Ingegneria sociale

Introduzione#

Quando si parla di sicurezza informatica, la maggior parte delle persone pensa ad attacchi tecnici come l'iniezione SQL, il cross-site scripting, gli attacchi man-in-the-middle, o i malware. Tuttavia, gli attacchi più comuni ed efficaci spesso non sono affatto tecnici. L'ingegneria sociale è l'arte di manipolare le persone affinché cedano informazioni riservate. Ogni crimine informatico inizia con un attacco di ingegneria sociale.

Ecco la definizione da Wikipedia:

Nel contesto della sicurezza informatica, l'ingegneria sociale è la manipolazione psicologica delle persone per indurle a eseguire azioni o a divulgare informazioni riservate. Un tipo di truffa per ottenere informazioni, frode, o accesso ai sistemi, si differenzia dall'inganno tradizionale perché spesso è solo uno dei molti passaggi in un piano fraudolento più complesso.[1] È stata anche definita come "qualunque atto che influenzi una persona a compiere un'azione che potrebbe o non potrebbe essere nel suo migliore interesse."

I tipi di informazioni che questi criminali cercano possono variare, ma quando gli individui sono presi di mira, i criminali di solito cercano di ingannarti per ottenere le tue password, informazioni personali, o per accedere al tuo computer per installare segretamente software dannoso – che darà loro accesso alle tue password e informazioni bancarie oltre a dare loro il controllo sul tuo computer.

Come funziona l'ingegneria sociale?#

Gli attacchi di ingegneria sociale avvengono in uno o più passaggi. La maggior parte degli attacchi di ingegneria sociale si basa su una comunicazione effettiva tra gli attaccanti e le vittime. Spesso succede che le vittime vengano prese di mira da più attaccanti per un lungo periodo di tempo, e gli attacchi sono attentamente progettati per evitare di essere rilevati. Un attacco riuscito coinvolge i seguenti passaggi:

1. Ricerca: L'attaccante raccoglie informazioni sull'obiettivo, come possibili punti di ingresso e protocolli di sicurezza deboli, necessari per portare a termine l'attacco. Nel mondo di oggi, è molto facile trovare informazioni su una persona online. Ad esempio, puoi trovare l'indirizzo email, il numero di telefono e persino l'indirizzo di casa di una persona sul suo profilo sui social media. Puoi anche scoprire dove lavora, cosa fa e con chi lavora. Queste informazioni possono essere utilizzate per creare un'email di phishing molto convincente o una chiamata telefonica nel passaggio successivo.

2. Aggancio: L'attaccante utilizza queste informazioni per creare uno scenario credibile per attirare la vittima a fare ciò che l'attaccante desidera. Ad esempio, l'attaccante potrebbe chiamare la vittima e fingere di essere un agente del servizio clienti della sua banca, chiedendole di verificare le proprie informazioni sull'account. Oppure, potrebbe chiamare un dipendente di un'azienda e fingere di essere una persona dell'assistenza IT, chiedendole di resettare la propria password.

3. Giocare sulle emozioni: L'attaccante gioca sulle emozioni per far sì che la vittima agisca immediatamente, senza pensare. Ad esempio, l'attaccante potrebbe minacciare la vittima con multe, penali o persecuzioni se non risponde subito alla richiesta. Oppure, potrebbe appellarsi all'avidità della vittima, promettendo una grande somma di denaro o una ricompensa in cambio del suo aiuto.

4. Esecuzione: L'attaccante esegue l'attacco, che può assumere diverse forme. Ad esempio, potrebbe:

   • Ingannare la vittima inducendola a installare malware sul proprio computer.
   • Ingannare la vittima inducendola a rivelare informazioni sensibili tramite email o telefono.
   • Ingannare la vittima inducendola a inviare denaro all'attaccante.
   • Ingannare la vittima inducendola a cliccare su un link dannoso in un'email o in un messaggio di testo.

I passaggi sopra descritti possono avvenire in un periodo di tempo molto breve, o possono durare settimane o mesi. L'attaccante può prendere di mira una sola persona o un gruppo di persone. Il contatto può essere stabilito tramite una chiamata telefonica, un'email, un messaggio di testo o una chat sui social media. Ma alla fine si conclude con un'azione che compi, come condividere le tue informazioni o esporre te stesso al malware.

Tipi di attacchi di ingegneria sociale#

Esistono molti tipi di attacchi di ingegneria sociale, e ognuno ha il suo scopo e obiettivo. Ecco alcuni dei tipi più comuni di attacchi di ingegneria sociale:

Phishing di Spam#

Il phishing di spam è il tipo più comune di attacco di ingegneria sociale. È un tipo di attacco di phishing in cui l'attaccante invia milioni di email a persone a caso, sperando che alcune di loro cadano nel trucco. Le email vengono solitamente inviate da un indirizzo email falso e spesso contengono un link a un sito web dannoso o un allegato dannoso. L'obiettivo dell'attacco è di ingannare la vittima inducendola a cliccare sul link o ad aprire l'allegato, che installerà malware sul suo computer.

Esempio#

Immagina di ricevere un'email non richiesta nella tua casella di posta con un oggetto accattivante che sostiene che hai vinto un grande premio in denaro. Il titolo dell'email afferma che hai vinto $1.000.000 e devi reclamare il tuo premio immediatamente.

Aprendo l'email, trovi un messaggio che ti congratula per la tua presunta vincita alla lotteria. Potrebbe includere promesse stravaganti, come un'enorme somma di denaro. Solitamente, l'email contiene un link o informazioni di contatto per reclamare la tua vincita.

Questa email mostra i classici segni di un attacco di phishing di spam:

1. Non richiesta: Non hai mai partecipato a nessuna lotteria o concorso, quindi non dovresti aver vinto alcun premio.

2. Troppo bello per essere vero: La promessa di una grande somma di denaro senza una ragione apparente è una tattica comune utilizzata per attirare le vittime.

3. Azione urgente: L'email potrebbe affermare che devi agire rapidamente per reclamare il tuo premio, creando un senso di urgenza.

4. Richieste di informazioni personali o di denaro: Per "reclamare" il tuo premio, potrebbe essere richiesto di fornire informazioni personali, pagare delle commissioni o trasferire denaro per coprire presunti costi di elaborazione.

Spear Phishing#

Lo spear phishing è un tipo di attacco di phishing in cui l'attaccante prende di mira una persona specifica o un gruppo di persone. L'attaccante farà ricerche sull'obiettivo e poi invierà loro un'email personalizzata che sembra provenire da una fonte fidata. L'email conterrà solitamente un link a un sito web dannoso o un allegato dannoso. L'obiettivo dell'attacco è di ingannare la vittima inducendola a cliccare sul link o ad aprire l'allegato, che installerà malware sul suo computer. A differenza del phishing di spam, gli attacchi di spear phishing sono altamente mirati e personalizzati e hanno molte più probabilità di riuscire.

Esempio#

In questo scenario di spear phishing, ricevi un'email che sembra provenire da un collega o da qualcuno che conosci. L'email contiene un oggetto che suggerisce che si tratta di un importante avviso di sicurezza. Ciò che distingue lo spear phishing dal phishing regolare è che l'attaccante prende di mira una persona specifica e spesso possiede alcune informazioni sul bersaglio.

Aprendo l'email, trovi un messaggio che afferma di provenire dal tuo consulente IT, Charles. Ti si rivolge con il tuo nome completo e menziona una presunta violazione della sicurezza del tuo account di lavoro. L'email ti chiede di cliccare su un link o di scaricare un allegato per mettere in sicurezza il tuo account. Clicchi sul link e ti porta a un sito web che sembra esattamente la pagina di login della tua azienda. Inserisci il tuo username e password, e ora l'attaccante ha accesso al tuo account.

Questa email mostra i classici segni di un attacco spear phishing:

1. Personalizzazione: L'email si rivolge a te con il tuo nome completo, dandogli un aspetto di legittimità.

2. Urgenza: Il messaggio trasmette un senso di urgenza, facendo capire che devi agire immediatamente per risolvere una questione di sicurezza.

3. Richieste d'azione: L'email ti chiede di cliccare su un link o di scaricare un allegato. Questi link o allegati spesso contengono malware o siti di phishing.

Baiting#

Il baiting è un tipo di attacco di ingegneria sociale in cui l'attaccante offre qualcosa di allettante alla vittima in cambio delle sue informazioni personali. Ad esempio, l'attaccante potrebbe offrire una carta regalo gratuita o un download gratuito di un film in cambio dell'indirizzo email della vittima. L'obiettivo dell'attacco è di ingannare la vittima inducendola a rivelare le proprie informazioni personali, che l'attaccante può poi usare per rubare la sua identità o commettere frodi. Sfrutta la curiosità o l'avidità della vittima.

Esempio#

In questo scenario di baiting, gli attaccanti lasciano una chiavetta USB in un luogo pubblico, come una caffetteria o un parcheggio. La chiavetta USB è etichettata come "Confidenziale" o "Privato", e contiene un programma dannoso che installerà malware sul computer della vittima quando lo collegherà. L'obiettivo dell'attacco è di ingannare la vittima inducendola a collegare la chiavetta USB al proprio computer, installando così malware nel computer.

Colleghi la chiavetta USB al tuo computer, sperando di trovare informazioni preziose. Sembra contenere un file chiamato "Dati_Progetto_Confidenziali.csv." Mentre tenti di aprire il file, viene eseguito uno script nascosto che infetta il tuo computer con malware.

In questo attacco di baiting:

1. L'esca è la chiavetta USB, etichettata come "Confidenziale" o "Privato," rendendola allettante per chiunque la trovi, soprattutto in un contesto professionale o sul luogo di lavoro.
2. Fattore curiosità: La curiosità umana viene sfruttata come vulnerabilità, inducendo le persone a compiere azioni che altrimenti eviterebbero.

Water holing#

Il water holing è un tipo di attacco di ingegneria sociale in cui l'attaccante prende di mira un gruppo specifico di persone infettando un sito web che è probabile che visitino. Ad esempio, l'attaccante potrebbe infettare un popolare sito web di notizie o un popolare sito di social media. L'obiettivo dell'attacco è di ingannare la vittima inducendola a visitare il sito web infetto, che installerà malware sul suo computer.

Esempio#

Un gruppo di attaccanti mira a compromettere la sicurezza di una specifica associazione di settore che rappresenta una comunità di professionisti della cybersecurity. Gli attaccanti intendono rubare dati sensibili e infiltrarsi nei sistemi degli esperti di cybersecurity.

Gli attaccanti identificano un sito web ben noto e rispettato utilizzato da questa comunità. In questo caso, scelgono il sito web ufficiale dell'associazione di settore della cybersecurity. Gli attaccanti individuano e sfruttano una vulnerabilità nel sito web dell'associazione di settore. Possono utilizzare metodi tecnici come l'iniezione SQL o il cross-site scripting (XSS) per ottenere accesso non autorizzato al sistema di gestione dei contenuti del sito. Una volta ottenuto l'accesso al sito web, gli attaccanti iniettano codice dannoso nelle pagine del sito. Questo codice è progettato per distribuire malware ai visitatori delle pagine compromesse.

Poi gli attaccanti aspettano che i professionisti della cybersecurity visitino il sito web. Sanno che molti esperti di cybersecurity consultano regolarmente il sito per aggiornamenti, notizie e risorse.

Mentre i professionisti della cybersecurity visitano il sito web dell'associazione di settore per leggere articoli, partecipare a webinar o scaricare risorse, espongono inconsapevolmente i loro dispositivi al malware iniettato. Il malware può rubare informazioni sensibili, come credenziali di login o dati personali. Può anche fornire agli attaccanti una base per lanciare ulteriori attacchi, incluso lo spear phishing o lo sfruttamento di vulnerabilità note nei sistemi delle vittime.

In questo attacco di water holing:

1. L'abbeveratoio è il sito web dell'associazione di settore, che è una destinazione popolare per i professionisti della cybersecurity.
2. Pubblico mirato: Gli attaccanti prendono di mira un gruppo specifico di persone, in questo caso i professionisti della cybersecurity.
3. Sfruttamento della fiducia: Gli attaccanti sfruttano la fiducia che i professionisti della cybersecurity hanno nel sito web dell'associazione di settore.
4. Sfruttamento delle vulnerabilità: Gli attaccanti sfruttano le vulnerabilità nel sistema di gestione dei contenuti del sito web per iniettare codice dannoso nelle pagine del sito.

Come proteggersi dagli attacchi di ingegneria sociale#

Proteggersi dagli attacchi di ingegneria sociale richiede una combinazione di consapevolezza, scetticismo e buone pratiche. Ecco alcuni passaggi essenziali per proteggersi dagli attacchi di ingegneria sociale:

1. Informarsi: Impara a conoscere le tattiche comuni di ingegneria sociale, tra cui phishing, pretexting, baiting e tailgating. Rimani informato sulle tecniche e tendenze più recenti di ingegneria sociale.

2. Verificare l'Identità: Verifica sempre l'identità delle persone o delle organizzazioni che richiedono le tue informazioni personali o sensibili. Non fare affidamento esclusivamente su numeri di telefono, email o siti web forniti dalla persona che ti contatta. Utilizza informazioni di contatto ufficiali ottenute indipendentemente da fonti affidabili.

3. Mettere in discussione le richieste: Sii scettico nei confronti delle richieste non sollecitate di informazioni personali, finanziarie o riservate. Le organizzazioni legittime di solito non richiedono tali informazioni via email o telefono. Se qualcuno richiede informazioni sensibili, chiedi perché sono necessarie e come saranno utilizzate.

4. Attenzione all'urgenza e alla pressione: Gli ingegneri sociali spesso creano un senso di urgenza per farti prendere decisioni senza pensare. Prenditi il tuo tempo per considerare le richieste o le offerte. Verifica la legittimità della situazione.

5. Proteggi l'accesso fisico: Proteggi il tuo spazio di lavoro fisico da accessi non autorizzati. Blocca il computer e i dispositivi quando non li usi. Sii cauto quando permetti a persone sconosciute di entrare in aree riservate.

6. Formazione dei dipendenti: Se fai parte di un'organizzazione, fornisci formazione sulla consapevolezza dell'ingegneria sociale ai dipendenti. Insegna loro a riconoscere e segnalare attività sospette.

7. Utilizza fonti affidabili: Ottieni informazioni da fonti fidate e verificate. Evita di fare affidamento su siti web non ufficiali o notizie non verificate.

8. Crittografia dei dati: Crittografa i dati sensibili, sia a riposo che durante la trasmissione, per proteggerli da accessi non autorizzati.

Pratica un comportamento online sicuro#

Per sviluppatori e proprietari di attività. Se stai sviluppando una web application, dovresti seguire le best practice per proteggere i tuoi utenti dagli attacchi di ingegneria sociale. Esistono molteplici modi per abilitare una maggiore sicurezza per la tua applicazione:

1. Utilizza password forti. La maggior parte delle persone utilizza password deboli che sono facili da indovinare basandosi sulle loro informazioni personali. Per implementare un sistema di gestione dell'identità degli utenti sicuro e affidabile, dovresti abilitare politiche per password forti. Questo impedirà agli utenti di utilizzare password deboli senza adeguate misure di sicurezza.
2. Abilita l'autenticazione a più fattori. L'autenticazione a più fattori (MFA) aggiunge un ulteriore livello di sicurezza all'account degli utenti richiedendo loro di inserire un codice dal proprio telefono o da un altro dispositivo oltre alle password. Questo rende molto più difficile per gli attaccanti ottenere accesso all'account dei tuoi clienti. Anche se le password dei tuoi clienti venissero compromesse, gli attaccanti non saranno in grado di accedere ai loro account senza il secondo fattore.
3. Crittografa i dati degli utenti. Crittografare i dati degli utenti è un buon modo per proteggerli da accessi non autorizzati. Se un attaccante ottiene accesso al tuo database, non sarà in grado di leggere i dati senza la chiave di crittografia. Questo impedirà loro di rubare le informazioni personali dei tuoi clienti.
4. Ruota frequentemente le chiavi di accesso. Le chiavi di accesso vengono utilizzate per accedere alle risorse della tua applicazione. Se un attaccante ottiene accesso alle tue chiavi di accesso, sarà in grado di accedere alle risorse della tua applicazione senza il tuo permesso. Per prevenire ciò, dovresti ruotare frequentemente le chiavi di accesso.
5. Utilizza sistemi di autenticazione moderni. I protocolli di autenticazione moderni come OAuth 2.0 e OpenID Connect sono molto più sicuri rispetto ai protocolli più vecchi come SAML e WS-Federation. Usano algoritmi crittografici moderni e sono molto più difficili da attaccare.
6. Pre-registra gli URL di reindirizzamento al login e i dispositivi Se stai utilizzando OAuth 2.0 o OpenID Connect per l'autenticazione, dovresti pre-registrare gli URL di reindirizzamento al login e i dispositivi. Questo impedirà agli attaccanti di utilizzare gli account dei tuoi clienti per accedere alla tua applicazione dai propri dispositivi.