Social engineering e phishing

Gli attacchi di ingegneria sociale prendono di mira le persone, non la tecnologia. Invece di superare i firewall, l’attaccante induce una persona a fornire informazioni, accesso o denaro sfruttando fiducia, paura, curiosità o disponibilità ad aiutare.

Spesso è il modo più semplice per entrare: perché violare una password quando si può convincere qualcuno a consegnarla spontaneamente? Le persone sono spesso l’anello più debole della sicurezza.

Il phishing è l’attacco di ingegneria sociale più comune: email o messaggi fraudolenti che sembrano provenire da una fonte attendibile e inducono le vittime a fare clic su link dannosi, aprire allegati infetti o inserire le credenziali in siti falsi.

Un’email di phishing può imitare la banca o il reparto IT dell’utente, creando un senso di urgenza per spingerlo ad agire prima di riflettere. Viene inviata a molte persone contemporaneamente, gettando una rete ampia.

Le varianti mirate sono più pericolose. Lo spear phishing adatta il messaggio a una persona specifica usando informazioni che la riguardano, rendendolo molto più convincente. Il whaling prende di mira dirigenti di alto profilo, come gli amministratori delegati.

Poiché questi messaggi sono personalizzati e frutto di ricerche approfondite, sono molto più difficili da riconoscere rispetto al phishing generico e spesso hanno successo là dove le campagne di massa falliscono.

Il phishing non avviene solo tramite email. Il vishing (voice phishing) utilizza telefonate, ad esempio quelle di un falso addetto all’assistenza che cerca di ottenere le password. Lo smishing (SMS phishing) utilizza messaggi di testo contenenti link dannosi.

Gli attaccanti si distribuiscono su più canali perché le persone possono diffidare di un’email sospetta, ma rispondere tranquillamente a una telefonata o toccare un link in un messaggio, soprattutto se sembra urgente.

Il pretesto consiste nell'inventare uno scenario credibile per ottenere informazioni, ad esempio fingendosi un tecnico dell'assistenza IT che deve verificare le Sue credenziali di accesso per risolvere un problema. L'impersonificazione consiste nel fingere di essere una persona fidata, di persona o da remoto.

Il contesto costruito abbassa la guardia della vittima e la induce ad accettare richieste che normalmente metterebbe in dubbio.

Una parte del social engineering si svolge sul piano fisico. Il tailgating (o piggybacking) consiste nel seguire una persona autorizzata attraverso una porta protetta senza utilizzare il badge. Lo shoulder surfing consiste nell'osservare qualcuno mentre digita una password o un PIN.

Il dumpster diving consiste nel recuperare informazioni sensibili da documenti e dispositivi gettati via. Questi esempi ricordano che la sicurezza richiede attenzione anche all'ambiente fisico, non solo ai computer.

Il baiting mette in mostra qualcosa di allettante, ad esempio una chiavetta USB con l'etichetta Payroll lasciata in un parcheggio, nella speranza che una persona curiosa la colleghi e infetti il proprio dispositivo.

Il quid pro quo offre un vantaggio in cambio di informazioni o accesso, ad esempio un falso tecnico dell'assistenza che promette aiuto se gli viene concesso l'accesso remoto. Entrambi sfruttano il desiderio umano di ottenere un vantaggio o assistenza.

Il social engineering ha successo perché sfrutta la psicologia: autorità (obbediamo a chi sembra avere il comando), urgenza (agiamo rapidamente sotto pressione), paura, fiducia e disponibilità ad aiutare.

Riconoscere questi fattori scatenanti è la prima difesa. Quando un messaggio La spinge ad agire immediatamente o ad aggirare le procedure normali, la pressione stessa è un segnale d'allarme che invita a fermarsi e riflettere.

Le difese migliori sono di tipo umano e procedurale:

• Formazione sulla consapevolezza della sicurezza, affinché gli utenti riconoscano gli attacchi.
• Procedure di verifica, come richiamare un numero noto prima di agire in risposta a una richiesta.
• Autenticazione a più fattori, così una password rubata da sola non è sufficiente.
• Una cultura in cui mettere in discussione le richieste sospette sia incoraggiato, non punito.

Tra i segnali d'allarme ci sono un'urgenza imprevista, saluti generici, errori di ortografia e grammatica, indirizzi del mittente insoliti o non corrispondenti, link la cui destinazione effettiva differisce dal testo e richieste di credenziali o pagamenti.

Passare il mouse su un link per controllare il suo URL reale prima di fare clic e verificare le richieste insolite tramite un canale separato bloccano sul nascere la maggior parte dei tentativi di phishing.

Il social engineering attacca le persone, non le macchine, utilizzando phishing (e spear phishing, whaling, vishing, smishing), pretesti, baiting, tailgating e altro ancora. Sfrutta autorità, urgenza, paura e fiducia. Le difese sono soprattutto umane: formazione sulla consapevolezza, procedure di verifica e autenticazione a più fattori.

Metta alla prova le Sue conoscenze sul social engineering.

Il social engineering manipola le persone invece della tecnologia. Il phishing e le sue varianti (spear phishing, whaling, vishing, smishing), oltre a pretesti, baiting e tailgating, sfruttano autorità, urgenza e fiducia. Le difese sono umane: formazione sulla consapevolezza, procedure di verifica e autenticazione a più fattori.