Esplorando gli abissi dell’ingegneria sociale: dalla definizione alle tattiche d’attacco di alto livello!

Sandro Sana : 29 Settembre 2023 07:07

Nel vasto universo della sicurezza informatica, l’ingegneria sociale emerge come una minaccia subdola che sfrutta le vulnerabilità umane per accedere a informazioni riservate o perpetrare frodi. La definizione di ingegneria sociale nel contesto della sicurezza informatica è chiara: essa consiste nell’uso di mezzi ingannevoli per manipolare un individuo, spingendolo a rivelare informazioni riservate o personali che potrebbero poi essere sfruttate per scopi fraudolenti.

Questo tipo di attacco può variare notevolmente in complessità, dalla truffa più semplice all’uso di metodi sofisticati. Nella sua essenza, l’ingegneria sociale coinvolge l’invio di messaggi fraudolenti o la presentazione di informazioni ingannevoli al fine di convincere le persone a compiere azioni non desiderate o a condividere dati sensibili.

Le Tecniche dell’Ingegneria Sociale

Supporta Red Hot Cyber attraverso

• L'acquisto del fumetto sul Cybersecurity Awareness
• Seguendo RHC su WhatsApp
• Seguendo RHC su Telegram

L’ingegneria sociale si manifesta in molte forme diverse:

1. Pretesto: Coinvolge la presentazione di un’identità falsa o di un background fittizio per ottenere informazioni sensibili o indurre le vittime a compiere azioni compromettenti. Questa tecnica costituisce il cuore dell’ingegneria sociale;
2. Esca: Gli aggressori offrono false promesse o incentivi per trarre in inganno le vittime, rubare informazioni sensibili o diffondere malware;
3. Phishing: Gli aggressori inviano e-mail di massa con l’obiettivo di ottenere l’accesso a informazioni sensibili facendo clic su link o allegati dannosi;
4. Spear Phishing: Questo metodo coinvolge l’invio di messaggi di phishing mirati, spesso personalizzati, da parte di mittenti noti o fidati per ingannare vittime specifiche;
5. Whale Phishing: È una variante del spear phishing che prende di mira obiettivi di alto valore, come dirigenti o personale finanziario chiave. L’aggressore utilizza informazioni raccolte in precedenza sull’obiettivo per fornire un pretesto credibile;
6. Phishing Vocale o Phishing tramite Chiamata: Gli aggressori cercano di ottenere informazioni sensibili attraverso chiamate vocali o messaggi di testo invece che tramite e-mail;
7. Business Email Compromise (BEC): Qui, gli aggressori compromettono account di posta elettronica aziendale e si fanno passare per il legittimo proprietario per indurre altri a inviare denaro o dati sensibili all’aggressore;
8. Spoofing Informatico: Questa tecnica coinvolge l’inserimento di codice in computer o server per indurre gli utenti a visitare siti Web dannosi;
9. Tailgating o Piggybacking: Gli attori malintenzionati ottengono accesso fisico a strutture sicure seguendo da vicino dipendenti autorizzati attraverso i controlli di sicurezza;
10. Dumpster Diving: Gli aggressori cercano informazioni utili tra i rifiuti di un’organizzazione per scopi di attacco.

Come queste tattiche operano nella pratica

Nella pratica, gli aggressori spesso si fingono affiliati a organizzazioni di fiducia, come banche o fornitori di servizi. Utilizzano loghi e indirizzi e-mail ufficiali per guadagnare fiducia. Una volta ottenuta la fiducia, cercano informazioni come credenziali di accesso o dati personali.

Alcuni trucchetti comuni includono la creazione di scenari di paura per convincere le vittime a cliccare su link dannosi o a rivelare informazioni sensibili. Possono minacciare conseguenze negative, come il blocco permanente dell’account o multe.

Inoltre, con l’avvento delle tecnologie avanzate, gli aggressori possono personalizzare ulteriormente i loro attacchi. Ad esempio, possono utilizzare informazioni reperite sui social media per sembrare più autentici o approcciare le vittime in modo mirato.

Come difendersi dall’Ingegneria Sociale

Per proteggersi dagli attacchi di ingegneria sociale, è fondamentale seguire alcune migliori pratiche:

1. Formazione sulla Consapevolezza della Sicurezza: La formazione regolare e diversificata è essenziale per educare gli utenti a riconoscere gli attacchi di ingegneria sociale;
2. Test di Sicurezza: Effettuare test di sicurezza regolari per valutare la capacità degli utenti di riconoscere e resistere agli attacchi simulati;
3. Cultura sulla Consapevolezza del rischio informatico: Coltivare una cultura aziendale di sano scetticismo e consapevolezza sulla sicurezza informatica;
4. Facilitare la Segnalazione: Creare sistemi di segnalazione semplici per gli utenti per poter riportare attività sospette;
5. Autenticazione a Più Fattori: Richiedere più credenziali di autenticazione per proteggere l’accesso ai dati sensibili e rendere attiva la Multi Factor Authentication (MFA) laddove possibile;
6. Monitoraggio degli Account Privilegiati: Controllare attentamente gli account con accesso privilegiato;
7. Utilizzare Tecnologie di Autenticazione Avanzate: Oltre all’MFA, utilizzare tecnologie come l’UEBA (Analisi comportamento utenti ed entità) per rilevare comportamenti anomali;
8. Gateway di Posta Elettronica Sicuro: Utilizzare un gateway di posta elettronica sicuro per filtrare e rilevare e-mail dannose;
9. Aggiornamenti Software: Mantenere sempre aggiornati software, e sistemi anti-malware;
10. Equilibrio tra Sicurezza e Produttività: Trovare un equilibrio tra sicurezza e produttività per evitare l’eccessiva paranoicità che rallenta i processi aziendali.

In sintesi, l’ingegneria sociale si erge come un nemico persistente che richiede una sinergia di formazione, tecnologie all’avanguardia e una costante vigilanza per scongiurare minacce con successo.

Va da se che per resistere all’ingegneria sociale occorre una buona dose di consapevolezza del rischio informatico. Pertanto risulta importante che il personale aziendale avvii un percorso per poter essere resistente a questo genere di attacchi che possono essere molto sofisticati e spesso arginabili solo con una corretta cultura del rischio.

Sandro Sana
Laureato in Ingegneria Informatica e in Scienze della Comunicazione, si occupa d'Information Technology dal 1990, negli anni ha lavorato con aziende di diverso tipo dalle PMI alle Enterprise e la PA. Dal 2003 inizia ad interessarsi di comunicazione, PNL e Public Speaking. Nel 2014 si specializza in scouting e R&D di soluzioni in ambito Cybersecurity. CEH - EC-Council Certified Ethical Hacker, CIH EC-Council Certified Incident Handler, CISSP - Certified Information Systems Security Professional, relatore a SMAU 2017 e SMAU 2018, docente SMAU Academy & ITS, membro dell'Associazione Informatici Professionisti dal 2017 e Coordinatore per la regione Friuli-Venezia Giulia per AIP-ITCS. Membro CLUSIT e giornalista presso RedHot Cyber, Cybersecurity360 & Digital360. Consulente framework CIS, NIST e ENISA.