Che cos'è il pretexting? Attacchi, esempi e tecniche

Scopri come il pretexting manipola la fiducia per rubare dati sensibili. Impara le tattiche utilizzate dagli aggressori e scopri le strategie per identificare, prevenire e difenderti da queste minacce informatiche.

Con l'evoluzione della tecnologia, i crimini informatici stanno diventando sempre più sofisticati nel mondo cibernetico, soprattutto quando si tratta di utilizzare tecniche legate allo sviluppo tecnologico. Esiste infatti un metodo chiamato pretexting, che è una forma di ingegneria sociale in cui vengono fornite informazioni false a qualcuno per indurlo a divulgare informazioni sensibili. A differenza dei metodi di hacking tradizionali che sfruttano le vulnerabilità tecniche, il pretexting sfrutta la psicologia umana, la fiducia e una posizione di autorità.

Con la crescente digitalizzazione delle operazioni, le organizzazioni sono diventate sempre più vulnerabili a varie forme di attacchi informatici e uno dei più sinistri è proprio il pretexting. Nella maggior parte dei casi, gli autori ottengono informazioni sulle loro vittime dai social media e da altri media online. Impersonando figure di fiducia, come colleghi, supporto IT o fornitori, gli aggressori possono coinvolgere le persone e convincerle a divulgare dati critici, come password o informazioni finanziarie.

Un esempio significativo è l'attacco del 2015 a Ubiquiti Networks. In questo caso, il pretexting è stato utilizzato per infiltrarsi impersonando i dirigenti dell'azienda e richiedendo pagamenti fraudolenti sui loro conti bancari per un importo sorprendente di 46,7 milioni di dollari.

Questo articolo fornirà una visione approfondita del pretexting spiegandone la natura, distinguendolo dal phishing, illustrandone l'impatto sulle organizzazioni, le metodologie, i tipi di truffe, le strategie di rilevamento e fornendo esempi reali, tra le altre cose. Fornirà inoltre consigli pratici su come le organizzazioni possono proteggersi dagli attacchi di pretexting.

Panoramica sul pretexting

Il pretexting consiste in una tecnica di ingegneria sociale in cui un aggressore elabora uno scenario falso elaborato, o pretesto, con lo scopo di coinvolgere il bersaglio e convincerlo a divulgare informazioni riservate. Si basa sulla fiducia, sull'autorità e sulle norme sociali per sfruttare situazioni in cui si maschera da entità autentica, come un rappresentante bancario, un addetto all'assistenza IT o un funzionario governativo.

Pretexting vs Phishing

Sebbene sia il pretexting che il phishing siano tipi di ingegneria sociale intesi a truffare gli utenti per ottenere informazioni sensibili, essi differiscono in termini di approccio.

Una truffa di phishing consiste principalmente in e-mail o messaggi fraudolenti che inducono gli utenti a cliccare su link offensivi o a scaricare allegati dannosi. Assume la forma di un sito affidabile, come siti bancari o servizi online, e conduce la vittima a siti web falsi dove vengono estratte informazioni personali, come credenziali di accesso o informazioni finanziarie. Come qualsiasi altra attività dannosa, anche il phishing assume molte altre forme, come lo spear phishing, che prende di mira persone o organizzazioni specifiche. Esiste anche il vishing, ovvero il phishing vocale, in cui una chiamata coglie di sorpresa la vittima, richiedendole informazioni.

Al contrario, il pretexting consiste nel tentativo di creare una storia credibile per estrarre informazioni direttamente dalla vittima. Di solito, gli aggressori preparano adeguatamente il bersaglio, dove le informazioni sui dettagli personali o professionali consentono loro di progettare storie credibili. Ad esempio, un aggressore potrebbe fingere di essere un dirigente aziendale o un addetto all'assistenza IT e ottenere informazioni dalla vittima coinvolgendola in una conversazione per convincerla a rivelare informazioni sensibili con il pretesto di una richiesta valida. A differenza del phishing, che si basa su tattiche digitali pesanti, il pretexting spesso ha a che fare con la comunicazione diretta e può quindi essere più personale e potenzialmente molto più influente.

Impatto del pretexting a livello organizzativo

Le organizzazioni possono subire danni significativi sotto diversi aspetti una volta che il pretexting è stato eseguito con successo. Poiché le informazioni sensibili possono essere compromesse nei registri dei dipendenti o nei dati dei clienti, ciò può portare a una violazione dei dati. Può anche causare perdite dovute a furti o altri costi legati alle misure correttive intraprese.

Inoltre, le organizzazioni possono subire danni alla reputazione. Quando i clienti non ritengono che un'azienda si prenda cura delle informazioni raccolte, tale azienda può anche subire una perdita di entrate e di quote di mercato. Dal punto di vista legale, gli attacchi di pretexting sono pericolosi. Se queste informazioni sensibili, in particolare le PII, vengono divulgate, le organizzazioni potrebbero incorrere in multe e revisioni normative per centinaia o migliaia di dollari, come previsto dal GDPR o dal CCPA.

Infine, l'impatto del pretexting va ben oltre le implicazioni finanziarie e influisce sulla reputazione e sulla stabilità dell'organizzazione a lungo termine. Ciò significa semplicemente che le organizzazioni devono fornire misure di sicurezza contro questi rischi e proteggere tutte le informazioni sensibili.

Come funziona il pretexting?

Il pretexting richiede che un aggressore esegua una sequenza di azioni deliberate per guadagnarsi la fiducia della vittima. Ottenere informazioni personali, inventare una storia credibile e sollecitare direttamente il bersaglio attraverso un contatto faccia a faccia può aiutare ad abbassare le difese e far sembrare legittime le proprie richieste. Ecco una descrizione dettagliata di come funziona letteralmente il pretexting:

• Raccolta di informazioni: gli aggressori ricercano le loro vittime, raccogliendo informazioni personali come nomi, lavori e indirizzi di contatto. Sfruttano piattaforme di social media come LinkedIn e database pubblici per creare un profilo completo della vittima. È grazie a queste informazioni che saranno in grado di creare una storia credibile da condividere con il bersaglio.
• Creazione di un pretesto: Gli aggressori creano quindi uno scenario credibile che si adatta all'ambiente del loro bersaglio. Di solito si fingono un collaboratore o un'autorità conosciuta e fidata. Costruire un'identità falsa e assumere un tono di voce e un linguaggio del corpo accettabili rende molto più difficile per il bersaglio mettere in discussione la loro autenticità.
• Coinvolgere il bersaglio: Gli aggressori lo fanno coinvolgendo il bersaglio direttamente, il più delle volte tramite telefonate o e-mail. Una volta che l'aggressore entra in contatto con il bersaglio, usa il rapporto instaurato per avviare la conversazione, collegandola ad alcuni interessi comuni delle parti e abbassando le difese della vittima.
• Richiesta di informazioni sensibili: Una volta instaurato il rapporto, gli aggressori cercano di ottenere informazioni sensibili mascherandole come informazioni necessarie per mantenere la verosimiglianza della storia. In molti casi, gli aggressori riescono a creare un elemento di urgenza nella vittima, in modo che questa agisca senza riflettere e senza prestare attenzione alla richiesta.
• Sfruttamento delle informazioni: Dopo aver ottenuto le informazioni, gli aggressori possono sfruttarle per commettere attività dannose come il furto di identità e le frodi finanziarie. Tali informazioni rubate possono quindi essere utilizzate in ulteriori attacchi, il che dimostra che il pretexting rappresenta un grave pericolo sia per le persone che per le istituzioni.

Tipi di truffe di pretexting

Le truffe di pretexting possono assumere molte forme, ma hanno tutte un aspetto in comune: cercano di ottenere la fiducia e manipolare informazioni sensibili. Molti di questi tipi dipendono dalle norme sociali o dal livello intrinseco di fiducia che già esiste grazie a figure autoritarie o contatti familiari.

Di seguito sono riportati due dei tipi più comuni di truffe di pretexting contro cui le organizzazioni, così come gli individui, devono stare in guardia:

1. Impersonificazione: l'impersonificazione è un attacco in cui gli aggressori assumono un'identità affidabile all'interno di un'organizzazione. Ciò avviene quando gli aggressori assumono identità quali quelle di personale IT o persino di dirigenti aziendali. Essi utilizzano in modo conveniente identità familiari per indurre le persone a fornire loro informazioni personali. Ad esempio, un aggressore potrebbe chiamare un dipendente fingendo di essere del reparto IT e richiedere credenziali di accesso sensibili con il pretesto di un controllo di sicurezza di routine.
2. Business Email Compromise (BEC): I cybercriminali che utilizzano il BEC ottengono l'accesso inviando un'e-mail a un dipendente o a un dirigente, affermando di aver bisogno di un bonifico bancario o di alcune informazioni sensibili. Il più delle volte, questi messaggi danno un'impressione di urgenza, come se fosse necessario agire immediatamente. Un esempio comune è quello di un hacker che, fingendo di essere l'amministratore delegato, invia un'e-mail al reparto finanziario chiedendo di trasferire denaro per un "progetto riservato". In questo caso, la vittima agisce ciecamente senza verificare l'autenticità della richiesta.
3. Truffe del supporto tecnico: in questo caso, il truffatore si finge un tecnico dell'assistenza e si presenta come agente di grandi organizzazioni. Il più delle volte, il truffatore chiama o fa apparire un messaggio in cui dice che il computer ha grossi problemi che devono essere risolti o che ha un'infezione che deve essere rimossa da lui. Quindi, il truffatore richiede informazioni personali o convince la vittima a scaricare qualcosa di dannoso sul proprio computer in modo da ottenere l'accesso completo a tutti i dati sensibili memorizzati nel computer.
4. Truffe tramite sondaggi: in questo caso, il truffatore conduce un sondaggio falso sostenendo che si tratti di un'indagine di mercato. Adescano le loro vittime con la promessa di premi e chiedono loro nomi, indirizzi e, talvolta, informazioni finanziarie. Approfittando della vulnerabilità della vittima nei confronti di queste attività apparentemente innocue, gli aggressori possono rubare informazioni sensibili utilizzate per il furto di identità o qualsiasi altra attività illegale.

Tecniche di pretexting

Molte delle diverse tecniche utilizzate dagli attacchi di pretexting applicano i principi della psicologia e dell'ingegneria sociale, facendoli sembrare legittimi e fattibili, come se provenissero da una fonte autorevole. Alcune delle tecniche di pretexting più comuni utilizzate negli attacchi di pretexting includono quanto segue:

• Costruire un rapporto: Gli aggressori spesso iniziano una discussione sviluppando un tono amichevole e colloquiale per instaurare un rapporto con il bersaglio. Altre volte si limitano a fare conversazione o utilizzano interessi comuni come motivo per entrare in relazione con qualcuno o porre domande aperte che li fanno apparire leggermente familiari. Il rapporto instaurato abbassa quindi la guardia del bersaglio e lo rende più incline a soddisfare richieste di informazioni sensibili.
• Urgenza e paura: Alcuni aggressori che utilizzano il pre-texting ricorrono all'urgenza e alla paura di perdere qualcosa per ottenere la collaborazione. Gli aggressori potrebbero presentare una richiesta come urgente per azioni immediate volte ad evitare, tra le altre cose, una violazione della sicurezza o un'interruzione del servizio. Creare panico costringe la vittima a rispondere in modo affrettato e incurante, aumentando la probabilità di ottenere la collaborazione.
• Autorità: Alcuni attacchi di pretexting si basano sulla creazione o sullo sfruttamento dell'autorità. Questi attacchi utilizzano la tattica di fingere di provenire da un'organizzazione affidabile o da una figura autoritaria. Gli aggressori sfruttano la naturale fiducia che le vittime ripongono nell'autorità, approfittando del ruolo del personale IT, dei dirigenti aziendali o dei fornitori di fiducia. In questo modo riescono facilmente a manipolare le vittime affinché divulghino informazioni sensibili poiché, come detto sopra, le persone tendono a sentirsi onorate di soddisfare le richieste di figure autoritarie percepite come tali.

Come identificare e rilevare gli attacchi di pretexting?

È difficile identificare gli attacchi di pretexting, ma tali attacchi sollevano diversi segnali di allarme che, in molti casi, possono avvisare in anticipo le persone e le organizzazioni di potenziali minacce. I principali indicatori sono i seguenti:

• Richieste insolite di informazioni sensibili: Il segno di un attacco di pretexting è la richiesta non sollecitata, senza preavviso, di informazioni sensibili, soprattutto per telefono o via e-mail. Quando ricevi una chiamata di questo tipo in cui ti vengono richiesti dati personali sensibili o riservati, ricorda che è molto improbabile che tu condivida queste informazioni a meno che tu non sia sicuro di chi sia il chiamante.
• Urgenza senza una ragione chiara: Si tratta di un attacco in cui gli aggressori spesso creano un senso di urgenza per spingere le vittime ad agire rapidamente. Se ricevi una richiesta che insiste su un'azione immediata senza un motivo apparente o legittimo, dovresti insospettirti. Le organizzazioni legittime non richiedono una risposta rapida, quindi è fondamentale prendersi un po' di tempo per valutare la situazione.
• Incoerenze nella storia del chiamante: Prestate attenzione a eventuali incongruenze nelle informazioni fornite dal chiamante. Se la sua storia sembra strana o contraddittoria, potrebbe indicare che non è chi dice di essere. Cercate discrepanze nella sua identità, nello scopo della chiamata o nei dettagli sull'organizzazione che rappresenta.
• Richieste di informazioni insolite: Evitate richieste di informazioni che un'organizzazione legittima non chiederebbe normalmente, come password, numeri di previdenza sociale o informazioni sul conto bancario. Le organizzazioni consolidate dispongono di un protocollo standard per la gestione delle informazioni sensibili e normalmente non richiedono tali informazioni in comunicazioni non richieste. Prestate molta attenzione a questo tipo di richieste. Verificate prima attraverso i canali ufficiali prima di rispondere.

Come proteggere la vostra organizzazione da un attacco di pretexting?

Un'organizzazione è costantemente esposta alla minaccia di attacchi di pretexting, che possono causare gravi violazioni dei dati e perdite finanziarie se non vengono presi sul serio. Inoltre, è necessario adottare misure cautelative per proteggere le informazioni sensibili e sensibilizzare i dipendenti sui rischi legati al social engineering. Di seguito sono riportate alcune delle strategie chiave da adottare per migliorare la sicurezza contro gli attacchi di pretexting:

1. Formazione e sensibilizzazione: Le organizzazioni dovrebbero dare priorità a programmi regolari di formazione e sensibilizzazione per istruire i dipendenti sulle tattiche di ingegneria sociale, compreso il pretexting. Informando il personale sulle varie tecniche di pretexting utilizzate dagli aggressori, come l'usurpazione di identità e l'urgenza, i dipendenti possono riconoscere meglio i comportamenti sospetti. La formazione dovrebbe sottolineare l'importanza di verificare le identità prima di condividere informazioni sensibili, promuovendo una cultura di cautela e diligenza.
2. Protocolli di verifica: È necessario seguire protocolli di verifica legittimi in modo che la persona che richiede dati sensibili sia effettivamente quella che dichiara di essere. Le organizzazioni dovrebbero creare procedure standardizzate per la verifica individuale, come i processi di richiamata in cui le persone che verificano una richiesta parlano con l'entità richiedente attraverso forme di comunicazione stabilite. Di conseguenza, ciò aggiunge sicurezza al sistema e impedisce l'accesso non autorizzato a dati sensibili, prevenendo al contempo il rischio di cadere vittime di attacchi di pretexting.
3. Piano di risposta agli incidenti: Una delle uniche soluzioni per controllare rapidamente gli incidenti in un attacco di pretexting è sviluppare e mantenere un piano di risposta agli incidenti. Tale piano dovrebbe includere una descrizione delle procedure per segnalare un incidente sospetto, valutare i danni causati da tale attacco e le misure per il controllo dei danni. Un piano di risposta garantisce che i dipendenti sappiano come agire rapidamente in caso di sospetta violazione, in modo da ridurre al minimo le conseguenze di tali attacchi.
4. Politiche di protezione dei dati: È necessario implementare politiche di protezione dei dati al fine di ridurre la probabilità di fuga di dati sensibili. Queste devono specificare quali tipi di dati è consentito accedere, a chi e in quali condizioni. L'accesso ai dati può essere limitato in modo che un'organizzazione possa renderli disponibili solo a coloro che ne hanno bisogno per il proprio lavoro. In questo modo, le possibilità di fuga di tali informazioni senza un'adeguata autorizzazione sono ridotte al minimo.

Esempi reali di pretexting

I casi reali di pretexting mostrano come gli aggressori sfruttino la fiducia e manipolino la vittima per raggiungere i propri obiettivi malevoli. Ecco alcuni esempi significativi di pretexting:

• Il trojan "AIDS" (1989): noto anche come il capostipite dei ransomware, il trojan AIDS è stato uno dei primi esempi di pretexting nel crimine informatico. Agli utenti di computer che partecipavano a una conferenza internazionale sull'AIDS venivano forniti floppy disk etichettati come "AIDS Information" contenenti un virus trojan. Una volta installato nel computer della vittima, questo virus nascondeva tutte le directory, rendendo i file invisibili all'utente. Crittografava tutte le informazioni presenti sul disco rigido e rendeva i file inaccessibili. Per ripristinare l'accesso era necessario pagare un riscatto di 189 dollari, che doveva essere inviato tramite posta ordinaria a un indirizzo postale a Panama. Si tratta di uno dei primissimi esempi di ransomware che dimostra non solo il concetto di pretexting, ma anche il modo in cui gli aggressori utilizzano temi di attualità per ingannare le vittime e indurle a cadere nella trappola delle truffe.
• Phishing e estorsione ai danni di persone in cerca di lavoro (2023): Questi truffatori hanno approfittato della tendenza ai licenziamenti di massa nel settore tecnologico per prendere di mira innocenti persone in cerca di lavoro, fingendo di essere reclutatori su LinkedIn e altre piattaforme. Duplicando annunci di lavoro reali e creando un portale dedicato alle carriere, hanno ingannato le loro vittime ottenendo dati personali sensibili. Molti di loro sono stati reclutati con false pratiche di assunzione e il caricamento di documenti sensibili come documenti di identità e informazioni finanziarie ha ingannato molte persone. Questa truffa basata sul pretexting ha preso di mira persone in cerca di un nuovo lavoro, dimostrando quanto gli aggressori siano opportunisti nell'utilizzare gli eventi più recenti per portare a termine le loro truffe.
• Deepfake CFO Impersonation (2024): Nel 2024, una delle principali aziende è stata vittima di un sofisticato attacco deepfake da parte di un hacker che si è spacciato per il CFO e altri dirigenti senior dell'azienda. Gli hacker hanno creato dei deepfake molto realistici, ovvero dei media sintetici che riproducevano fedelmente l'aspetto e la voce di questi alti dirigenti. I falsi dirigenti hanno chiesto a un dipendente, tramite una videochiamata, di trasferire una somma ingente di denaro, circa 25 milioni di dollari, per quella che hanno descritto come una transazione commerciale fondamentale. Il dipendente, convinto di avere a che fare con i veri dirigenti dell'azienda, ha trasferito il denaro secondo le loro istruzioni. Questo attacco dimostra quanto siano diventati pericolosi i deepfake e mette in luce la minaccia rappresentata dalle frodi aziendali, in cui anche i professionisti più esperti possono essere truffati da simulazioni iperrealistiche di persone di fiducia.

Conclusione

Attualmente, la minaccia più grande nel mondo della sicurezza informatica è il pretexting, ovvero la manipolazione e l'inganno per insinuarsi all'interno di individui e organizzazioni. Solo comprendendo i meccanismi del pretexting le aziende saranno in grado di difendersi da esso.

È necessario creare una cultura della consapevolezza e organizzare sessioni di formazione periodiche per i dipendenti sulle tattiche dei crimini informatici. È necessario insegnare loro a verificare l'identità prima di divulgare informazioni riservate. I processi di verifica a livello organizzativo, come il protocollo di richiamata e l'autenticazione a più fattori, devono essere implementati in modo rigoroso per garantire che solo le richieste verificate possano accedere alle informazioni sensibili.

Controlli di verifica adeguati e la sensibilizzazione possono ridurre al minimo gli effetti di un attacco di pretexting. I risultati più probabili di queste truffe includono perdite finanziarie, danni alla reputazione e altre questioni legali. Pertanto, le misure di sicurezza organizzative sono essenziali per impedire la fuga di informazioni sensibili nei circoli pubblici, mantenendo così l'integrità di un'organizzazione o la sua reputazione davanti agli stakeholder.

"

FAQs

Che cos'è il pretexting?

Il pretexting è una forma di ingegneria sociale in cui un aggressore crea uno scenario fittizio per indurre la vittima a rivelare informazioni segrete. Si basa sull'inganno e sulla fiducia, poiché l'aggressore finge in genere di essere un'autorità o qualcuno che ha un motivo valido per ottenere tali informazioni.

Cosa significa pretexting nel mondo degli affari?

Nel mondo aziendale, il pretexting è definito come un'attività fraudolenta in cui un individuo assume il ruolo o la personalità di una figura autoritaria o di una fonte attendibile al fine di ottenere informazioni segrete da clienti o dipendenti. Ciò può variare dall'imitare il personale IT, il responsabile finanziario o il fornitore di un'azienda che richiede dati sensibili con la scusa di eseguire controlli o procedure. Ciò potrebbe comportare gravi violazioni della sicurezza, perdita di dati e, alla fine, implicazioni monetarie per l'organizzazione, sottolineando così l'importanza di misure di sicurezza rigorose e della consapevolezza dei dipendenti.

Qual è un esempio di pretexting?

Un esempio di pretexting è quando un aggressore si finge un membro del personale di supporto IT di un'azienda e contatta i dipendenti, sostenendo di dover verificare le loro credenziali di accesso per motivi di sicurezza. Creando un senso di urgenza e autorità, l'aggressore convince i dipendenti a fornire le loro password o dati sensibili. Questo esempio evidenzia come gli aggressori possano sfruttare la fiducia insita nelle relazioni sul posto di lavoro, portando le persone a soddisfare richieste che altrimenti potrebbero mettere in discussione.

Come si può prevenire il pretexting?

La formazione dei dipendenti, procedure di verifica rigorose, piani di risposta agli incidenti e solide politiche di protezione dei dati possono contribuire a prevenire il pretexting. Fornite ai dipendenti una formazione ricorrente sulle tattiche utilizzate nel pretexting e metteteli in guardia dal divulgare informazioni sensibili, segnalando loro le richieste sospette. Inoltre, le organizzazioni dovrebbero sviluppare piani di risposta agli incidenti che consentano di reagire immediatamente alle violazioni sospette e applicare rigorose politiche di protezione dei dati con accesso limitato a tali informazioni sensibili.

Qual è la differenza tra phishing e pretexting?

La differenza più importante tra phishing e pretexting è il modo in cui viene perpetrato l'inganno. Il phishing segue tipicamente il percorso di e-mail o messaggi fraudolenti che inducono le vittime a visitare siti web fraudolenti che rubano loro informazioni, che possono essere credenziali di accesso o i loro conti finanziari. Il pretexting consiste nel creare una trama o uno scenario fittizio per ottenere informazioni direttamente dalla vittima tramite telefonate o di persona.

Che cos'è il pretexting nell'ingegneria sociale?

Nell'ingegneria sociale, il pretexting consiste nel creare una situazione in cui una persona viene indotta con l'inganno a cedere dati sensibili o ad accedere a sistemi protetti. Gli aggressori utilizzano il pretexting per costruirsi un'identità o un motivo per richiedere qualcosa. Sfruttano le norme sociali e la psiche umana per ottenere la collaborazione delle vittime. In questo modo, gli aggressori si travestono da autorità o fonti di autorità per abbassare facilmente le difese delle loro vittime e procedere al recupero di dati sensibili o all'accesso non autorizzato.