamente diffuso, soprattutto nell’ambito della frode. Consiste nella tecnica dell’intimidazione da parte di una falsa autorità creata ad hoc dall’ingegnere sociale. In particolare, esempi emblematici potrebbero essere citare un esperto del settore, in una situazione difficile; per sottolineare la differenza di grado e autorevolezza ed elencare personaggi famosi che hanno preso la stessa decisione che l’ingegnere sociale vuole che prendiamo.
Social hacking: la toolbox dell’ingegneria sociale
Come ogni hacker, anche l’ingegnere sociale possiede la sua toolbox, particolarmente ricca in termini di mezzi per cercare e organizzare le informazioni, che funge da supporto nei momenti critici.
La scelta di strumenti particolari rispetto ad altri sarà effettuata sulla base del tipo di social hacking di cui parliamo.
In particolare, ci sono due tipi principali: ingegneria sociale umana e ingegneria sociale digitale.
Gli strumenti dell’ingegneria sociale umana
L’ingegneria sociale umana è il metodo classico, il migliore, ma anche il più difficile da mettere in pratica. L’aggressore deve avere capacità di improvvisazione, deve essere loquace e in grado di stabilire un rapporto di fiducia con uno sconosciuto.
A questo punto, l’ingegnere sociale potrà ricorrere a tecniche come l’eavesdrop o il wiretap.
L’eavesdrop è l’ascolto di una conversazione segreta, o anche di un’intervista che non dovrebbe essere ascoltata poiché può rivelare informazioni importanti. Non ci sono regole particolari per eseguire questa tecnica; fingere di essere totalmente disinteressati è la soluzione più naturale ed efficace.
Il wiretap sono le intercettazioni che possono essere messe in pratica anche attraverso la messaggistica istantanea, le chiamate VoIP e gli scambi di posta elettronica.
Altre tecniche degne di nota sono lo shoulder surfing e il dumpster diving.
Lo shoulder surfing è l’attività di spionaggio di ciò che il soggetto digita sulla tastiera con lo scopo di forzare informazioni sensibili, come password e codici di accesso.
Il dumpster diving consiste nel cercare informazioni utili all’interno della spazzatura dell’azienda considerata: una pratica illegale nella maggior parte dei paesi occidentali, Italia compresa.
La toolbox dell’ingegneria sociale digitale
Il social hacking digitale si basa invece sull’uso del computer e comprende
- Phishing
Tipo di truffa su Internet con cui un aggressore cerca di ingannare la vittima, convincendola a fornire informazioni personali sensibili. Nello specifico, si tratta dell’invio di mail contenenti un vettore di attacco al fine di installare software dannosi per dati rilevanti.
- Hoax letter
Gli hoax letter sono, letteralmente “messaggi burla” che avvisano della presenza di virus. Falsi alert con l’intento di far percepire alla vittima una situazione di pericolo. In questo caso, l’utente verrà spinto a scaricare una (falsa) applicazione antivirus proprio per “proteggere” il sistema.
- Chain letter
Altrimenti dette come “Catene di S.Antonio”. L’hacker notifica alla vittima di aver vinto un premio a cui potrà accedere solamente se clicca su un certo tasto, oppure sul link indicato, ovvero inoltrando il messaggio a un certo numero di persone a lei collegate. In questo modo non si fa altro che aumentare l’impatto della diffusione dello strumento malevolo.
- Finestre di pop-up
Messaggi che appaiono sul sistema della vittima che la invitano a cliccare sul link, in seguito a un (falso) problema, come un virus e/o l’interruzione della connessione di rete.
Nella maggior parte dei casi, se l’utente non è ben informato, può facilmente confondersi e cliccare sul link, eseguendo il vettore malevolo.
Altri strumenti che un buon ingegnere sociale deve avere sempre a portata di mano, soprattutto se si occupa di attacchi in ambito aziendale sono:
- Key-ghost
È un dispositivo che registra la digitazione dei tasti premuti, tracciando ciò che viene scritto sulla tastiera. Per installare questi dispositivi, l’aggressore deve avere accesso fisico al PC da controllare. La versione base può durare 10 giorni (fino a circa 97000 tasti premuti) prima che la sua memoria sia completamente riempita. Inoltre, al fine di interrompere l’attacco in qualsiasi punto del processo, è necessario predisporre controlli di accesso all’area in cui sono presenti le postazioni di lavoro.
- Bedbugs
Letteralmente, “cimici”, ovvero microspie. Giocano un ruolo importante in quanto possono essere utilizzate per prevedere le mosse della vittima con largo anticipo.
- Baiting
È un’altra tecnica per rubare dati ed eseguire truffe, basata sulla più grande debolezza, o forza, della natura umana: la curiosità. Basti pensare al caso in cui troviamo una penna USB per terra o un CD con una bella etichetta invitante. Se lo proviamo, troveremo un virus che può essere utilizzato dal truffatore per accedere e spiare segretamente il nostro computer.
Social hacking: gli strumenti di formazione per difendersi
Le aziende pubbliche o private hanno a disposizione diversi strumenti per difendersi da potenziali “violazioni” della sicurezza di dati rilevanti e/o sensibili, garantendo il più possibile riservatezza, disponibilità e integrità delle informazioni.
Il GDPR prevede il ricorso a dei programmi mirati di formazione obbligatoria.
Anche la Direttiva europea 2016/1148 sulla sicurezza delle reti e dei sistemi informativi, meglio nota come Direttiva NIS, definisce per gli Operatori di Servizi Essenziali le linee guida per la gestione dei rischi, la prevenzione e la mitigazione degli incidenti che hanno un impatto considerevole sulla continuità e sulla fornitura dei servizi essenziali. La formazione del personale affinché sia adeguatamente sensibilizzato sui rischi di Cyber Security e sulle pratiche da adottare è l’elemento imprescindibile.
Il National Institute of Standards and Technology (NIST) non è da meno in quanto sottolinea il bisogno di promuovere un’adeguata cultura della sicurezza per il personale.
Tralasciando quei comportamenti che, seppur banali, possono incidere ampiamente sulle capacità di fronteggiare un’eventuale minaccia quali la scelta di aggiornare o meno periodicamente il proprio sistema operativo, la navigazione su siti non sicuri, l’apertura di allegati dannosi ricevuti via e-mail, il download di programmi di dubbia provenienza, il mancato ricorso ad antivirus adeguati, esistono dei validi metodi per garantire la business continuity aziendale.
Di seguito, alcune soluzioni che si possono utilizzare per incentivare la consapevolezza dei dipendenti rispetto al social hacking.
Campagne di Ethical Phishing
Una volta premuto il link malevolo o aperto l’allegato contenente il malware, l’utente riceve un messaggio di notifica dell’esercitazione e accede a pillole formative per evitare che lo stesso comportamento si presenti anche in futuro.
GoPhish è un tool disponibile per tutte le piattaforme, tra cui Windows, Mac OSX e Linux. Si tratta di uno strumento in grado di realizzare la simulazione di una campagna di attacco phishing, dando l’opportunità di effettuare una sessione di formazione pratica per il personale.
Gamification
Strumento interattivo che prevede la diffusione di messaggi formativi per aumentare la consapevolezza dei dipendenti. Una riunione di follow-up guidata da un cyber-trainer per fissare i concetti appresi durante l’esperienza potrebbe essere un valido metodo di apprendimento.
Ad esempio: Marco, dipendente di un’azienda che si occupa di trasporti e logistica, arriva in ufficio e accede alla rete intranet aziendale.
La password è scaduta e il sistema gli chiede di aggiornarla. Marco opta per una password complessa e di conseguenza molto sicura e proprio per questo riceve 50 punti sicurezza che vanno a sommarsi a quelli già ottenuti: gli mancano 100 punti per passare dal livello 2 al livello 3. Il sistema, per aiutare Marco a memorizzare la password, gli propone un mini gioco che consta nell’inserire la password più volte a una velocità sempre maggiore. Marco completa il gioco arrivando a scrivere la password in meno di 4 secondi. Riesce così a guadagnare altri 50 punti, portandosi alla seconda posizione della classifica del suo team.
Il suo collega Luca, che ha ricevuto la notifica del nuovo punteggio di sicurezza di Marco, gli manda un messaggio per ricordargli che al primo posto della classifica c’è ancora lui. Marco apre la posta e scopre di aver ricevuto un’email e ne riconosce un possibile phishing. Al posto di cestinarla, Marco usa il pulsante di segnalazione di phishing: questo gli vale ben 100 punti e il raggiungimento del livello 3. Il sistema lo festeggia con una piccola animazione e lo informa che potrà convertire i suoi punti in un buono da € 40 da spendere al negozio di elettronica convenzionato con la sua azienda, oppure in una ricarica gratuita della chiavetta per la macchina del caffè. Il suo collega Luca lo ricontatta e gli promette che si riprenderà la vetta della classifica al più presto.
In questo modo, sono stati premiati una serie di comportamenti virtuosi come la creazione di una password sicura, la memorizzazione di una password complessa, e la segnalazione di un pericolo di phishing, senza tralasciare il fatto di aver incentivato i colleghi ad assumere altrettanti comportamenti virtuosi.
Conclusioni
Per difendersi dal social hacking, vanno adottate misure che propongano un linguaggio semplice, alla portata di tutti. È preferibile che le sessioni siano di breve durata, così da non disperdere la concentrazione dell’utente.
La formazione va intesa come strumento continuativo al fine di far percepire che il rischio è una minaccia sempre latente, silente e subdola, pronta a palesarsi quando meno ce lo si aspetta.
Le aziende sono chiamate a modificare il loro approccio, investendo in una formazione periodica, diversificata, e concentrata principalmente sul fattore umano.
