Ho rinunciato a un’ora pagata. Forse ho fatto bene

Ho perso l’occasione di guadagnare qualche centinaio di euro (diciamo un bel buono Amazon) per un’ora di chiacchiere sul software che usiamo per le risorse umane? Forse. Ma è stata un’esperienza interessante, e ve la racconto.

Sono certificato ICT Security Manager dal 2018 e mi occupo di sicurezza da molto prima. Quando le richieste hanno cominciato ad arrivare, la curiosità ha vinto: ho dato corda, ho fatto domande, ho voluto vedere dove andavano a parare.

Una sera di metà ottobre, nel giro di due ore e mezza, mi arrivano tre email da tre reti di esperti diverse, più un messaggio su LinkedIn. Il tema è sempre lo stesso: il mercato italiano dei software per le risorse umane e le buste paga, e in particolare la piattaforma che usiamo noi.

Il giorno dopo arrivano i solleciti, ognuno con qualche dettaglio in più. Quattro giorni più tardi si aggiunge una quarta rete, con un messaggio in italiano, e la prima torna alla carica con un “time-sensitive” e un “scusi la mia insistenza”.

In mezzo, quattro telefonate da numeri statunitensi in cinque minuti. Non ho risposto. Quando l’ho chiesto, la rete che mi scriveva su LinkedIn mi ha risposto che non erano loro.

Le proposte si somigliavano molto:

• una call di 30–60 minuti, pagata “alla tariffa che indichi tu”;
• un modulo di registrazione con qualche domanda preliminare, non pagata;
• un cliente che non si può nominare, “del mondo degli investimenti”;
• le domande: quale piattaforma usate, con cosa l’avete confrontata, chi decide gli acquisti, da quanto la usate.

Ho risposto a una di loro e ho chiesto due cose: chi è il cliente, e come avete avuto il mio contatto.

Sul cliente: non si può dire, è un investitore che sta facendo una ricerca. E aggiungono una frase che, devo ammetterlo, è onesta: capita spesso che più reti lavorino nello stesso momento sullo stesso tema.

Sul contatto: “da fonti professionali pubblicamente disponibili”. Una delle altre reti è stata più precisa: mi ha scritto di aver letto la mia testimonianza sul sito del fornitore.

Ecco il punto. Il materiale di partenza gliel’avevo dato io.

Le reti di esperti esistono, sono legali e sono un mercato vero. Fondi e investitori, prima di comprare un’azienda o di investirci, parlano con decine di persone che conoscono il settore: clienti, ex dipendenti, concorrenti. Spesso usano più reti in parallelo, ed è quasi certamente quello che è successo: qualcuno sta valutando una piattaforma HR italiana, o i suoi concorrenti.

Quindi no, non ho elementi per dire che fosse una truffa. E non ho elementi per collegare il fornitore che usiamo a queste richieste: è citato, non è il mittente.

Perché lo stesso schema, identico, funziona benissimo anche per altro.

Il nome di queste reti viene usato da altri. Una delle più grandi lo scrive sul proprio sito: persone non autorizzate usano il suo nome per falsi reclutamenti, con lo scopo di ottenere denaro o informazioni riservate. Il consiglio è di rispondere solo a indirizzi verificati.

Lo usano anche i servizi di intelligence. A giugno 2026 le agenzie di sicurezza dei Five Eyes (Stati Uniti, Regno Unito, Canada, Australia, Nuova Zelanda) hanno pubblicato un avviso congiunto, “Safeguarding Our Secrets”. Descrive agenti che si presentano come finte società di consulenza, think tank o società HR su LinkedIn e siti di lavoro, offrono incarichi pagati e chiedono via via informazioni “non pubbliche”. Il passaggio più interessante dice che anche informazioni non riservate possono essere raccolte e combinate fino a formare un quadro completo.

Nel mio caso nessuno mi ha chiesto una password o un documento interno. Mi hanno chiesto che software usiamo, con cosa l’abbiamo confrontato, chi decide e da quanto lo usiamo. Ogni risposta, presa da sola, è innocua. Messe insieme, raccontano come funziona un’azienda: chi chiamare, cosa dire, quale fornitore imitare in un’email di phishing credibile.

E c’è un dettaglio che rende queste informazioni più preziose di quanto sembri. Il software HR non è un’isola: da noi, per esempio, è collegato ad altri strumenti di lavoro, come il calendario del team. Sapere quale piattaforma usi significa sapere da dove passano dati personali, presenze e assenze.

Nessuno, da solo, prova qualcosa. Tutti insieme meritano attenzione.

Non serve diventare sospettosi di tutto. Serve un piccolo metodo.

1. Verifica chi ti scrive su un canale indipendente. Non rispondere al messaggio: cerca tu il sito ufficiale della società, controlla che l’indirizzo email sia quello vero, e se serve chiama il numero che trovi tu.
2. Non compilare moduli di “screening” prima di aver verificato. Le domande preliminari sono già la raccolta di informazioni.
3. Un compenso non è una garanzia. Anzi: è il modo più semplice per rendere credibile una richiesta.
4. Pensa a cosa pubblichi. Testimonianze, casi di successo, ruoli e fornitori sul profilo LinkedIn: sono utili al marketing, ma sono anche la mappa che usa chi ti cerca.
5. In azienda, decidete chi può fare queste call e su cosa. Basta una regola semplice: prima di parlare dei nostri fornitori e dei nostri processi con un esterno, se ne parla con chi si occupa di sicurezza.

Ho declinato, con gentilezza ma senza giri di parole: ho scritto che ricevere in una settimana richieste così simili da persone diverse mi sembra uno schema da non assecondare, e ho chiesto di non essere ricontattato su questa ricerca.

Forse dall’altra parte c’era solo un analista con una scadenza. Ma il punto non è indovinare chi c’era: è non dover indovinare.

Il buono Amazon può aspettare.

E a voi è capitato? Avete ricevuto anche voi, nelle ultime settimane, richieste così concentrate su un tema preciso?

• Five Eyes (ASIO, CSIS, FBI, MI5, NZSIS), Safeguarding Our Secrets, giugno 2026 (versione FBI/IC3, PDF)
• The Record: Five Eyes warns Chinese spies are using job sites to recruit insiders
• GLG, Cyber Risk and Fraudulent Activity Disclosures — una delle grandi reti di esperti sull’uso illecito del proprio nome
• Expert network, Wikipedia — come funzionano le reti di esperti