Il termine “ingegneria sociale” potrebbe sembrare il nome di una laurea in scienze politiche o di una specializzazione in gestione dei social media. Tuttavia, la realtà del social engineering è ben più inquietante.
L'ingegneria sociale è un tipo di attacco informatico che ricorre alla manipolazione psicologica per indurre le persone a divulgare informazioni sensibili o a concedere un accesso non autorizzato.
Poiché le superfici di attacco delle organizzazioni si sono ampliate (si apre in una nuova scheda) — a causa dell’aumento del lavoro da remoto e dell’espansione dei servizi cloud e dei canali di comunicazione digitale — sono aumentate anche le opportunità di attacchi di ingegneria sociale. Una volta all’interno, un malintenzionato si finge un utente legittimo e si muove liberamente all’interno della vostra rete, mettendo alla prova la vostra sicurezza, installando backdoor, spiando le vostre comunicazioni e sottraendo i vostri dati sensibili.
Questi attacchi comportano inoltre costi sempre più elevati per le vittime, anno dopo anno. Ad esempio, le segnalazioni relative al “Business Email Compromise” (BEC) (una forma comune di ingegneria sociale) sono state incluse per la prima volta nel rapporto dell’FBI Internet Crime Complaint Center (IC3) intitolato “ ” 2014 , disponibile all’indirizzo (si apre in una nuova scheda); tuttavia, come indicato nel rapporto, questo tipo di truffa potrebbe aver iniziato a manifestarsi già nel 2010. Da quando il IC3 ha iniziato a calcolare le perdite causate dalle truffe BEC nel 2014 (226 milioni di dollari), il costo è aumentato di quasi il 13x.
In questa guida completa definiremo il concetto di ingegneria sociale, analizzeremo le tecniche comunemente utilizzate dagli autori delle minacce, esamineremo esempi reali di attacchi di ingegneria sociale andati a buon fine e proporremo strategie per proteggere la vostra organizzazione.
Definizione semplificata di ingegneria sociale
A differenza di altre minacce alla sicurezza informatica che sfruttano vulnerabilità tecniche, l’ingegneria sociale prende di mira le persone, il che la rende particolarmente insidiosa ed efficace poiché le reazioni umane sono imprevedibili.
Negli attacchi di ingegneria sociale, i criminali informatici sfruttano le paure e le emozioni delle loro vittime. Tra i segnali di allarme più comuni relativi a questo tipo di attacco figurano:
- Il dominio del mittente imita quello di un marchio ufficiale — pratica nota anche come “spoofing” — nella speranza che le vittime trascurino piccole incongruenze nell’indirizzo e-mail del mittente
- Gli autori degli attacchi potrebbero utilizzare account di posta elettronica compromessi per inviare spam e richieste insolite ai contatti della vittima; ciò significa che gli attacchi di ingegneria sociale possono spesso apparire legittimi
- I truffatori potrebbero promettere ricompense che sembrano troppo belle per essere vere oppure richiedere dati personali
Perché l’ingegneria sociale rappresenta una minaccia significativa per la sicurezza informatica?
Anche con le misure di sicurezza più rigorose, un solo dipendente che cada vittima di un attacco di ingegneria sociale può mettere a rischio l’intera organizzazione. Una volta all’interno, l’autore dell’attacco può muoversi lateralmente (si apre in una nuova scheda), esplorando silenziosamente la vostra infrastruttura per individuare vulnerabilità di sicurezza e individuare risorse e dati critici che possano essere sottratti o sfruttati.
Possono installare backdoor e altri software dannosi che consentono loro di entrare e uscire a loro piacimento, sottraendo dati (con conseguenti multe, azioni legali e perdita di fiducia) e distruggendo file (e la vostra reputazione).
Come mossa finale, si reintrodurranno attraverso le backdoor che hanno installato e utilizzeranno la vostra infrastruttura per diffondere malware, inviare e-mail di phishing o sferrare attacchi denial-of-service — il tutto facendo sembrare che la colpa sia della vostra organizzazione.
Qual è il costo di un attacco di ingegneria sociale?
Il costo finanziario degli attacchi di ingegneria sociale può essere sbalorditivo. Nel 2023, il rapporto “” di Verizon sulle indagini relative alle violazioni dei dati (DBIR) (si apre in una nuova scheda) ha rilevato che il 17% delle violazioni dei dati negli Stati Uniti e il 10% degli incidenti informatici sono stati causati dal social engineering.
Ma questo non è il prezzo totale; vi saranno danni duraturi e immateriali, difficili da quantificare, tra cui:
- I clienti, i partner e gli investitori perderanno fiducia, con conseguente calo del volume d’affari e del valore del marchio
- Multe, sanzioni, notifiche di violazione ed eventuali azioni legali possono comportare notevoli oneri finanziari e legali
- I fermi di produzione dovuti a indagini e interventi di bonifica possono incidere in modo significativo sulla produttività e sulla continuità operativa
- La perdita di segreti commerciali e di informazioni riservate può compromettere il vantaggio competitivo sul mercato
Tuttavia, gli investimenti nella prevenzione, nell’individuazione e nella risposta efficace a tali minacce possono ridurre al minimo le conseguenze a lungo termine di un attacco riuscito.
Tipi comuni di attacchi di ingegneria sociale
Gli autori di attacchi di ingegneria sociale ricorrono a varie tattiche per sfruttare le vulnerabilità umane. Possono essere utilizzati in modo indipendente oppure combinati strategicamente per massimizzarne l’efficacia. Il malware e il ransomware vengono spesso utilizzati in combinazione con tecniche di ingegneria sociale per sferrare attacchi informatici e diffondere software dannoso, il che può causare gravi interruzioni dell’attività aziendale, perdite finanziarie e danni alla reputazione.
Di seguito sono elencate dieci delle tecniche di ingegneria sociale più diffuse:
- Baiting
Il baiting sfrutta la curiosità umana e il desiderio di ottenere omaggi, indurre le vittime a rivelare informazioni riservate (ad esempio, numeri di previdenza sociale, date di nascita, ecc.) o a installare malware tramite unità USB infette, contenuti gratuiti fasulli o siti di phishing. - Compromissione della posta elettronica aziendale (si apre in una nuova scheda)
Le truffe BEC spesso consistono nell’usurpare l’identità di dirigenti per creare un senso di urgenza e affermare la propria autorità. Possono inoltre indurre la vittima a trasferire fondi sul conto dell’autore dell’attacco o a rivelare informazioni riservate. - Attacchi di phishing (si apre in una nuova scheda)
Le campagne di phishing, i siti web o i messaggi istantanei che si spacciano per organizzazioni legittime, quali banche o enti governativi, inducono le vittime a divulgare informazioni quali i numeri delle carte di credito o dei conti bancari. - Pretexting
Gli autori degli attacchi potrebbero spacciarsi per figure autoritarie, quali forze dell’ordine, funzionari fiscali o personale di assistenza informatica, al fine di convincere le vittime a divulgare informazioni sensibili. - Quid pro quo
Gli attacchi di tipo “quid pro quo” sfruttano la nostra tendenza umana a ricambiare i favori e a riporre fiducia nelle figure autoritarie. Gli autori degli attacchi potrebbero offrire servizi o regali in cambio di credenziali di accesso o dati personali. - Smishing
Lo smishing (phishing via SMS) utilizza i messaggi di testo. È efficace perché le persone si fidano maggiormente degli SMS rispetto alle e-mail e i dispositivi mobili dispongono spesso di minori funzionalità di sicurezza rispetto ai computer. - Spear phishing
Lo spear phishing è una forma di phishing altamente mirata, che prende di mira individui o organizzazioni specifici. Gli autori degli attacchi effettuano ricerche sui propri bersagli per elaborare messaggi convincenti, che risultano difficili da Detect poiché privi degli evidenti segnali di allarme tipici delle truffe di phishing generiche. - Tailgating / piggybacking
Gli attacchi di tipo “tailgating” e “piggybacking” consistono nel seguire fisicamente una persona autorizzata all’interno di un’area riservata. Questo tipo di attacco in presenza sfrutta la nostra tendenza a essere disponibili e si basa sul presupposto che una persona presente in un’area autorizzata debba necessariamente trovarsi lì. - Vishing (si apre in una nuova scheda)
Gli autori degli attacchi di vishing (voice phishing) si guadagnano credibilità e fiducia spacciandosi per rappresentanti di organizzazioni legittime. Ricorrono a telefonate o messaggi vocali e fanno ampio ricorso al senso di urgenza e alla paura per indurre le vittime a rivelare rapidamente informazioni sensibili o a compromettere la sicurezza. - Attacchi “watering hole”
Negli attacchi “watering hole”, l’autore dell’attacco compromette un sito web frequentato da un gruppo specifico (ad esempio, dipendenti di un’azienda, operatori del settore, ecc.), infettandolo con malware o script dannosi che sfruttano la fiducia delle vittime nel sito.
Esempi concreti di attacchi di ingegneria sociale
BEC: Nigeria — Carolina del Nord — Texas (si apre in una nuova scheda)
Due truffatori nigeriani hanno utilizzato uno schema BEC per tentare una frode da 5 milioni di dollari ai danni di università e aziende della Carolina del Nord e del Texas. Dopo aver appreso che i progetti edilizi dell’università erano gestiti da un’unica grande società, hanno registrato un dominio simile. Utilizzando un indirizzo e-mail contraffatto, hanno convinto alcuni dipendenti universitari della Carolina del Nord a trasferire più di 1,9 milioni di dollari su un conto bancario fraudolento. Hanno utilizzato gli stessi metodi per tentare di sottrarre più di 3 milioni di dollari in Texas.
I complici rischiano ora lunghe pene detentive e sono tenuti a pagare un risarcimento e una somma stabilita dal tribunale. Tuttavia, il risarcimento sarà lento — ammesso che avvenga — e non potrà mai coprire l’intero costo dei danni.
Phishing — Minnesota (si apre in una nuova scheda)
A Cottage Grove, nel Minnesota, i funzionari comunali sono caduti vittime di una truffa di phishing che è costata ai contribuenti oltre 1,2 milioni di dollari. Il Comune aveva stipulato un contratto del valore di 3,5 milioni di dollari con la Geislinger & Sons per un progetto di trattamento delle acque reflue.
Utilizzando un dominio di posta elettronica falso, i truffatori hanno convinto gli amministratori a trasferire fondi su un conto bancario fraudolento. La truffa è venuta alla luce dopo che la vera azienda ha richiesto il pagamento delle somme in sospeso. Gli agenti federali hanno rintracciato parte dei fondi nel Regno Unito e stanno lavorando per recuperarli.
Ransomware — Las Vegas (si apre in una nuova scheda)
Secondo la documentazione normativa obbligatoria depositata presso la Securities and Exchange Commission (SEC), Caesars Entertainment Inc. ha versato decine di milioni di riscatto (si apre in una nuova scheda) a Scattered Spider (si apre in una nuova scheda), un gruppo di hacker che utilizza la tecnica “Bring Your Own Vulnerable Driver” (BYOVD) per eludere endpoint le soluzioni di rilevamento e risposta e violare la propria rete. Gli hacker hanno innanzitutto utilizzato una tecnica di ingegneria sociale per violare i sistemi di un fornitore IT esterno e, successivamente, hanno avuto accesso alla rete di Caesars per copiare il database del programma fedeltà, comprese le informazioni di identificazione personale (PII).
Nel giro di pochi giorni, Scattered Spider, in collaborazione con AlphV, ha messo in atto un elaborato schema di pretexting ai danni di , MGM International (si apre in una nuova scheda).
Spacciandosi per un dipendente di MGM Resorts di cui avevano raccolto informazioni su LinkedIn, hanno convinto l’help desk IT di MGM a divulgare informazioni sufficienti per consentire loro di accedere ai privilegi di amministratore agli ambienti tenant di MGM su Okta e Azure . Il giorno successivo, il reparto di sicurezza di MGM ha rilevato un traffico insolito; a quel punto, AlphV ha ammesso di aver intercettato le password sui server Okta e ha immediatamente distribuito un ransomware. Il documento depositato dalla MGM presso la SEC riporta perdite pari a 100 milioni di dollari (si apre in una nuova scheda).
Come è possibile proteggersi dagli attacchi di ingegneria sociale?
Per proteggersi dagli attacchi di ingegneria sociale e rafforzare il “firewall umano”, le organizzazioni devono adottare un approccio multiforme che combini la formazione dei dipendenti, misure di sicurezza integrate e un’efficace gestione delle identità e degli accessi (si apre in una nuova scheda).
4 modi per implementare un firewall umano contro gli attacchi di ingegneria sociale
1. Organizzare frequentemente corsi di formazione sulla sensibilizzazione alla sicurezza per i dipendenti
- Comprendono l’identificazione delle tattiche di ingegneria sociale, la navigazione sicura e la gestione dei dati sensibili
- Utilizzate la gamification e metodi interattivi per rendere la formazione indimenticabile
- Adattare la formazione ai ruoli per affrontare le sfide specifiche in materia di sicurezza
2. Segua le migliori pratiche in materia di sicurezza e di "cyber igiene"
- Implementare il Single Sign-On (SSO) e la gestione delle password per garantire l’utilizzo di password sicure
- Applicare Zero Trust (si apre in una nuova scheda) con autenticazione a più fattori (MFA) (si apre in una nuova scheda) per i sistemi e le applicazioni critici
- Utilizzi l’autenticazione basata sul rischio per ridurre gli ostacoli
3. Migliorare i controlli di accesso
- Conceda l’accesso solo alle risorse e ai dati di cui i dipendenti hanno bisogno per svolgere il proprio lavoro — riveda e aggiorni regolarmente le autorizzazioni
- Monitorare l’attività degli utenti e i modelli di accesso per individuare comportamenti anomali
- Riducete al minimo gli errori umani e alleggerite il carico di lavoro del vostro team IT grazie all’automazione della gestione degli accessi
4. Definire procedure i di risposta agli incidenti e di segnalazione
- Definire procedure chiare per la gestione e la segnalazione di presunti attacchi
- Incoraggiate la segnalazione senza timori di attività sospette, quali le e-mail di phishing
- Monitorare gli endpoint per individuare i rischi (si apre in una nuova scheda) e Detect, analizzare e individuare gli incidenti in modo più semplice, al fine di contenere le minacce rilevate in tempo reale e mitigarne i danni
Come contrastare la crescente minaccia del social engineering
Purtroppo, non esiste una soluzione o una strategia unica in grado di garantire una protezione completa contro questi attacchi sempre più sofisticati e manipolatori. Per contrastare al meglio tali minacce, le organizzazioni devono adottare politiche di sicurezza complete e a più livelli, a partire dal modello Zero Trust, secondo il quale nessun utente, dispositivo o rete viene considerato affidabile senza essere stato preventivamente verificato. Con l’adozione del modello Zero Trust, le organizzazioni possono mantenere più facilmente un modello di sicurezza agile che riduce la superficie di attacco e i rischi per la sicurezza, garantendo che i dati sensibili siano accessibili solo agli utenti che ne hanno effettivamente bisogno.
Il passo successivo dovrebbe consistere nel rafforzare il Suo “firewall umano”. La formazione costituisce parte integrante di tale protezione, ma affinché gli utenti adottino con successo la soluzione è necessario che questa preveda anche un’eccellente esperienza digitale dei dipendenti (DEX). Per i dipendenti sta diventando sempre più frustrante reperire le informazioni e gli strumenti necessari per svolgere il proprio lavoro. In assenza di una strategia efficace incentrata sull’esperienza dei dipendenti, le organizzazioni potrebbero registrare un calo della produttività, un crollo della fidelizzazione e il completo abbandono delle migliori pratiche in materia di sicurezza informatica.
Infine, la vostra organizzazione necessita di politiche efficaci di controllo degli accessi e di una visibilità completa sul proprio ambiente per poter Detectare, indagare e risolvere tempestivamente le potenziali minacce. Garantendo che solo le persone autorizzate dispongano dell’accesso appropriato nei momenti opportuni e mantenendo un chiaro controllo sulle attività del sistema, le organizzazioni possono ridurre in modo significativo il proprio profilo di rischio e migliorare la propria capacità di reagire agli incidenti di ingegneria sociale e di riprendersi da essi.
La piattaforma di Tanium (si apre in una nuova scheda) Le consente di gestire e proteggere i Suoi endpoint da un’unica console, grazie a una serie di soluzioni disponibili progettate per affrontare le sfide informatiche odierne. Ad esempio, la nostra soluzione DEX (si apre in una nuova scheda) offre una visione in tempo reale delle interazioni digitali dei Suoi dipendenti, consentendo, ad esempio, di monitorare endpoint e i dati delle applicazioni, di misurare e documentare il sentiment dei dipendenti, nonché di utilizzare tali informazioni per affrontare i problemi e mantenere la produttività dei dipendenti in modo proattivo. Adottando un approccio proattivo volto a garantire un ambiente digitale senza soluzione di continuità all’interno della vostra organizzazione, la gestione dell’esperienza dei dipendenti diventa un pilastro fondamentale della vostra strategia IT.
Con " Tanium", otterrete visibilità in tempo reale sui vostri dispositivi endpoint (si apre in una nuova scheda) — nonché gli strumenti necessari per ottimizzare, semplificare e supportare la vostra capacità di proteggere le risorse critiche per l’azienda. Ciò include la nostra visione relativa all’Autonomous Endpoint Management (AEM), che utilizzerà l’ , un’intelligenza artificiale composita (si apre in una nuova scheda) per fornire funzionalità di automazione intelligente e di processo decisionale finalizzate alla gestione degli endpoint IT. Potete visitare il sito , richiedere una demo all’indirizzo (si apre in una nuova scheda),o oggi stesso per verificarlo di persona.
