Perché difendersi dal social engineering

Il social engineering, in italiano ingegneria sociale, è una tecnica di attacco informatico che sta diventando sempre più diffusa. Consiste nello studio dei comportamenti delle potenziali vittime per manipolarle e sottrarre loro informazioni sensibili o riservate. Non è quindi un attacco di tipo tecnologico bensì un attacco che sfrutta le vulnerabilità umane delle vittime.

Perché gli hacker usano il social engineering?

Fondamentalmente, perché è più facile ingannare una persona che un sistema informatico. Cercare di introdursi in una rete locale o nel dispositivo personale di una vittima è molto complesso, soprattutto se sono state messe in atto delle misure di sicurezza: è necessario avere buone conoscenze informatiche e disporre di strumenti appositi. Convincere con l’inganno qualcuno a concedere l’accesso alla propria rete o ai propri dispositivi può essere invece molto semplice, perché si fa leva su vulnerabilità individuali.

Un altro motivo è la semplicità con cui si possono ottenere direttamente i dati di cui ci si vuole impossessare. Con un attacco informatico tradizionale, solitamente si ottiene l’accesso a interi sistemi, da cui bisogna poi estrarre i dati rilevanti. Questo non è sempre facile, e soprattutto può richiedere molto tempo, aumentando il rischio di essere scoperti. Con il social engineering si può concentrare il proprio attacco sulla persona che ha accesso diretto ai dati da rubare.

Quali sono i metodi più usati per il social engineering?

Il social engineering è un’operazione composta da più fasi:

• Prima di tutto l’hacker raccoglie informazioni sulla vittima, in modo da ottenere dati personali, contatti, informazioni sul lavoro, ecc.
• In secondo luogo, l’hacker cerca di instaurare un rapporto con la vittima, in modo da guadagnarne la fiducia.
• Infine, l’hacker lancia l’attacco vero e proprio, con cui vengono effettivamente sottratti i dati.

Gli attacchi più utilizzati insieme al social engineering sono:

• Baiting – l’hacker, una volta conquistata la fiducia della sua vittima, prepara un’esca (bait in inglese) per invogliarla a compiere operazioni pericolose. Ad esempio, potrebbe fornire una chiavetta USB contenente malware fingendo che si tratti di un programma legittimo.
• Phishing – l’hacker, dopo aver raccolto informazioni sui servizi di cui fa uso la sua vittima, manda un messaggio che sembra inviato ufficialmente da uno dei fornitori di cui si serve; questo messaggio contiene un link a una pagina Web creata appositamente per ottenere informazioni personali, che verranno quindi inserite direttamente dalla vittima.
• Pretexting – Fingendosi un’autorità, un collega, un superiore, ecc., l’hacker induce la sua vittima a divulgare volontariamente informazioni riservate o eseguire operazioni che gli permettono l’accesso a sistemi informatici privati.
• Tailgating – Questo tipo di attacco non è ristretto al mondo informatico: l’hacker, infatti, convince la sua vittima ad aiutarlo ad accedere a luoghi protetti da sistemi di sicurezza come badge, chiavi, sistemi di riconoscimento delle impronte, etc. Ciò può avvenire, ad esempio, con l’hacker che finge di aver dimenticato il proprio badge in auto ed è quindi costretto a chiedere aiuto alla prima persona che sta entrando in un luogo riservato.
• Romance Scam – Tradotto in italiano significa truffa dell’amore o truffa romantica. Per mettere a segno questa forma di truffa, i truffatori e le truffatrici creano falsi profili sui media sociali o sui siti d’incontri in Internet allo scopo di fingersi innamorati della persona caduta nella loro trappola per poi ottenere da lei dei contributi finanziari.

Come è possibile proteggersi dal social engineering?

Come abbiamo visto, il social engineering sfrutta le vulnerabilità umane: per difendersi da esso, quindi, è necessario avere una grande consapevolezza dei tipi di attacchi che si potrebbero subire e fare sempre molta attenzione quando si ha a che fare con sconosciuti o con dati sensibili.

Questo non è però sufficiente: abbiamo infatti anche visto come al social engineering seguano poi degli attacchi informatici più tradizionali. È quindi fondamentale proteggersi anche da essi.

1.Usare una VPN online. Con una VPN (https://nordvpn.com/it/what-is-a-vpn/) è possibile crittografare il proprio traffico, in modo che nessun hacker possa impossessarsi dei dati personali, e offuscare il proprio indirizzo IP, rendendosi così praticamente anonimi.

2. Usare software antivirus e antimalware. Con un po’ di attenzione non è difficile accorgersi di un attacco di phishing. Per essere al sicuro, però, è consigliabile usare un apposito programma in grado di riconoscere un eventuale malware scaricato accidentalmente sul proprio computer, prima che il file venga aperto e i danni siano irreversibili.

3. Installare un firewall. Se un hacker dovesse riuscire a ottenere l’accesso a una rete locale, tutti i dispositivi ad essa collegati sarebbero vulnerabili. Per questo è fondamentale installare un firewall sul proprio router, in modo che soltanto le connessioni autorizzate e considerate sicure possano avere accesso alla rete.

4. Aggiornare il software utilizzato. Spesso programmi e app sono caratterizzati da bug e vulnerabilità che potrebbero essere sfruttati da un hacker, una volta ottenuto l’accesso ai dispositivi su cui sono installati. Tuttavia, di norma le falle di sicurezza vengono corrette in modo rapido, quindi bisogna sempre assicurarsi di scaricare tutti gli aggiornamenti più recenti.

Rino Carfora