Ingegneria sociale

Volendo definire il concetto di ingegneria sociale in quattro parole, potremmo dire che consiste nell’arte (criminale) della manipolazione psicologica. Chi mette in pratica atti di questo tipo non agisce di nascosto, ma cerca di ottenere la fiducia della vittima: in questo modo è in grado di avere ciò che vuole più facilmente, in alcuni casi senza nemmeno doverlo chiedere! Per fare un parallelismo con le prassi delinquenziali “classiche”, un ingegnere sociale è molto più simile a un finto addetto al controllo caldaie che si fa aprire la porta di casa rispetto a un ladro che si intrufola dalla finestra. Un tipico esempio di ingegneria sociale? La classica email che imita la banca di fiducia e chiede di inserire le proprie credenziali per “motivi di sicurezza”. La realtà dei fatti però è spesso più complessa, e non tutti i metodi adottati dagli ingegneri sociali sono così semplici da riconoscere a un primo sguardo.

L’ingegneria sociale purtroppo non si manifesta in un solo modo. In base ai canali di comunicazione utilizzati per l’attacco, gli obiettivi dello stesso e il loro grado di specificità possiamo individuare diverse tipologie di ingegneria sociale. Andiamo subito a vederle.

È la tecnica in assoluto più frequente. Il malintenzionato approccia la vittima tramite messaggi email, SMS (smishing), telefono (vishing) o chat dei principali social media, spesso imitando comunicazioni ufficiali di enti privati o pubblici quali istituti di credito, aziende e persino Ministeri. L’obiettivo? Convincere la persona bersaglio a condividere informazioni riservate di diverso tipo, come ad esempio dati delle carte di credito, credenziali bancarie, password d’accesso e altre informazioni personali. Se la truffa è diretta verso un soggetto specifico, e dunque dettagliata e personalizzata, parliamo di spear-phishing. Questa tattica viene spesso utilizzata nei confronti di dirigenti d’azienda e altri personaggi importanti, nel qual caso prende il nome di “whaling”.

In questo caso, l’hacker crea una premessa dettagliata e verosimile agli occhi della vittima per portarla a condividere dati e informazioni che non verrebbero mai fornite al di fuori dello specifico contesto. Detta così, potrebbe sembrare che tra phishing e pretexting non sussista alcuna differenza apprezzabile. La realtà è però diversa: la principale distinzione tra phishing e pretexting sta nel fatto che la prima tipologia viene solitamente usata in modo massivo e indiscriminato (per esempio tramite l’invio di grandi quantità di email), mentre la seconda mira a instaurare una relazione di fiducia autentica tramite uno scenario dettagliato. Se eseguita a regola d’arte, una truffa basata sul pretexting può indurre la vittima a condividere i dati cercati senza nemmeno il bisogno di chiederli direttamente (ingegneria sociale inversa)!

Una tattica di ingegneria sociale tra le più subdole, che presenta un iter criminale specifico. Per prima cosa, l’hacker confeziona appositamente un dispositivo di memorizzazione (ad esempio una chiavetta USB) contenente un malware. In seguito, il dispositivo viene intenzionalmente abbandonato dal criminale in un luogo strategico, dove ci sono buone probabilità che venga notato, come può essere l’ufficio di un’azienda. A questo punto, al truffatore non resta che attendere: non appena la vittima inserirà il device nel proprio pc esso verrà infettato dal virus, che fornirà all’hacker i dati e le informazioni che cercava.

Quando parliamo di shoulder surfing ci riferiamo a una tecnica che potremmo definire “analogica”: in questa situazione i dati non vengono sottratti tramite mezzi digitali, bensì direttamente attraverso gli occhi del criminale! Un caso tipico di shoulder surfing consiste nell’osservare la vittima da dietro mentre digita una password o inserisce un codice PIN. Ciò che rende pericoloso un tale attacco è che può essere compiuto (quasi) in ogni momento e da chiunque, in quanto non richiede competenze informatiche specifiche per essere efficace. Le stesse considerazioni valgono per la pratica del dumpster diving, in cui il malintenzionato fruga (letteralmente!) nella spazzatura di un’azienda, ufficio o altro luogo con la speranza di recuperare dati sensibili. Questa tecnica può essere messa in atto anche a livello digitale, rovistando nei cestini dei computer o in vecchi hard disk.

L’abbiamo appena visto: gli attacchi basati sull’ingegneria sociale possono cogliere alla sprovvista anche la persona più preparata. Per questo motivo abbiamo elaborato 7 regole d’oro per non cadere vittima di un attacco di ingegneria sociale. Seguile scrupolosamente e ci ringrazierai!

1. Occhio al linguaggio! Spesso il primo segnale di un attacco di ingegneria sociale è palese. Sbagli ortografici, di sintassi e un linguaggio sconclusionato dovrebbero metterti immediatamente in allerta. Ti fideresti mai di un messaggio pieno zeppo di errori proveniente dalla tua banca?
2. Sii diffidente, sempre. La prudenza è la miglior virtù: ricevi una mail da un lontano parente che non conosci? Chiedi maggiori informazioni. Trovi una chiavetta USB in bella vista sul bancone del tuo ufficio? Lasciala sempre dov’è. È arrivato un nuovo collega particolarmente attento alle tue mosse sulla tastiera del pc? Nascondi i tuoi movimenti.
3. Mantieni aggiornati i tuoi sistemi antivirus. Gli attacchi di ingegneria sociale approfittano della tua cooperazione per essere efficaci. Tuttavia, assicurarti di mantenere i tuoi sistemi di protezione informatica aggiornati ti consente (talvolta) di minimizzare i danni.
4. Segui il tuo istinto! Hai mai sentito parlare del principio del Rasoio di Occam? Se la risposta è no, ti basti sapere questo: se hai la sensazione che qualcosa non vada non rimuginarci troppo, perché probabilmente ci stai vedendo giusto. Applica questo principio all’ingegneria sociale ed eviterai la maggior parte dei problemi.
5. Limita la condivisione di informazioni sensibili online. Capita molte volte che dietro una frode di ingegneria sociale ci sia una fase preparatoria, spesso più articolata di quanto pensi. I criminali informatici approfittano sempre delle informazioni personali che possono reperire. Posizioni geografiche specifiche, numeri di telefono, indirizzi di posta elettronica e dettagli di vita privata spesso aiutano un delinquente. Più cose sanno su di te, più la loro truffa risulterà convincente.
6. Mantieniti informato/a. Allo stesso modo in cui le tecniche di ingegneria sociale sono in continua evoluzione, così è anche lo studio di quelle atte a contrastarle. Mantieni viva la curiosità e aggiornati costantemente, perché un giorno potrebbe fare la differenza.
7. Rivolgiti alle autorità competenti. Se gli altri 6 punti si sono rivelati inefficaci, forse è il momento che tu ti rivolga a Polizia, Carabinieri o altri membri delle Forze dell’Ordine. Le autorità competenti sono sempre pronte ad assisterti!

Se hai avuto la sfortuna di essere bersaglio di un attacco basato sulle tecniche di ingegneria sociale, molto probabilmente ti starai chiedendo quali sono i riferimenti normativi e le leggi che consentono di tutelarti. In Italia, i riferimenti normativi principali si possono trovare nel Codice di Procedura Penale (come all’art. 191, che esclude l’uso delle prove acquisite in violazione dei divieti di legge), nel decreto legislativo 196/2003 come modificato dal d.lgs. 101/2018 e nel cosiddetto GDPR (regolamento 2016/679), che regola il trattamento dei dati personali a livello europeo. Incrociando queste fonti si può avere una panoramica dettagliata della disciplina legale che regola le indagini sull’ingegneria sociale. Qual è però il risvolto pratico? Vediamo insieme qualche esempio.

Cosa non è consentito fare nelle indagini sull’ingegneria sociale? (H3)

• Intercettare comunicazioni senza autorizzazione (art. 617 Codice Penale)

• Accedere abusivamente a sistemi informatici (art. 615-ter Codice Penale)

• Raccogliere dati sensibili senza una base giuridica valida (art. 167 del Codice Privacy)

• Conservare e documentare email, messaggi o telefonate ricevute da un truffatore

• Raccogliere informazioni da fonti pubbliche disponibili online

• Eseguire acquisizioni forensi certificate, che garantiscono l’integrità e la tracciabilità dei dati

Come abbiamo potuto vedere, soltanto se ogni passaggio è documentato e svolto nel rispetto della legge le prove possono essere presentate davanti a un giudice e avere un effettivo valore probatorio. Se un’azienda subisce un attacco di phishing, un investigatore privato o un’agenzia investigativa possono analizzare i messaggi sospetti, verificarne i metadati e risalire alla fonte. Diverso sarebbe tentare di accedere forzatamente ai server aziendali per rintracciare l’autore dell’attacco: in questo caso si configurerebbe un reato!

Un’investigazione sull’ingegneria sociale mira dunque a rintracciare l’autore della violazione attraverso la costruzione di un impianto probatorio solido, inattaccabile e riconosciuto in sede legale.

Tutti conosciamo il famoso detto popolare “chi fa da sé fa per tre”, ma è davvero sempre così? Nel corso della vita è facile imbattersi in circostanze particolari nelle quali un solo passo falso può fare la differenza tra la risoluzione dei propri problemi e il loro peggioramento. Parlando di ingegneria sociale, agire in totale autonomia (e senza competenze tecniche specifiche) espone facilmente al rischio di passare dalla parte del torto. Affidandoti al nostro servizio di indagini di ingegneria sociale non dovrai temere nulla di tutto ciò: andiamo a vedere perché!

• Alta competenza: tutti i nostri collaboratori e investigatori hanno alle spalle un concreto bagaglio esperienziale sul tema. Sappiamo come, dove e quando agire per massimizzare i risultati d’indagine. Agiamo nel pieno rispetto delle normative vigenti per produrre prove legalmente valide e pienamente spendibili in giudizio.

• Assistenza completa: mettiamo in campo e coordiniamo tra loro tutti i servizi necessari a neutralizzare il problema, come bonifiche elettroniche da malware e altri virus, bonifiche ambientali da microspie e interventi mirati di intelligence su fonti aperte (OSINT).

• Empatia: dietro una richiesta d’indagine c’è sempre una persona che si trova in un momento difficile della propria vita, e noi lo sappiamo bene. Il nostro compito termina soltanto quando riusciamo a riportare il sorriso sul tuo volto.

• Network capillare: la collaborazione con centinaia di professionisti e investigatori in tutta Italia ci permette di occuparci del tuo problema dovunque e in qualsiasi momento.

• Metodo su misura: non si tratta soltanto di un’indagine, ma della tua indagine. Sin dal primo incontro ti ascoltiamo e studiamo un percorso investigativo completamente customizzato, basato esclusivamente sulle tue particolari necessità.

Ti abbiamo convinto? Con il nostro supporto puoi lasciarti alle spalle dubbi e preoccupazioni, poiché ti garantiamo in ogni momento i più alti standard professionali nel mestiere. Scrivici per una consulenza gratuita e scopri cosa possiamo fare per te.