Attacchi di tailgating nella cybersecurity: sfide e prevenzione

Che cos'è un attacco di tailgating?

Una persona sconosciuta con due scatole di carta per stampante si avvicina alle spalle di un vostro dipendente all'ingresso con lettore di badge. Il dipendente le tiene aperta la porta. In quei tre secondi di cortesia, vengono aggirati tutte le regole del firewall, le policy di segmentazione della rete e le difese perimetrali che avete predisposto. L'aggressore è all'interno. Solo controlli fisici e degli endpoint a più livelli possono fermare la catena di attacco che segue.

Un attacco di tailgating è una tecnica fisica di ingegneria sociale con cui una persona non autorizzata entra in un'area riservata seguendo da vicino una persona autorizzata attraverso un punto di accesso protetto. L'aggressore sfrutta il comportamento umano, non le vulnerabilità tecniche, per aggirare completamente i controlli degli accessi fisici.

Una tecnica strettamente correlata, il piggybacking, si distingue per un aspetto cruciale: la persona autorizzata lascia entrare consapevolmente quella non autorizzata. Nel tailgating, la vittima non se ne accorge. Nel piggybacking, la pressione sociale o l'inganno la convincono a partecipare attivamente, tenendo aperta la porta o condividendo l'accesso.

Questa distinzione conta per la vostra strategia di difesa. Un tornello a tutta altezza ferma il tailgating, ma non impedisce a due persone di entrare insieme in un varco. Una policy che incoraggia a verificare l'identità di chi entra contrasta il piggybacking, ma non ferma chi pratica tailgating senza farsi notare in una hall affollata.

Perché gli attacchi di tailgating contano nella cybersecurity 

Un attacco di tailgating aggira tutti i controlli digitali che avete implementato. Superato il lettore di badge, l'aggressore può avvicinarsi fisicamente a porte della rete interna, postazioni di lavoro incustodite, sale server e armadi di cablaggio. Firewall perimetrali, segmentazione della rete e policy di accesso non servono quando qualcuno si trova accanto alla risorsa da proteggere.

MITRE ATT&CK riconosce esplicitamente questo rischio. La tattica TA0043 (Reconnaissance) include la raccolta, da parte degli avversari, di dati sulla posizione fisica della vittima per individuare il bersaglio. Da lì, la catena di attacco si collega a tecniche come T1200 (Hardware Additions) e T1091 (Replication Through Removable Media), trasformando un singolo ingresso fisico in una compromissione informatica completa.

Una volta all'interno, l'aggressore dispone dello stesso accesso di un insider malevolo. La sicurezza degli endpoint è l'ultima barriera di controllo efficace. Questa convergenza tra rischio fisico e informatico impone di difendersi dal tailgating con lo stesso rigore riservato a qualsiasi percorso di attacco basato sulla rete.

Elementi fondamentali di un attacco di tailgating

Ogni episodio di tailgating o piggybacking sfrutta lo stesso insieme di elementi. Conoscerli vi aiuta a individuare le lacune nelle vostre difese.

• Un punto di controllo degli accessi attraversato da persone. Porte protette, ingressi con lettore di badge, hall con tornelli e baie di carico offrono tutti opportunità. Più intenso è il passaggio, più facilmente un aggressore può confondersi tra le persone.
• Una persona autorizzata che facilita l'ingresso senza rendersene conto. All'aggressore serve qualcuno con accesso legittimo che apra la porta, passi il badge sul lettore o semplicemente lo preceda. Nei casi di piggybacking, la manipolazione sociale induce la persona a partecipare attivamente.
• Una leva psicologica. Le indicazioni della CISA ne documentano diverse: propensione ad aiutare, deferenza verso un'autorità percepita, desiderio di evitare il confronto e urgenza. Gli aggressori combinano queste leve. Una persona in uniforme da tecnico che trasporta attrezzature pesanti e sostiene di avere una scadenza imminente sfrutta tre fattori psicologici contemporaneamente.
• Un pretesto o una storia di copertura. Tra i pretesti comuni ci sono un nuovo dipendente senza badge attivato, un addetto alle consegne, un tecnico della manutenzione o un visitatore la cui persona di riferimento è in ritardo. Oggetti come cartelline, borse degli attrezzi e cordini portabadge presi in prestito rendono l'inganno più credibile.
• Una lacuna nei controlli fisici o nelle procedure. Può trattarsi di una porta a battente che non impone il passaggio di una sola persona alla volta, di una postazione di sorveglianza il cui personale può essere manipolato o di una policy che esiste solo sulla carta e non viene applicata.

Questi elementi interagiscono come un sistema. Eliminarne anche uno solo, con barriere fisiche, formazione o applicazione delle procedure, interrompe la catena di attacco.

Come funzionano gli attacchi di tailgating

Gli aggressori combinano questi elementi in metodi specifici che seguono schemi prevedibili. Ecco le tecniche che i penetration tester e gli aggressori usano ripetutamente sul campo.

• L'approccio delle "mani occupate". L'aggressore arriva con scatole, vassoi di cibo o attrezzature. Per cortesia, un vostro dipendente gli tiene aperta la porta.
• Fingersi qualcun altro. Vestito da tecnico, corriere o addetto alle pulizie, l'aggressore si avvicina con sicurezza a un ingresso.
• Il pretesto del "nuovo dipendente". L'aggressore sostiene che il suo badge non è ancora stato attivato e chiede a un dipendente di aiutarlo a entrare. Questa variante sfrutta la disponibilità ad aiutare e la plausibilità dei ritardi nell'inserimento dei nuovi assunti.
• Sfruttare le aree fumatori e le sale pausa. Gli aggressori si posizionano vicino ai luoghi di ritrovo informali, dove i dipendenti rientrano negli edifici senza controlli formali.
• Manipolazione degli addetti alla sicurezza. Alcuni aggressori aggirano del tutto la porta e prendono di mira il presidio di sicurezza.

Ogni metodo prende di mira una lacuna specifica nei controlli fisici o nelle procedure. Questo spiega perché questi attacchi riescono così spesso.

Perché gli attacchi di tailgating riescono

Gli attacchi di tailgating restano efficaci per ragioni strutturali, psicologiche e organizzative.

1. La cortesia prevale sulla formazione sulla sicurezza. I vostri dipendenti sanno che le regole vietano di tenere aperta la porta. Eppure lo fanno. In quel momento, mettere in discussione qualcuno che potrebbe essere un collega sembra socialmente più difficile che affrontare il rischio astratto di una violazione della sicurezza. La formazione da sola non basta a cambiare questa norma comportamentale profondamente radicata.
2. Le organizzazioni spesso investono troppo poco nei controlli di cui sanno di aver bisogno. Questo divario tra consapevolezza e azione significa che le misure più efficaci contro il tailgating spesso mancano proprio agli ingressi dove servono di più.
3. Le organizzazioni non sempre registrano gli incidenti di tailgating. Non potete difendervi da ciò che non misurate, né giustificare il budget per i controlli senza dati sugli incidenti da presentare alla dirigenza.
4. I sistemi tradizionali di controllo degli accessi hanno un punto cieco. La maggior parte dei sistemi fisici di controllo degli accessi installati su porte a battente non può confermare se una persona sia effettivamente entrata nell'edificio dopo aver passato il badge. Senza controlli che impongano il passaggio di una persona alla volta, è difficile sapere con certezza chi si trova all'interno.
5. Il piggybacking sfrutta i rapporti di fiducia. Quando la persona autorizzata partecipa attivamente, anche i sistemi di identificazione sofisticati incontrano difficoltà. Due persone che entrano insieme in una bussola di sicurezza aggirano il presupposto del passaggio individuale su cui si basano molti controlli fisici.

Questi fattori si sommano: le organizzazioni che non registrano gli incidenti non possono giustificare l'installazione di barriere. I dipendenti continuano così a subire pressioni sociali agli ingressi privi di controlli.

Le difficoltà nel fermare il tailgating

Anche le organizzazioni consapevoli del rischio di tailgating incontrano ostacoli concreti nell'implementare le difese.

1. Flusso di persone e sicurezza. Le bussole di sicurezza e le porte girevoli di sicurezza impongono il passaggio individuale, ma rallentano l'ingresso. Nelle ore di punta, i rallentamenti operativi spingono ad allentare i controlli, proprio quando il rischio di tailgating è più alto.
2. Il piggybacking richiede un cambiamento culturale. Le barriere fisiche possono fermare chi tenta di entrare di nascosto, ma non impediscono a un dipendente di tenere volontariamente aperta una porta. Per contrastare il piggybacking serve una cultura in cui i dipendenti si sentano legittimati e tenuti a verificare l'identità delle persone che non conoscono. È un cambiamento organizzativo, non un acquisto tecnologico.
3. I team di sicurezza fisica e cybersecurity lavorano separatamente. Nella maggior parte delle aziende, la sicurezza fisica fa capo alla gestione delle strutture, mentre la cybersecurity fa capo al CIO o al CISO. Questa separazione strutturale fa sì che i dati sulle violazioni fisiche raramente confluiscano nelle valutazioni dei rischi informatici e che le informazioni sulle minacce informatiche raramente orientino le decisioni sulla postura di sicurezza fisica. Ne deriva una risposta frammentata a un rischio convergente.
4. Rilevare non significa prevenire. I varchi ottici e i sensori che rilevano il tailgating attivano allarmi dopo l'ingresso. Sapere che qualcuno è entrato senza autorizzazione non equivale a fermarlo.

Queste difficoltà strutturali spiegano perché anche le organizzazioni attente alla sicurezza commettono errori prevedibili nei programmi di difesa dal tailgating.

Errori comuni nella difesa dal tailgating

Questi errori documentati ricorrono nei programmi di sicurezza aziendali.

1. Trattare tailgating e piggybacking come lo stesso problema. Richiedono contromisure diverse. Installare tornelli senza formare i dipendenti contrasta il tailgating, ma lascia campo libero al piggybacking.
2. Lasciare varchi fisici intorno agli ingressi protetti. Le organizzazioni possono investire nei controlli agli ingressi e lasciare comunque percorsi alternativi per aggirarli, compromettendo l'intero sistema.
3. Presumere che i lettori di badge impediscano il tailgating. I sistemi tradizionali verificano le credenziali, ma non possono confermare che una seconda persona non abbia attraversato la porta. Il passaggio del badge non garantisce l'ingresso di una sola persona.
4. Affidarsi principalmente agli allarmi per le porte lasciate aperte. Gli allarmi scattano dopo l'ingresso. Se il personale li ignora o non interviene, chi è entrato senza autorizzazione può muoversi liberamente.
5. Trascurare i test red team dei controlli fisici. Senza test, non potete sapere se funzionano.
6. Ignorare le conseguenze informatiche di una violazione fisica. Se non collegate l'accesso fisico ai rischi per endpoint, rete e identità, lasciate scoperta l'intera catena di attacco.

Evitate questi errori per costruire una difesa a più livelli contro il tailgating e il piggybacking.

Come prevenire gli attacchi di tailgating

Costruite una difesa a più livelli, calibrando i controlli sulla sensibilità di ogni area.

• Installate barriere fisiche che consentano il passaggio di una sola persona alla volta. Le porte girevoli di sicurezza e le bussole di accesso offrono la protezione più efficace. Date loro priorità nelle sale server,data center e aree direzionali.
• Create una cultura della verifica, non solo una policy. Le regole scritte che vietano ai dipendenti di tenere aperte le porte sono necessarie, ma non bastano. Formate i dipendenti a riconoscere sia il tailgating sia il piggybacking. Prevedete una formazione mirata per dirigenti e amministratori di sistema.
• Gestite i visitatori in conformità con l'Appendice A 7.2 della norma ISO 27001. Conservate registri verificabili di ogni visitatore. Limitate l'accesso dei collaboratori esterni alle aree e alle fasce orarie autorizzate. Integrate il sistema di gestione dei visitatori con i database HR e i lettori di badge.
• Sottoponete regolarmente i controlli fisici a test red team. NIST SP 800-53 richiede tentativi a sorpresa di aggirare i controlli degli accessi fisici per le baseline di sicurezza HIGH. I test di penetrazione fisica rivelano le lacune tra i controlli documentati e la vostra effettiva postura di sicurezza.
• Collegate i dati degli accessi fisici alle operazioni di sicurezza. Inviate i log dei lettori di badge, gli avvisi di tailgating e i dati sulla gestione dei visitatori al vostro SIEM o alla vostra piattaforma per le operazioni di sicurezza. Quando un avviso di tailgating coincide con un comportamento anomalo di un endpoint sullo stesso piano, il vostro SOC può intervenire sull'intera catena di attacco anziché trattare ogni evento separatamente.
• Applicate i principi Zero Trust alla presenza fisica. La presenza fisica in un edificio non deve garantire implicitamente l'accesso alla rete. La verifica continua della postura dei dispositivi, l'applicazione del principio del privilegio minimo e la microsegmentazione garantiscono che, anche raggiungendo una porta di rete, chi è entrato senza autorizzazione non possa accedere alle risorse aziendali senza soddisfare i requisiti di identità e sicurezza del dispositivo.

Questi controlli a più livelli riducono significativamente il rischio di tailgating, ma nessuna difesa fisica è perfetta. Se un aggressore riesce a entrare, l'attacco passa dal piano fisico a quello digitale e subentrano altri controlli.

La catena di attacco dal piano fisico a quello digitale

L'accesso fisico apre specifiche vie di attacco informatico. Conoscerle vi aiuta a dare priorità ai controlli su endpoint e identità.

1. Introduzione di malware tramite USB (MITRE T1091). Chi entra senza autorizzazione raggiunge una postazione incustodita, inserisce un dispositivo USB precaricato e avvia l'esecuzione senza alcuna interazione a livello di rete. I vostri firewall perimetrali non rilevano mai questa attività.
2. Estrazione delle credenziali (MITRE T1003.001). Da un endpoint a cui ha avuto accesso fisico, un aggressore esegue strumenti di raccolta delle credenziali sulla memoria locale. Il risultato è una catena di escalation dei privilegi che porta da una singola postazione a credenziali sufficienti per accedere all'infrastruttura critica.
3. Installazione di un dispositivo non autorizzato (MITRE T1200). Chi entra senza autorizzazione collega un punto di accesso wireless non autorizzato a una porta della rete interna in una sala riunioni o in un locale tecnico non chiuso a chiave. L'aggressore ottiene così accesso wireless persistente alla vostra rete interna dall'esterno dell'edificio.

In ogni scenario, l'endpoint è l'ultimo livello di controllo. I firewall perimetrali e i controlli di accesso alla rete non esaminano le attività avviate da un dispositivo interno connesso legittimamente, rendendo la sicurezza degli endpoint l'ultima linea di difesa dopo una violazione fisica.

Ridurre il rischio di identità in tutta l'organizzazione

Rilevate e rispondete agli attacchi in tempo reale con soluzioni olistiche per Active Directory ed Entra ID.

Richiedi una demo

Punti chiave

Gli attacchi di tailgating e piggybacking aggirano l'intero insieme di difese digitali sfruttando il comportamento umano nei punti di accesso fisico. 

Per difendervi dal tailgating servono barriere fisiche a più livelli, personale formato a verificare gli accessi, test red team e una sicurezza degli endpoint che intervenga come ultima linea di difesa quando i controlli fisici falliscono.