{"id":1908,"date":"2018-03-08T08:30:29","date_gmt":"2018-03-08T07:30:29","guid":{"rendered":"http:\/\/www.cyberlaws.it\/?p=1908"},"modified":"2019-02-28T18:27:13","modified_gmt":"2019-02-28T17:27:13","slug":"attacchi-ingegneria-sociale-hacking","status":"publish","type":"post","link":"https:\/\/www.cyberlaws.it\/en\/2018\/attacchi-ingegneria-sociale-hacking\/","title":{"rendered":"Gli attacchi di ingegneria sociale"},"content":{"rendered":"

Gli attacchi di ingegneria sociale<\/span><\/h3>\n
di Fabio Capone<\/span><\/h5>\n
\n

L’esponenziale e sistematica crescita del mercato dell’ICT si accompagna ad una crescente esigenza per imprese e privati di investire in sicurezza informatica. La storia, infatti, ci rivela un\u2019inquietante retroscena, che K. D. Mitnick \u2013 noto informatico e \u201cstorico\u201d hacker statunitense \u2013 ha cos\u00ec descritto: \u201cA company can spend hundreds of thousands of dollars on firewalls, intrusion detection systems and encryption and other security technologies, but if an attacker can call one trusted person within the company, and that person complies, and if the attacker gets in, then all that money spent on technology is essentially wasted<\/em>\u201d.<\/p>\n

In un contesto difatti caratterizzato dall\u2019incessante ricerca di nuovi e pi\u00f9 sofisticati sistemi tecnologici di difesa informatica, tali da rendere le reti sempre pi\u00f9 impenetrabili ed i software sempre pi\u00f9 sofisticati, precisi e privi di bug<\/em>, ci\u00f2 che indebolisce il processo di security<\/em> dagli attacchi di cognitive hacking <\/em>\u00e8 proprio l\u2019uomo (per un approfondimento sul tema, v. Phishing: identikit di un attacco di cognitive hacking<\/a><\/em>)<\/p>\n

\u00c8 difatti l\u2019essere umano la vittima prescelta degli attacchi di ingegneria sociale, ovvero di quella serie di tecniche basate su processi cognitivi di influenzamento, inganno e manipolazione che, sfruttando l\u2019ingenua disponibilit\u00e0 e buona fede dell\u2019attaccato – ma talvolta anche la sua ignoranza e poca attenzione – sono finalizzate all\u2019ottenimento di informazioni riservate o sensibili.<\/p>\n

Mitnick, a tal proposito, ha sostenuto che \u201cSocial engineering is using manipulation, influence and deception to get a person, a trusted insider within an organization, to comply with a request, and the request is usually to release information or to perform some sort of action item that benefits that attacker\u201d<\/em>. Infatti \u2013 sempre secondo Mitnick \u2013 \u201cThe key to social engineering is influencing a person to do something that allows the hacker to gain access to information or your network<\/em>\u201d.<\/p>\n

Gli attacchi di social engineering <\/em>rappresentano oggi una minaccia crescente per le principali organizzazioni pubbliche e private. Basti osservare che, stante al pi\u00f9 recente rapporto Clusit, nel 2017 il social engineering <\/em>e il phishing<\/em> hanno avuto un incremento pari al 1.166,67% attestandosi, nella distribuzione delle diverse tecniche di attacco verso le tipologie di bersaglio maggiormente esposte quali Banking, Health e GDO, rispettivamente all\u20198%, al 6% e al 14%.<\/p>\n

Aaron Dolan e il SANS Institute \u2013 una delle principali organizzazioni di computer security training<\/em> \u2013 hanno ricondotto le tecniche di ingegneria sociale in primis <\/em>ad una conoscenza fortemente basata sull\u2019abilit\u00e0 di natura psicologica e sociale che, cos\u00ec come gli inganni comunicativi, le frodi e – pi\u00f9 in generale – gli attacchi cognitivi fanno largo uso della capacit\u00e0 di ottenere la fiducia dalle persone alle quali si vogliono estorcere informazioni sensibili: se ci\u00f2 non pu\u00f2 avvenire attraverso un approccio diretto per non destare sospetti, spesso chi utilizza queste forme di attacco ricava tali informazioni attraverso una moltitudine di contatti ed interazioni brevi, in cui le richieste ed il coinvolgimento dell\u2019interlocutore vengono percepite come minime.<\/p>\n

In particolare, secondo l\u2019autore, pi\u00f9 ampie sono le organizzazioni all\u2019interno delle quali vengono utilizzate queste tecniche, maggiore \u00e8 la probabilit\u00e0 di stabilire un rapporto di fiducia, in quanto molto alta \u00e8 la possibilit\u00e0 di minimizzare le singole richieste e massimizzare il numero di contatti: infatti non solo l\u2019interazione sociale \u00e8 rilevante, ma lo \u00e8 anche il numero di interazioni sociali \u201cdisponibili\u201d.<\/p>\n

Le tecniche di social engineering<\/em> spesso vengono ricondotte anche all\u2019abilit\u00e0 di creare una situazione in cui sia l\u2019attaccante a dover aiutare la vittima. Questi attacchi di \u201csabotage, advertising and assisting<\/em>\u201d \u2013 chiamati di ingegneria sociale inversa (reverse social engineering<\/em>) \u2013 oltre ad essere un buon mezzo per costruire o rafforzare una relazione di fiducia, modificano la percezione e le credenze delle vittime inducendole ad essere riconoscenti nei confronti dell\u2019attaccante.<\/p>\n

Simili a queste ultime vi sono, infine, le situazioni in cui l\u2019ingegnere sociale impersona un individuo che riveste un ruolo di peso, di rilievo o un\u2019autorit\u00e0, allo scopo di trarre in inganno, intimidire o semplicemente instaurare un rapporto di subalternit\u00e0 con la vittima.<\/p>\n

\n

Chi \u00e8 dunque l\u2019ingegnere sociale?<\/p>\n<\/blockquote>\n

Un individuo da annoverare alla categoria degli hacker e, tra questi, \u00e8 forse il pi\u00f9 subdolo, perch\u00e9 la sua \u00e8 un\u2019azione premeditata, di studio approfondito della vittima da colpire.<\/p>\n

Sotto il profilo criminologico viene descritto come un soggetto capace di gestire le proprie emozioni, con un grado di istruzione medio-alto, ben integrato nel contesto sociale in cui opera, che non manifesta problemi a rapportarsi con la persona che ha di fronte ed \u00e8 abile a sfruttarne le debolezze. Particolarmente attento alle parole che pronuncia, \u00e8 una persona amante dell\u2019informatica e della psicologia, capace di trovare molteplici soluzioni alle problematiche che si trova a fronteggiare e determinata a conseguire profitti economici o vantaggi di altro tipo.<\/p>\n

Riconoscere un ingegnere sociale tuttavia non \u00e8 facile: non dovendo essere necessariamente un super esperto di informatica, tale figura potrebbe celarsi dietro una qualsiasi persona purch\u00e9 abbia, tra le sue virt\u00f9, la capacit\u00e0 di entrare \u201cempaticamente\u201d in contatto con l\u2019interlocutore e riuscire a costruire un rapporto di fiducia nei propri confronti.<\/p>\n

La vittima ideale \u00e8 dunque una persona che appare facilmente manipolabile \u2013 come d\u2019altronde sostengono i pentester <\/em>e i security specialist<\/em>: \u201cthere\u2019s no patch for human stupidity<\/em>\u201d \u2013 scelta in base a diverse informazioni ed in relazione all\u2019attacco che si intende sferrare. Ad esempio, la conoscenza dettagliata del ruolo che ricopre un individuo in ambito lavorativo, ma soprattutto le sue abilit\u00e0 informatiche, unitamente alla capacit\u00e0 dell\u2019ingegnere sociale di leggere ed interpretare le policy<\/em> aziendali per scovarne le lacune o sfruttare i bug <\/em>presenti nei processi di lavoro, consentono di ottenere preziose informazioni finalizzate ad arrecare danni al core business <\/em>di un\u2019azienda oppure a mettere in crisi il sistema informatico o telematico, nel pi\u00f9 totale anonimato e senza eccessivi rischi. Gli obiettivi di questi attacchi risultano infatti sempre pi\u00f9 finalizzati a carpire o compromettere dati ed informazioni che finiscono per colpire una parte importante del patrimonio aziendale.<\/p>\n

Indipendentemente dalle tecniche adottate \u2013 phishing<\/em>, pretexting<\/em>, pharming e scamming, SET (Social Engineering Toolkit)<\/em>, dumpster diving<\/em>, citandone alcune \u2013 ogni ingegnere sociale si concentrer\u00e0 sempre sui tratti comportamentali e psicologici del suo target<\/em> quali, ad esempio, l\u2019eccitazione per una vittoria, il timore delle autorit\u00e0, il desiderio di essere utili, la paura di una perdita, la pigrizia, l\u2019ego<\/em>, l\u2019ignoranza, cos\u00ec da realizzare stratagemmi che fanno leva sullo stato mentale della vittima allorquando reagisce a situazioni abilmente architettate: ad esempio, chi riceve una mail attestante un\u2019ingente vincita viene preso dall\u2019entusiasmo e, seguendo diligentemente le istruzioni ivi contenute, compie inconsapevolmente operazioni che finiscono per rendere il proprio sistema informatico vulnerabile agli attacchi di rete.<\/p>\n

Ogni tipologia di attacco di ingegneria sociale \u00e8 generalmente suddivisa in quattro fasi principali:<\/p>\n

    \n
  1. footprinting<\/em>: \u00e8 il momento fondamentale di preparazione, la cui riuscita dipende quasi esclusivamente dall\u2019attenzione e accuratezza prestata in sede realizzativa. Durante tale fase, che pu\u00f2 protrarsi per un periodo medio-lungo a seconda della complessit\u00e0 dell\u2019attacco, si recuperano informazioni sulla potenziale vittima e si studiano le modalit\u00e0 con cui entrarvi in contatto. Nel contesto aziendale, ad esempio, l\u2019ingegnere sociale studia ed analizza i sistemi di comunicazione, le modalit\u00e0 di funzionamento della posta interna, i giorni e gli orari di pulizia, l\u2019organigramma e gli uffici, il comportamento degli addetti alla sicurezza e delle segreterie, le mail, le telefonate e le informazioni in esse contenute, ecc.
    \nL\u2019attaccante sfrutta ed elabora quello che Mitnick chiama \u201cil valore nascosto dell\u2019informazione\u201d (hidden value of information<\/em>), per cui qualsiasi dato acquisito \u2013 sia se considerato singolarmente, sia se connesso con altri \u2013 pu\u00f2 essere utile per scoprire altre e pi\u00f9 importanti informazioni;<\/li>\n
  2. contatto<\/em>: una volta individuata la vittima, l\u2019attaccante cercher\u00e0 di stabilire con lei un contatto, prestando particolare attenzione a non farla insospettire sui suoi intenti fraudolenti o, comunque, illeciti;<\/li>\n
  3. manipolazione psicologica<\/em>: \u00e8 la fase in cui l\u2019ingegnere sociale, utilizzando tecniche psicologiche e strumenti idonei ad influenzare e manipolare la vittima, cerca di carpirle quante pi\u00f9 notizie o informazioni possibili. Successivamente potr\u00e0 dirigersi verso un ulteriore target<\/em>;<\/li>\n
  4. fuga<\/em>: terminato l\u2019attacco, l\u2019ingegnere sociale si allontana dal contesto in cui ha operato facendo perdere le proprie tracce.<\/li>\n<\/ol>\n

    Per concludere: quali possono essere gli strumenti a difesa degli \u201cassalti\u201d di ingegneria sociale alla mente umana?<\/p>\n

    Sebbene siano state elaborate, per ogni metodologia di attacco, diverse e specifiche contromisure in campo tecnologico \u2013 antivirus<\/em> e anti-malware<\/em>, firewall<\/em> e IPS\/IDS, etc. \u2013 l\u2019elemento chiave di difesa \u00e8 rappresentato dalla conoscenza e dalla formazione: in ambito aziendale ci\u00f2 si realizza soprattutto implementando ed aggiornando le policy<\/em> di protezione dei dati.<\/p>\n

    \u00c8 essenziale infatti che, una volta definite le impostazioni di controllo delle informazioni e di chi vi abbia accesso, i dipendenti conoscano, attraverso la policy<\/em>, il corretto utilizzo degli strumenti messi a loro disposizione al fine di evitare fenomeni di data breach<\/em>: le minacce che essenzialmente possono derivare dall\u2019attivit\u00e0 lavorativa sono riconducibili alla diffusione, volontaria o meno, delle informazioni e all\u2019utilizzo erroneo delle stesse. Accanto all\u2019adozione di strumenti conformi alle misure adottate dal legislatore per cercare di arginare il problema \u2013 si veda al riguardo la figura dell\u2019incaricato di cui all\u2019art. 4, lett. h, d.lgs. n. 196\/2003 (cd. Codice privacy<\/em>) e, di prossima obbligatoria applicazione per tutte le imprese italiane ed europee, l\u2019art. 39, comma 1, lett. a., Reg. UE 2016\/679 (cd. GDPR), laddove viene assegnato al DPO il compito di formare e sensibilizzare il personale che partecipa ai trattamenti e alle connesse attivit\u00e0 di controllo \u2013 una corretta e costante formazione ed istruzione periodica impartita ai dipendenti pu\u00f2 portare, in termini di benefit aziendali, ad un maggior controllo e ad una consapevolezza di ci\u00f2 che \u00e8 consentito e lecito compiere in ambiente di lavoro.<\/p>\n

    \u00c8 pertanto indiscutibile che la sensibilizzazione alla formazione e alla conoscenza resta il modo migliore per ridurre la vulnerabilit\u00e0 della mente umana ai tentativi di attacco di ingegneria sociale, da affiancarsi all\u2019aggiornamento di un antivirus<\/em> o all\u2019adeguamento tecnologico quali misure che limitano i rischi di un attacco di rete ad un sistema informatico o telematico.<\/p>\n

    Bibliografia<\/strong><\/p>\n

    D. Mitnick, L\u2019arte dell\u2019inganno<\/em>, Milano, Feltrinelli, 2013
    \nD. Mitnick, L\u2019arte dell\u2019intrusione<\/em>, Milano, Feltrinelli, 2006
    \nEnrici, La dimensione psicologica nella sicurezza informatica: un approccio cognitivo, Santarcangelo di Romagna<\/em>, Maggioli Editore, 2011.
    \nDolan, SANS Institute InfoSec Reading Room<\/em>, 2004, in http:\/\/www.sans.org.
    \nRapporto Clusit 2017 sulla sicurezza ICT in Italia<\/p>\n

    \n

    Autore:<\/h4>\n