Il social engineering è una tipologia di cyber attacco, basata su tecniche manipolatorie, che sfrutta le debolezze umane ed è utilizzata per ottenere con l’inganno informazioni riservate o l’accesso non autorizzato a sistemi e risorse. A differenza degli altri attacchi informatici, attraverso questa tecnica i cyber criminali riescono ad ottenere informazioni e dati sensibili direttamente dai dipendenti aziendali. Proprio per tale motivo, le aziende che non hanno implementato una strategia di sicurezza informatica avanzata presentano un alto rischio di attacchi di questo tipo.
Il social engineering è la minaccia più difficile da prevenire in quanto sfrutta le emozioni umane e non le vulnerabilità dei sistemi informatici. Ecco perché la formazione dei dipendenti è la migliore arma di difesa per prevenire questa tipologia di attacchi.
Vediamo insieme cos’è il social engineering, come funziona e come difendersi da questo attacco.
Cos’è il social engineering
Il social engineering è una tecnica manipolatoria utilizzata per effettuare cyber attacchi mirati direttamente agli utenti e ottenere informazioni riservate. I criminali informatici che utilizzano il social engineering non si affidano a sofisticate tecniche ma sfruttano semplicemente l’elemento umano, molto spesso il punto più debole del sistema. Gli attacchi di social engineering possono avvenire in molti modi e non solo online: attraverso conversazioni, messaggi, email e siti web.
I cyber criminali solitamente mirano ad ottenere la fiducia della vittima sfruttando il desiderio di aiutare, infondendo paura o semplice distraendola. Ad esempio, possono presentarsi come tecnici, colleghi o incaricati da un servizio di assistenza clienti con l’obiettivo di convincere a rivelare informazioni sensibili, password, numeri di carte di credito e altri dati personali e riservati.
Come Funziona il Social Engineering
Il social engineering non si basa su una tecnica unica ma è un processo composto solitamente da quattro fasi:
1. Ricerca: il cyber criminale raccoglie le informazioni sulla vittima, come i dati presenti online e sui social media, utilizzando il phishing o analizzando documenti cartacei non conservati correttamente o cestinati in maniera impropria. Anche il contatto diretto è un metodo altamente diffuso.
2. Ingegnerizzazione: basandosi sulle informazioni ottenute dalla ricerca, il criminale informatico inventa una storia convincente o un pretesto per interagire con la vittima. Può fingere di lavorare per un ente o azienda esistente o creare un senso di urgenza che costringa a rivelare informazioni.
3. Manipolazione: il cyber criminale utilizza la storia o il pretesto per manipolare la vittima e ottenere le informazioni desiderate attraverso la persuasione, le minacce, la necessità o l’inganno.
4. Uso delle informazioni: ottenute le informazioni desiderate, il criminale informatico le utilizza per mettere a segno i suoi scopi illeciti come frodi finanziarie, furto d’identità o accesso non autorizzato ai sistemi.
Cyber security, immagini e violazione dati: non fidarti di ciò che vedi
Come Difendersi dal social engineering
Per difendersi dal social engineering e prevenire frodi e furti aziendali è necessario formare i dipendenti per conoscere le tecniche utilizzate dai criminali informatici e adottare comportamenti sicuri. La maggior parte dei cyber attacchi avviene infatti a causa di errori umani come l’apertura di email delle quali non è certa la provenienza, distrazione, utilizzo di password deboli o clic su link malevoli.
Ecco i nostri consigli per prevenire il social engineering:
- Formare i dipendenti: conoscendo le tecniche di social engineering più comuni, come il phishing, il tailgating, il baiting e le tecniche di manipolazione, è possibile diminuire il rischio di cadere nella trappola. È inoltre necessario mantenere alto il livello di attenzione dei lavoratori.
- Verificare le informazioni: i dipendenti, quando ricevono email, chiamate o messaggi con richieste di informazioni riservate, devono imparare a verificare sempre la provenienza di chi fa la richiesta. Non devono mai dare informazioni sensibili senza approfonditi controlli.
- Utilizzare una politica di minimo privilegio: Limitare l’accesso alle informazioni solo a chi ne ha realmente bisogno limita l’esposizione di tali informazioni ai cyber criminali che utilizzano il social engineering.
- Implementare misure di sicurezza: l’utilizzo di autenticazione a due fattori, password complesse e cambiate spesso può aiutare ma non è assolutamente sufficiente. Per mantenere al sicuro l’intera azienda è necessario implementare una protezione avanzata in grado di proteggere anche i dipendenti da attacchi di social engineering.
Il social engineering purtroppo è una minaccia sempre più presente e in crescita perché per i criminali informatici è molto più semplice sfruttare le debolezze umane piuttosto che riuscire ad accedere all’interno di infrastrutture di rete protette. Ecco perché è importante implementare una strategia di cyber security a 360°: solo una difesa enterprise può mantenere un’azienda protetta da tutte le tipologie di minacce informatiche.
