Esplorando gli abissi dell’ingegneria sociale: dalla definizione alle tattiche d’attacco di alto livello!

Sandro Sana : 29 Settembre 2023 07:07

Nel vasto universo della sicurezza informatica, l’ingegneria sociale emerge come una minaccia subdola che sfrutta le vulnerabilità umane per accedere a informazioni riservate o perpetrare frodi. La definizione di ingegneria sociale nel contesto della sicurezza informatica è chiara: essa consiste nell’uso di mezzi ingannevoli per manipolare un individuo, spingendolo a rivelare informazioni riservate o personali che potrebbero poi essere sfruttate per scopi fraudolenti.

Questo tipo di attacco può variare notevolmente in complessità, dalla truffa più semplice all’uso di metodi sofisticati. Nella sua essenza, l’ingegneria sociale coinvolge l’invio di messaggi fraudolenti o la presentazione di informazioni ingannevoli al fine di convincere le persone a compiere azioni non desiderate o a condividere dati sensibili.

Le Tecniche dell’Ingegneria Sociale

Iscriviti GRATIS alla RHC Conference 2025 (Venerdì 9 maggio 2025)

Il giorno Venerdì 9 maggio 2025 presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la RHC Conference 2025. Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico.

La giornata inizierà alle 9:30 (con accoglienza dalle 9:00) e sarà interamente dedicata alla RHC Conference, un evento di spicco nel campo della sicurezza informatica. Il programma prevede un panel con ospiti istituzionali che si terrà all’inizio della conferenza. Successivamente, numerosi interventi di esperti nazionali nel campo della sicurezza informatica si susseguiranno sul palco fino alle ore 19:00 circa, quando termineranno le sessioni. Prima del termine della conferenza, ci sarà la premiazione dei vincitori della Capture The Flag prevista per le ore 18:00.
Potete iscrivervi gratuitamente all'evento utilizzando questo link.

Per ulteriori informazioni, scrivi a [email protected] oppure su Whatsapp al 379 163 8765

Supporta RHC attraverso:

• L'acquisto del fumetto sul Cybersecurity Awareness
• Ascoltando i nostri Podcast
• Seguendo RHC su WhatsApp
• Seguendo RHC su Telegram
• Scarica gratuitamente "Dark Mirror", il report sul ransomware di Dark Lab

Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.

L’ingegneria sociale si manifesta in molte forme diverse:

1. Pretesto: Coinvolge la presentazione di un’identità falsa o di un background fittizio per ottenere informazioni sensibili o indurre le vittime a compiere azioni compromettenti. Questa tecnica costituisce il cuore dell’ingegneria sociale;
2. Esca: Gli aggressori offrono false promesse o incentivi per trarre in inganno le vittime, rubare informazioni sensibili o diffondere malware;
3. Phishing: Gli aggressori inviano e-mail di massa con l’obiettivo di ottenere l’accesso a informazioni sensibili facendo clic su link o allegati dannosi;
4. Spear Phishing: Questo metodo coinvolge l’invio di messaggi di phishing mirati, spesso personalizzati, da parte di mittenti noti o fidati per ingannare vittime specifiche;
5. Whale Phishing: È una variante del spear phishing che prende di mira obiettivi di alto valore, come dirigenti o personale finanziario chiave. L’aggressore utilizza informazioni raccolte in precedenza sull’obiettivo per fornire un pretesto credibile;
6. Phishing Vocale o Phishing tramite Chiamata: Gli aggressori cercano di ottenere informazioni sensibili attraverso chiamate vocali o messaggi di testo invece che tramite e-mail;
7. Business Email Compromise (BEC): Qui, gli aggressori compromettono account di posta elettronica aziendale e si fanno passare per il legittimo proprietario per indurre altri a inviare denaro o dati sensibili all’aggressore;
8. Spoofing Informatico: Questa tecnica coinvolge l’inserimento di codice in computer o server per indurre gli utenti a visitare siti Web dannosi;
9. Tailgating o Piggybacking: Gli attori malintenzionati ottengono accesso fisico a strutture sicure seguendo da vicino dipendenti autorizzati attraverso i controlli di sicurezza;
10. Dumpster Diving: Gli aggressori cercano informazioni utili tra i rifiuti di un’organizzazione per scopi di attacco.

Come queste tattiche operano nella pratica

Nella pratica, gli aggressori spesso si fingono affiliati a organizzazioni di fiducia, come banche o fornitori di servizi. Utilizzano loghi e indirizzi e-mail ufficiali per guadagnare fiducia. Una volta ottenuta la fiducia, cercano informazioni come credenziali di accesso o dati personali.

Alcuni trucchetti comuni includono la creazione di scenari di paura per convincere le vittime a cliccare su link dannosi o a rivelare informazioni sensibili. Possono minacciare conseguenze negative, come il blocco permanente dell’account o multe.

Inoltre, con l’avvento delle tecnologie avanzate, gli aggressori possono personalizzare ulteriormente i loro attacchi. Ad esempio, possono utilizzare informazioni reperite sui social media per sembrare più autentici o approcciare le vittime in modo mirato.

Come difendersi dall’Ingegneria Sociale

Per proteggersi dagli attacchi di ingegneria sociale, è fondamentale seguire alcune migliori pratiche:

1. Formazione sulla Consapevolezza della Sicurezza: La formazione regolare e diversificata è essenziale per educare gli utenti a riconoscere gli attacchi di ingegneria sociale;
2. Test di Sicurezza: Effettuare test di sicurezza regolari per valutare la capacità degli utenti di riconoscere e resistere agli attacchi simulati;
3. Cultura sulla Consapevolezza del rischio informatico: Coltivare una cultura aziendale di sano scetticismo e consapevolezza sulla sicurezza informatica;
4. Facilitare la Segnalazione: Creare sistemi di segnalazione semplici per gli utenti per poter riportare attività sospette;
5. Autenticazione a Più Fattori: Richiedere più credenziali di autenticazione per proteggere l’accesso ai dati sensibili e rendere attiva la Multi Factor Authentication (MFA) laddove possibile;
6. Monitoraggio degli Account Privilegiati: Controllare attentamente gli account con accesso privilegiato;
7. Utilizzare Tecnologie di Autenticazione Avanzate: Oltre all’MFA, utilizzare tecnologie come l’UEBA (Analisi comportamento utenti ed entità) per rilevare comportamenti anomali;
8. Gateway di Posta Elettronica Sicuro: Utilizzare un gateway di posta elettronica sicuro per filtrare e rilevare e-mail dannose;
9. Aggiornamenti Software: Mantenere sempre aggiornati software, e sistemi anti-malware;
10. Equilibrio tra Sicurezza e Produttività: Trovare un equilibrio tra sicurezza e produttività per evitare l’eccessiva paranoicità che rallenta i processi aziendali.

In sintesi, l’ingegneria sociale si erge come un nemico persistente che richiede una sinergia di formazione, tecnologie all’avanguardia e una costante vigilanza per scongiurare minacce con successo.

Va da se che per resistere all’ingegneria sociale occorre una buona dose di consapevolezza del rischio informatico. Pertanto risulta importante che il personale aziendale avvii un percorso per poter essere resistente a questo genere di attacchi che possono essere molto sofisticati e spesso arginabili solo con una corretta cultura del rischio.

Sandro Sana
Membro del gruppo di Red Hot Cyber Dark Lab e direttore del Red Hot Cyber PodCast. Si occupa d'Information Technology dal 1990 e di Cybersecurity dal 2014 (CEH - CIH - CISSP - CSIRT Manager - CTI Expert), relatore a SMAU 2017 e SMAU 2018, docente SMAU Academy & ITS, membro ISACA.
Visita il sito web dell'autore