Punti chiave
- Il social engineering è un attacco informatico incentrato sulle persone, che sfrutta la manipolazione psicologica per indurle a cedere informazioni sensibili o accessi.
- Gli aggressori sfruttano tendenze umane naturali come la familiarità, l’urgenza e il rispetto dell’autorità per condizionare i comportamenti e aggirare i controlli di sicurezza.
- Il social engineering assume molte forme: phishing, baiting, pretexting e manipolazione basata su autorità e urgenza.
- Resta una delle minacce più difficili da eliminare, perché gli aggressori si adattano rapidamente e si mimetizzano nelle comunicazioni e nei flussi di lavoro quotidiani.
- Le organizzazioni non possono bloccare del tutto gli attacchi di social engineering, ma possono ridurre il rischio costruendo una cultura che dia priorità alla consapevolezza, alla comunicazione chiara, ai processi di verifica e a policy condivise.
La tecnologia moderna continua a contrastare gli attacchi informatici con difese sempre più avanzate, ma anche gli aggressori diventano più strategici. Se non riescono a manipolare il software, prendono di mira l’anello più debole: le persone.
Ecco in cosa consiste il social engineering: usare la manipolazione psicologica per indurre le persone ad agire contro i propri interessi. E anche dopo molti anni, ogni singolo giorno c’è ancora chi cade in questi attacchi.
In questa guida vedremo cosa sono gli attacchi di social engineering e quali forme possono assumere.
Cosa sono gli attacchi di social engineering e come funzionano
Secondo uno studio pubblicato da Scientific Research Publishing, il fattore umano è all’origine di alcuni dei peggiori attacchi informatici che colpiscono ogni giorno le aziende. Questo perché gli aggressori usano il social engineering per sfruttare la natura umana e ottenere ciò che vogliono.
Il social engineering è un tipo di attacco informatico che fa leva sulle normali tendenze umane.
Le persone tendono per natura a fidarsi delle figure autorevoli, a ricambiare la gentilezza, a seguire il comportamento degli altri e ad agire in fretta quando sono sotto pressione o stress. Gli aggressori sfruttano queste reazioni per indurre qualcuno a cedere informazioni, accessi o controllo, aggirando così le misure di sicurezza tecniche.
Nelle sezioni che seguono analizzeremo più da vicino i diversi tipi di attacchi di social engineering, con alcuni esempi.
Il phishing e le sue varianti
Il phishing è uno dei tipi di social engineering più diffusi e ancora oggi molte persone ci cascano. Sfrutta strumenti di comunicazione che fanno parte della vita quotidiana, come email, SMS, social media o telefonate.
L’obiettivo è indurre le vittime a condividere informazioni personali o credenziali di accesso fidandosi ciecamente del mittente o di chi chiama, senza rendersi conto di avere a che fare con un aggressore.
Ecco un esempio dettagliato di come funziona il phishing:
- L’aggressore crea una falsa email che sembra provenire da un’azienda legittima e molto conosciuta. L’indirizzo del mittente è costruito in modo da sembrare quasi identico a quello reale (per esempio, [email protected] invece di [email protected]).
- La vittima riceve l’email e non sospetta nulla, perché ha un aspetto professionale.
- L’email segnala un problema urgente oppure annuncia la vincita di un premio importante, spingendo la vittima ad agire in fretta per evitare conseguenze o per riscuotere il premio.
- Il messaggio contiene un link che sembra portare al sito ufficiale dell’azienda oppure un allegato presentato come materiale legittimo.
- La vittima fa clic sul link e viene reindirizzata a un sito falso che riproduce fedelmente la vera pagina di accesso. Convinta che sia affidabile, inserisce informazioni sensibili.
- L’aggressore riceve le informazioni e può accedere all’account della vittima, rubare dati personali o finanziari, effettuare transazioni non autorizzate o usare le credenziali per altri attacchi.
Il phishing si presenta in molte forme. Tra le varianti mirate ci sono:
- Spear phishing: invece di inviare lo stesso messaggio a migliaia di persone, lo spear phishing prevede la creazione di messaggi personalizzati rivolti a singoli individui ben precisi.
- Whaling: attacchi altamente mirati rivolti a dirigenti di alto livello o a chi prende le decisioni, come CEO o CFO.
- Smishing e vishing: sfruttano messaggi di testo (SMS) e telefonate per convincere le vittime a condividere informazioni.
Pretexting e impersonificazione
Il pretexting punta a conquistare gradualmente la fiducia della vittima tramite uno scenario plausibile o un pretesto falso. Spesso avviene fingendosi colleghi o persone in posizione di autorità, per convincere le vittime a cedere informazioni con l’inganno.
Ecco un esempio dettagliato di come funzionano pretexting e impersonificazione:
- L’aggressore raccoglie informazioni sull’azienda tramite LinkedIn, Outlook, il sito web aziendale o i social media. Mette insieme dettagli sui reparti interni e sui nomi dei dipendenti.
- L’aggressore costruisce un’identità credibile creando un indirizzo email che sembra appartenere a un dipendente o a un fornitore reale.
- L’aggressore inizia con un messaggio semplice e informale per creare fiducia.
- La vittima risponde perché il messaggio rientra nei normali flussi di lavoro.
- L’aggressore porta avanti la conversazione, consolidando lentamente la fiducia.
- Una volta conquistata la fiducia, chiede di aggiornare le coordinate bancarie, sostenendo che i pagamenti vanno reindirizzati.
- La vittima esegue la richiesta perché le sembra ordinaria.
- Il pagamento successivo finisce sul conto corrente dell’aggressore invece che su quello del fornitore legittimo.
- Dopo aver ricevuto il denaro, l’aggressore sparisce.
Gli attacchi di pretexting non si consumano in un istante. Spesso si sviluppano nel corso di più interazioni, e questo rende più difficile capire di chi fidarsi.
Baiting e attacchi che fanno leva sulla curiosità
Il baiting prende di mira la curiosità umana. Consiste nel fare false promesse o nell’attirare gli utenti con qualcosa che credono vantaggioso o interessante, in cambio dei loro dati personali.
Il baiting assume due forme: digitale e fisica.
Baiting digitale
Il baiting digitale avviene interamente online: gli aggressori usano contenuti digitali allettanti per spingere le vittime a fare clic o a scaricare qualcosa di dannoso.
Può assumere la forma di download gratuiti, link clickbait, offerte di contenuti esclusivi, concorsi online o codici sconto. Non appena la vittima scarica l’esca digitale o vi interagisce, l’attacco ha inizio.
Baiting fisico
Il baiting fisico usa oggetti reali per indurre le vittime a collegare ai propri dispositivi qualcosa di dannoso. Per esempio, gli aggressori possono lasciare chiavette USB infette in luoghi pubblici, sfruttando la curiosità di chi pensa che siano state semplicemente smarrite.
Altre forme di esca fisica sono adesivi con codici QR, volantini, biglietti o persino CD. Una volta che la vittima interagisce con l’oggetto-esca, gli aggressori possono accedere ai suoi dispositivi e recuperare informazioni sensibili.
Manipolazione basata su autorità e urgenza
Gli aggressori sanno che chi ricopre una posizione di autorità ha più probabilità di ottenere la fiducia altrui. Funziona semplicemente così, nella società. Perciò, fingendosi dirigenti o responsabili IT e creando situazioni che richiedono un’azione immediata, spingono le vittime a saltare le verifiche e a mettere da parte le esitazioni.
È qui che entra in gioco la manipolazione basata su autorità e urgenza.
È proprio la combinazione tra pressione temporale e autorità percepita a spingere le vittime ad agire prima di avere la possibilità di ragionare con spirito critico.
Perché è difficile fermare il social engineering
Ancora oggi il social engineering resta uno dei vettori di attacco più difficili da eliminare, perché prende di mira le persone e non la tecnologia. Le organizzazioni possono investire in sistemi di sicurezza solidi, ma tutto può essere vanificato se sono le persone stesse ad aggirare quelle protezioni.
Non è possibile controllare del tutto il comportamento umano, men che meno quello di centinaia o migliaia di individui.
Il social engineering continua a persistere anche perché gli aggressori si adattano in fretta. Se un metodo smette di funzionare, basta che cambino approccio, tono o storia.
In più, questi attacchi somigliano spesso a comunicazioni normali. Si mimetizzano tra le email di tutti i giorni e nella routine lavorativa, soprattutto ora che molti flussi di lavoro e collaborazioni avvengono online.
Come ridurre il rischio di attacchi di social engineering
Non puoi fermare del tutto gli attacchi di social engineering, ma puoi concentrarti su ciò che dipende da te: le persone e i processi. Rafforzare questi ambiti aiuta a ridurre il rischio.
Ecco alcune strategie di riduzione efficaci da valutare:
Formazione periodica sulla consapevolezza della sicurezza
Nulla sostituisce la consapevolezza e la conoscenza. I dipendenti devono imparare a riconoscere i messaggi sospetti, capire le tattiche di manipolazione più comuni e sapere come reagire nel modo corretto.
Procedure di verifica chiare
Definisci policy chiare per la verifica, soprattutto per i processi sensibili come le richieste di natura finanziaria. Stabilisci procedure per confermare le identità e seguire i corretti iter di approvazione. In questo modo, anche se gli aggressori creano un senso di urgenza, i dipendenti continuano a seguire un processo strutturato.
Promozione di una cultura della segnalazione
Costruisci una cultura in cui i dipendenti si sentano a proprio agio nel segnalare messaggi o interazioni insoliti. Alcune organizzazioni trascurano questo aspetto o colpevolizzano i dipendenti per gli errori. Quando i potenziali attacchi vengono segnalati per tempo, è più facile individuarli e contenerli, e cresce anche la consapevolezza generale.
Limitare l’impatto dell’errore umano con controlli a più livelli
Implementa difese a più livelli, come l’autenticazione a più fattori (MFA) e i controlli di accesso basati sui ruoli, per ridurre l’impatto dell’errore umano ed evitare che un singolo sbaglio comprometta l’intero sistema.
I limiti della prevenzione del social engineering
I metodi di prevenzione descritti sopra possono rafforzare le difese della tua organizzazione, ma non garantiscono che gli attacchi non si verifichino mai. Per questo è importante restare vigili ed evitare di adagiarsi.
La prevenzione richiede anche costanza. Una formazione o un aggiornamento delle policy una tantum non bastano, soprattutto perché gli aggressori modificano continuamente le proprie tattiche. In definitiva, ridurre i rischi legati al social engineering dipende dalla capacità di costruire una cultura che dia valore alla consapevolezza, alla comunicazione chiara e al rispetto delle procedure stabilite.
Falsi miti sul social engineering
Ecco alcuni falsi miti diffusi sul social engineering che possono aiutarti a capire meglio come funziona:
“Il social engineering riguarda solo le email”
Gli aggressori sono sempre più intraprendenti. Usano più canali, non solo le email. Gli attacchi possono arrivare tramite telefonate, messaggi di testo, social media o persino interazioni di persona.
“Gli utenti esperti sono immuni”
Avere competenze tecniche non rende immuni agli attacchi. Ricorda: il social engineering fa leva sulle reazioni emotive, non sulla logica. Sotto pressione, chiunque può essere manipolato.
“La tecnologia può prevenire completamente il social engineering”
Gli strumenti di sicurezza possono ridurre il rischio, ma non possono eliminare del tutto gli attacchi informatici incentrati sulle persone. Il giudizio umano resterà sempre un fattore, perché il social engineering punta ai processi decisionali, non ai difetti del software.
Rafforzare le difese contro gli attacchi di social engineering
Il social engineering resta uno degli attacchi più difficili da gestire, soprattutto negli ambienti enterprise, perché non sfrutta falle nei sistemi ma prende di mira il comportamento umano, che è alla base dei flussi di lavoro quotidiani.
Le organizzazioni che conoscono le tecniche di social engineering più comuni e costruiscono la cultura giusta attorno alla prevenzione sono nella posizione migliore per ridurre il rischio e rispondere con efficacia agli attacchi.
Argomenti correlati:
