Che cos'è l'ingegneria sociale? Definizione e tipologie.

⚡ Riepilogo intelligente

L'ingegneria sociale è l'arte di manipolare le persone per indurle a rivelare informazioni riservate o a concedere l'accesso a dati sensibili. Questa pagina spiega come vengono orchestrati questi attacchi, le tecniche predilette dagli aggressori e le contromisure per contrastarli.

🎯 Obiettivo umano: L'ingegneria sociale attacca le persone anziché i software, sfruttando la fiducia, la paura, la curiosità e l'avidità.
🔄 Ciclo di attacco: Gli aggressori raccolgono informazioni, pianificano, si procurano gli strumenti, colpiscono e poi riutilizzano ciò che hanno appreso.
🎭 Tecniche fondamentali: La familiarità, l'intimidazione, il phishing, il mancato rispetto della distanza di sicurezza, la curiosità e l'avidità sono i motivi principali alla base degli incidenti segnalati.
🛡️ Difesa personale: L'autenticazione a più fattori, un gestore di password e le richieste verificate bloccano la maggior parte dei tentativi.
🏢 Difesa organizzativa: Le politiche di sicurezza e i ripetuti corsi di sensibilizzazione trasformano i dipendenti in un livello di rilevamento.
🤖 Rischi dell'era dell'intelligenza artificiale: La tecnica di deepfake per imitare voci e video ora estende questi attacchi ben oltre la posta elettronica.

Scopri di più

Che cos'è il social engineering?

L'ingegneria sociale è l'arte di manipolare gli utenti di un sistema informatico per indurli a rivelare informazioni riservate che possono essere utilizzate per ottenere accesso non autorizzato a tale sistema. Il termine comprende anche lo sfruttamento della gentilezza, dell'avidità e della curiosità umana per entrare in edifici ad accesso limitato o per persuadere gli utenti a installare software dannoso (backdoor).

Conoscere i trucchi utilizzati dagli hacker per estorcere le credenziali di accesso è fondamentale per proteggere i sistemi informatici. Poiché il bersaglio è una persona e non un server, nessun firewall da solo può colmare questa lacuna.

In questo articolo, imparerai le tecniche di ingegneria sociale più comuni e le misure di sicurezza per contrastarle.

Come funziona l'ingegneria sociale?

Un attacco di ingegneria sociale segue un ciclo ripetibile. Il diagramma seguente mostra le cinque fasi attraversate da un aggressore.

QUI,

Raccogliere informazioniIn questa prima fase, l'attaccante raccoglie quante più informazioni possibili sulla vittima designata. Le informazioni provengono da siti web aziendali, documenti pubblici, social media e conversazioni informali con gli utenti.
Pianifica l'attaccoL'attaccante descrive nel dettaglio come si svolgerà l'attacco e chi verrà contattato per primo.
Acquisisci strumentiQuesti includono i programmi informatici e gli strumenti utilizzati per lanciare l'attacco.
attaccoL'attaccante sfrutta le debolezze del sistema bersaglio, solitamente inducendo una persona ad agire.
Utilizzare la conoscenza acquisitaI dettagli raccolti lungo il percorso, come i nomi degli animali domestici o le date di nascita dei fondatori, alimentano attacchi successivi come l'indovinare le password.

Tipi di attacchi di ingegneria sociale

Le tecniche di ingegneria sociale assumono molte formeI sei casi elencati di seguito rappresentano la maggior parte degli incidenti segnalati.

Sfruttamento della familiarità

Gli utenti sono meno sospettosi nei confronti delle persone che già conoscono, quindi un aggressore potrebbe dedicare del tempo a diventare prima un volto familiare, ad esempio durante i pasti, le pause o gli eventi sociali. Laddove un edificio richieda un codice di accesso o una tessera, è molto più probabile che un volto familiare si faccia tenere la porta aperta. La stessa familiarità incoraggia le persone a rispondere a domande informali come dove hanno incontrato il proprio coniuge o il nome di un insegnante. Queste sono le risposte che vengono richieste per il recupero della password, in modo che possano diventare accesso a account di posta elettronica.

Circostanze intimidatorie

Le persone evitano chiunque appaia arrabbiato o aggressivo. Utilizzando questa tecnica, l'aggressore inscena un'accesa discussione telefonica o un litigio con un complice, per poi chiedere informazioni all'utente. Molti utenti rispondono semplicemente per chiudere la conversazione. La stessa tattica scoraggia il personale dall'effettuare un controllo adeguato ai varchi di sicurezza.

Phishing

Il phishing si avvale di inganni e raggiri per ottenere dati privati. L'ingegnere sociale si spaccia per un servizio legittimo, come un sito di webmail o di online banking, e chiede all'utente di confermare nome utente e password. La stessa tecnica viene utilizzata per carpire numeri di carta, codici di accesso monouso e altri dati personali.

tailgating

Il "tailgating" consiste nel seguire un utente autorizzato attraverso la porta di un'area riservata. Per semplice cortesia, l'utente autorizzato tiene aperta la porta e chi abusa del proprio potere entra senza mostrare il badge.

Sfruttare la curiosità umana

Qui l'ingegnere sociale lascia una chiavetta USB infetta da malware in un luogo dove gli utenti la raccoglieranno. Chi la trova di solito la inserisce e la chiavetta si avvia automaticamente oppure induce l'utente ad aprire un file con un nome invitante come "Stipendio del dipendente". Review.docx.

Sfruttare l'avidità umana

L'ingegnere sociale attira l'utente con la promessa di facili guadagni online, per poi chiedergli di compilare un modulo e confermare la propria identità tramite i dati della carta di credito.

Come prevenire gli attacchi di ingegneria sociale?

La prevenzione inizia dalle abitudini personali. Le seguenti pratiche proteggono da tutti i tipi di attacchi di ingegneria sociale:

Evita di collegare un'unità USB sconosciuta al computer.
Non cliccare sui link presenti nelle email inaspettate; digita l'indirizzo o utilizza un segnalibro salvato.
Utilizza password lunghe e univoche, memorizzate in un gestore di password.
Attiva l'autenticazione a più fattori, privilegiando un'app o una chiave hardware rispetto agli SMS.
Siate cauti nei confronti delle amicizie nate solo online che si trasformano rapidamente in relazioni basate sul denaro o sull'accesso a vantaggi personali.
Mantieni aggiornati il sistema operativo e tutte le applicazioni.
Proteggi i tuoi dispositivi con la crittografia del disco e il blocco schermo.
Installa un software antivirus o di protezione degli endpoint affidabile.
Esegui regolarmente il backup dei tuoi dati e testa il ripristino.
Distruggi i documenti riservati anziché buttarli via.
Utilizza una VPN sulle reti non attendibili.
Blocca il tuo portatile ogni volta che ti allontani.
Prima di agire, verificate le richieste insolite attraverso un secondo canale di comunicazione conosciuto.

Contromisure all'ingegneria sociale

Le abitudini individuali rappresentano solo metà della soluzione. Poiché ogni tecnica manipola un pregiudizio umano prevedibile, un'organizzazione può elaborare una contromisura per ciascuna di esse.

Tecnica	Contromisura organizzativa
Sfruttamento della familiarità	Insegnate agli utenti a non sostituire la familiarità con un controllo di sicurezza. Anche un collega conosciuto rappresenta un'autorizzazione per accedere ad aree e informazioni riservate.
Circostanze intimidatorie	Insegnate agli utenti a riconoscere le tattiche di pressione volte a estorcere informazioni sensibili, a rifiutare cortesemente e a segnalare l'accaduto.
Phishing	I siti affidabili utilizzano connessioni sicure per crittografare i dati e dimostrare la propria identità. Controllate la barra degli indirizzi e non rispondete mai a un'e-mail che richiede informazioni personali.
tailgating	Addestrare gli utenti affinché non permettano mai a terzi di accedere con le proprie credenziali. Ogni persona deve timbrare il badge separatamente e la reception deve controllare i visitatori sprovvisti di badge.
Curiosità umana	Consegnate le chiavette USB ritrovate agli amministratori di sistema, che le analizzeranno su una macchina isolata anziché su una workstation di produzione.
L'avidità umana	Formate i dipendenti affinché siano in grado di riconoscere le truffe che promettono facili guadagni e fornite loro un canale semplice per segnalarle.

L'applicazione delle patch supporta questo tipo di addestramento, perché un attaccante che non riesce a convincere un utente a collaborare si affida a un software non aggiornato.

DOMANDE FREQUENTI

L'hacking sfrutta le debolezze del software o della configurazione; l'ingegneria sociale sfrutta le debolezze delle persone. La maggior parte degli episodi reali combina entrambi gli aspetti: qualcuno viene convinto a compiere un'azione che apre la porta tecnica.

Il pretexting è uno scenario inventato ma credibile: un revisore dei conti, un corriere, un nuovo contractor — usato per giustificare una richiesta. La storia fornisce un contesto sufficiente affinché la trasmissione delle informazioni sembri una routine.

Il vishing è una forma di ingegneria sociale che avviene tramite chiamata vocale; lo smishing utilizza SMS o app di messaggistica. Entrambi spostano la conversazione dalla posta elettronica, dove gli utenti esercitano un controllo minore e i filtri hanno una visibilità ridotta.

Le frodi via email aziendali (Business Email Compromise, BICE) sfruttano l'impersonificazione di un dirigente o di un fornitore per chiedere al personale addetto alla finanza di modificare i dettagli di pagamento o di approvare un bonifico. Le perdite sono elevate perché la richiesta appare di routine.

I modelli generativi scrivono messaggi fluidi in qualsiasi lingua e clonano una voce a partire da un breve campione, in modo che gli errori grammaticali non siano più indice di frode. I difensori rispondono con passaggi di verifica e rilevamento delle anomalie basato sull'intelligenza artificiale.

Indirettamente. GitHub Copilot velocizza gli script che analizzano i log di posta elettronica, segnalano i domini simili e creano dashboard. Non può valutare l'intento, quindi la revisione umana determina comunque il risultato.

Scollega il dispositivo, cambia le password esposte utilizzando un computer pulito e revoca le sessioni attive. Segnala immediatamente l'accaduto in modo che gli amministratori possano reimpostare le credenziali e verificare eventuali accessi successivi.

I report sulle violazioni della sicurezza attribuiscono la maggior parte delle intrusioni riuscite a un fattore umano, come il phishing, il pretexting o il furto di credenziali. Per questo motivo, la formazione sulla consapevolezza dei rischi è considerata un controllo di sicurezza fondamentale.