Cos'è e come difendersi dall'ingegneria sociale

Ingegneria sociale: cos'è e come riconoscerla

L’ingegneria sociale, o Social Engineering, è una subdola tecnica di intrusione nei sistemi informatici e negli account degli utenti, persone o aziende che siano. Subdola perché non ha nulla a che vedere con i malware con cui gli hackers fanno vittime: si tratta infatti di una tecnica che mescola ingegneria e psicologia. L’hacker che fa uso di questa tecnica viene definito ingegnere sociale e il suo lavoro consiste nello studiare i comportamenti degli utenti, entrare in contatto ed empatizzare con loro, rendendoli inconsapevolmente vulnerabili. Lo scopo dell’ingegneria sociale è quello di entrare nelle grazie dell’utente, conquistando la sua fiducia per ottenere dati sensibili.  

Scopri come possiamo proteggere i tuoi sistemi informatici!

 PREVENZIONE ATTACCHI INFORMATICI

Tecniche di ingegneria sociale

La fase principale per mettere a segno un colpo è lo studio del soggetto: il malintenzionato di cui sopra analizza i comportamenti degli utenti, le loro abitudini e gusti personali, poi sceglie la vittima da colpire e inizia ad instaurare un rapporto con la stessa, a volte mostrandosi autorevole, a volte agendo sulla paura, altre volte sul senso di colpa o sull’ignoranza della persona. In ogni caso lo scopo è far agire la vittima in prima persona facendole rivelare informazioni personali, quasi senza rendersene conto.  

Le tattiche dell’ingegneria sociale

A seconda del tipo di vittima, della sua condizione sociale e del suo profilo psicologico, l’attacco verrà sferrato con l’utilizzo di tattiche differenti. I mezzi che l’ingegnere sociale sfrutta sono ormai di uso comune e quotidiano:

• smartphone
• email
• siti web
• app di messaggistica
• social network

Vediamo nel dettagli i diversi metodi utilizzati.  

Impersonation

Con questa tecnica, l’hacker si presenta sotto falsa identità per richiedere alla vittima informazioni personali, dati di accesso a sistemi, o accesso ad aree e locali riservati.  

Phishing

Si tratta di messaggi di posta elettronica in cui vengono richieste conferme sui propri dati. Apparentemente arrivano da fonti fidate, infatti potrebbe sembrare una mail inviata dalla propria banca in cui viene richiesto di cliccare su di un link per confermare le proprie credenziali, Così facendo, ovviamente, l’utente verrebbe dirottato su un sito falso che registrerebbe le credenziali ed il gioco, anzi il danno, è fatto!  

Pretexting

Questa tattica di ingegneria sociale sfrutta un pretesto per richiedere alla vittima di accedere ad un sistema per poter registrare le sue credenziali. Anche in questo caso la fonte del messaggio appare fidata ed autorevole.  

Baiting

Il baiting (letteralmente: adescamento) è una tecnica di social engineering che sfrutta la curiosità delle persone e viene messa in atto nelle aziende. Immagina una grande compagnia con tanti dipendenti e tanti computer ed una chiavetta USB, infetta da malware, lasciata in giro, possibilmente su una scrivania: quanti chiederanno “Di chi è?” e quanti invece inseriranno la chiavetta nel proprio pc aziendale infettando tutto il sistema e permettendo così all’hacker di proseguire con le proprie pratiche illecite?  

Reverse social Engineering

Questo modus operandi si articola in 3 step:

• Sabotaggio: si crea un problema ad un rete.
• Interazione: il “buon” ingegnere sociale si presenta come il salvatore, il risolutore del danno.
• Contatto: entra in relazione con la vittima/utente il quale darà le informazioni necessarie per favorire la risoluzione del problema e il danno, di nuovo, è fatto.

Tailgating e Piggybacking

Il tailgating e il piggybacking sono altre due tecniche di ingegneria sociale, giocano quindi sul fattore umano per raggirare la vittima e violare aeree riservate.

• Il tailgating consiste nel riuscire ad avere accesso ad un luogo riservato approfittando dell’ingresso di qualcun altro, ovviamente senza che nessuno se ne accorga.
• Invece, il piggybacking è ancora più subdolo, perché l’ingresso avviene con l’autorizzazione di un ignaro addetto alla sorveglianza o di un dipendente ingannato.

Come difendersi dal social engineering

Abbiamo visto come l’ingegneria sociale sfrutti il lato umano delle persone, le loro debolezze, come agisca sul lato psicologico delle vittime, ma è bene sapere che c’è sempre la possibilità di difendersi da questi attacchi informatici di tipo “sociale”.  

Hai bisogno del nostro intervento? Scopri in nostri servizi!

 INVESTIGAZIONI INFORMATICHE

  Innanzitutto, quando si parla di cybersecurity, non bisogna limitarsi a pensare agli attacchi da malware ma è necessario, nelle aziende, istruire e sensibilizzare il personale dipendente al tema sicurezza informatica, ponendo l’accento sull’ingegneria sociale. Il personale va formato e tenuto aggiornato sulle possibili minacce perché gli hacker utilizzano sistemi in continua evoluzione. Di base, la prima cosa da fare è diffidare sempre di chi non conosciamo e con cui veniamo in contatto sul web, fare attenzione alle email, non fornire mai dati personali o aziendali se non si è più che certi della fonte da cui arriva la richiesta. Anche i documenti cartacei non andrebbero mai lasciati incustoditi, tantomeno gettati nei cestini della carta. Sembra banale ma il tritadocumenti è uno strumento da prendere in considerazione. Per quanto riguarda alcune richieste via mail o telefono, la parola d’ordine è calma: è necessario non agire d’impulso nel compilare dei campi con i propri dati o nell’inviare informazioni richieste, perché gli abili ingegneri sociali contano proprio sul senso di urgenza per evitare che la vittima rifletta o faccia controlli.  

Investigazioni informatiche per difendersi dall’ingegnere sociale

Tuttavia, nonostante l’impeccabile collaborazione del personale dipendente e dei dirigenti, è indispensabile il supporto dei professionisti del settore investigativo e forense. L’esperienza pluriennale sul campo, gli agenti specializzati e le tecnologie avanzate di cui dispongono le agenzie investigative rappresentano l’arma più adatta per combattere alla pari con l’ingegneria sociale. Non sottovalutare il tuo avversario: la sua abilità è propria quella di apparire inoffensivo. Lascia che gli esperti del mestiere mettano al sicuro te o la tua azienda da qualsiasi tipo di attacco informatico (link interno ad attacchi informatici).  

Se hai bisogno del nostro intervento richiedi subito una consulenza gratuita e sarai ricontattato al più presto.