Con il termine shoulder surfing si indica una tecnica di spionaggio che consiste nell’osservare direttamente una persona mentre inserisce dati sensibili, come password, PIN o informazioni riservate, guardando letteralmente “sopra la spalla”.

Il significato dello shoulder surfing è quindi molto chiaro: non serve hackerare un sistema o sfruttare vulnerabilità tecnologiche, basta trovarsi nel posto giusto al momento giusto. Ed è proprio questa semplicità a rendere il fenomeno ancora oggi estremamente diffuso, soprattutto in contesti pubblici e lavorativi.

Dall’osservazione diretta al furto di dati: come funziona lo shoulder surfing

A differenza degli attacchi informatici tradizionali, lo shoulder surfing sfrutta il fattore umano. L’attaccante osserva una vittima mentre utilizza un computer, uno smartphone o un bancomat, memorizzando ciò che viene digitato o visualizzato sullo schermo.

Può avvenire in molti contesti comuni: uffici condivisi, open space, bar, mezzi pubblici, aeroporti o reception aziendali. Anche una semplice distrazione può essere sufficiente per esporre credenziali di accesso, codici temporanei o informazioni riservate.

Comprendere davvero cos’è lo shoulder surfing aiuta a superare l’idea che la sicurezza sia solo una questione di software: spesso il punto debole non è il sistema, ma il comportamento quotidiano delle persone.

Tipologie di shoulder surfing: non tutte sono uguali

Anche se il principio è sempre lo stesso, possiamo distinguere diverse modalità di shoulder surfing:

• Osservazione diretta: l’attaccante guarda fisicamente lo schermo o la tastiera mentre la vittima inserisce i dati.
• Uso di dispositivi: telecamere, smartphone o smartwatch possono essere usati per registrare informazioni senza farsi notare.
• Ambienti condivisi: uffici open space o postazioni non schermate facilitano l’accesso visivo a dati sensibili.

Queste varianti dimostrano come lo shoulder surfing non sia un rischio marginale, ma una minaccia concreta soprattutto per aziende che gestiscono informazioni critiche.

Come ridurre il rischio di shoulder surfing in azienda

È fondamentale partire dalla protezione degli asset informativi, chiedendosi quali dati debbano rimanere riservati, chi può accedervi e in quali contesti vengono utilizzati. 

Senza una mappatura chiara di queste informazioni, prevenire esposizioni accidentali diventa estremamente difficile. 

Dal punto di vista operativo, esistono diverse misure efficaci che aiutano a ridurre il rischio, come l’utilizzo di filtri privacy per gli schermi, il blocco automatico dei dispositivi quando non vengono utilizzati, l’adozione dell’autenticazione a più fattori e una maggiore attenzione agli ambienti pubblici o condivisi. 

Tuttavia, la tecnologia da sola non è sufficiente: come accade per molte minacce legate alla sicurezza, anche nello shoulder surfing il fattore umano gioca un ruolo centrale.

Il ruolo della formazione e della consapevolezza

Molti incidenti avvengono perché le persone non percepiscono il rischio. Inserire una password davanti a colleghi o estranei viene spesso considerato innocuo, ma può avere conseguenze serie.

Formare il personale a riconoscere situazioni pericolose, adottare buone pratiche e mantenere alta l’attenzione è uno degli strumenti più efficaci per prevenire il shoulder surfing. La sicurezza informatica non è solo una questione tecnica, ma culturale.

Da dove partire

Affrontare minacce come lo shoulder surfing richiede un approccio strutturato che unisca tecnologia, processi e persone. Non tutte le aziende hanno le competenze interne per valutare correttamente i rischi legati alla protezione delle informazioni, soprattutto quelli meno evidenti ma altrettanto pericolosi.

Verxo supporta le aziende nell’analisi della postura di sicurezza, nella definizione di policy efficaci e nella formazione del personale per ridurre l’esposizione a minacce fisiche e digitali.

Vuoi capire se la tua organizzazione è esposta a rischi di shoulder surfing e come prevenirli in modo concreto?

Contattaci per una valutazione e scopri come proteggere dati, persone e processi in modo più consapevole.