15 tipi di attacchi di ingegneria sociale

Scopri i tipi più comuni di attacchi di ingegneria sociale, tra cui phishing, pretexting, baiting e altri, e come manipolano la fiducia per accedere a dati sensibili e aggirare le misure di sicurezza.

Gli attacchi di ingegneria sociale sono forse una delle minacce più gravi che le persone e le aziende devono affrontare in questo ambiente digitale in rapida evoluzione. Mentre i tipici attacchi informatici ruotano attorno alla conquista delle vulnerabilità del software o della rete, i principali tipi di attacchi di ingegneria sociale sfruttano l'anello più fragile di tutti: l'essere umano. Gli aggressori sfruttano tendenze naturali come la fiducia, la curiosità, la paura o la pressione tra gli esseri umani per indurli a scendere a compromessi e fornire informazioni sensibili o intraprendere azioni che comprometterebbero non solo la loro sicurezza, ma anche quella dell'organizzazione nel suo complesso. Infatti, il 98% degli attacchi informatici si basa su tattiche di ingegneria sociale e dimostra quanto gli aggressori dipendano dalla manipolazione del comportamento umano per raggiungere i loro obiettivi.

Un'ampia categoria di attacchi dannosi si basa sull'inganno e sull'interazione umana, in cui gli aggressori si presentano come entità affidabili in modo che le vittime siano convinte a rivelare informazioni riservate o ad aggirare i loro controlli di sicurezza. Queste forme includono, ma non si limitano a, e-mail di phishing, telefonate fraudolente e furti d'identità di persona che prosperano in qualsiasi ambiente privo di consapevolezza della sicurezza. Con il progresso della tecnologia arrivano anche tattiche di ingegneria sociale sempre più sofisticate, che rendono sempre più difficile il rilevamento e la difesa. Sono proprio questi metodi che le persone e le aziende devono comprendere per proteggere ulteriormente i propri dati e sistemi in un mondo intrinsecamente connesso.

In questo articolo discutiamo cosa sono gli attacchi di ingegneria sociale e approfondiamo i dettagli delle varie forme di attacchi di ingegneria sociale.

15 tipi di attacchi di ingegneria sociale

Gli attacchi di ingegneria sociale sfruttano la psicologia umana per ottenere informazioni riservate o influenzare il comportamento delle persone compromettendone la sicurezza. Il social engineering è completamente diverso dall'hacking tradizionale, poiché si basa maggiormente sull'inganno o sulla persuasione utilizzando diversi mezzi. Proprio come la tecnologia cambia, così cambiano anche le tattiche dei criminali informatici. Pertanto, lo strumento più importante per la protezione è la consapevolezza e l'educazione. Di seguito sono elencati i tipi più comuni di attacchi di ingegneria sociale, ciascuno con metodi e obiettivi unici:

1. Phishing: Il phishing è una delle forme più comuni di attacchi di ingegneria sociale. Questo attacco prevede l'uso di e-mail, messaggi o siti web dannosi progettati per ottenere informazioni sensibili dalle vittime. Molto spesso, le truffe si presentano sotto l'identità di una fonte legittima, come un conto bancario o un'azienda onesta, ingannando così le persone affinché clicchino su link dannosi o forniscano le loro credenziali personali. Il risultato può essere il furto di identità, perdite finanziarie o l'accesso non autorizzato a dati sensibili. Gli attacchi di phishing di massa vengono inviati a milioni di destinatari per aumentare la probabilità di successo. Le vittime coinvolte in attacchi di phishing potrebbero subire il furto delle loro informazioni sensibili da parte di ladri, con conseguente furto di identità, accesso non autorizzato o frode finanziaria.
2. Spear Phishing: Lo spear phishing è una forma più mirata di phishing. In questo caso, i cybercriminali hanno condotto ricerche approfondite su individui o organizzazioni per elaborare messaggi altamente personalizzati in modo da aumentare le loro possibilità di successo. Gli attacchi di phishing generici, che di solito vengono inviati in blocco, tendono a concentrarsi su obiettivi di alto valore come dirigenti o dipendenti chiave. Tali attacchi possono essere molto devastanti in quanto costituiscono la base per lo spionaggio aziendale o il furto di dati critici. Il problema è che lo spear phishing può essere talmente personalizzato che anche le persone più caute possono diventare vittime di attacchi di phishing e divulgare informazioni riservate. La maggior parte degli attacchi di spear phishing si traduce in spionaggio aziendale o furti di dati sensibili per l'azienda se violano i sistemi interni. La compromissione della sicurezza di un'intera organizzazione avviene spesso dopo l'intrusione nei sistemi interni.
3. Vishing (Voice Phishing): Il vishing è un tipo di phishing che utilizza la comunicazione vocale, solitamente tramite telefono, per estrarre dati sensibili dalla vittima. I cybercriminali fingono di essere figure autorevoli o persone di cui la vittima si fida, come rappresentanti di banche o funzionari governativi, per convincerla a fornire i propri dati personali. Poiché il processo utilizza l'interazione vocale, che può sembrare più personale e autentica rispetto agli attacchi di phishing basati su computer, può tendere ad essere particolarmente efficace nei casi di vishing, specialmente quando l'ID chiamante degli aggressori viene falsificato. Poiché il vishing si basa anche in misura considerevole sull'interazione umana, a volte l'attacco può apparire più legittimo o vero rispetto al cyber phishing. Anche gli ID chiamante falsificati fanno parte dell'inganno in questo tipo di attacco. Le chiamate vengono visualizzate come provenienti da fonti legittime in base alle informazioni visualizzate per l'ID chiamante.
4. Smishing (SMS Phishing): Questo è un altro metodo di phishing. Si tratta di una tecnica utilizzata dagli hacker informatici che consiste nell'inviare brevi messaggi di testo, comunemente denominati SMS, a nome di una fonte attendibile o che dichiarano di contenere un link per l'apertura di un sito web. L'SMS chiede direttamente agli utenti di inserire informazioni personali o di scaricare malware installato sul sistema. Il dispositivo mobile è utile per lo smishing perché le persone rispondono ai messaggi di testo molto rapidamente, mentre non rispondono allo stesso modo alle e-mail. Lo smishing è molto più accessibile per gli aggressori che vogliono sfruttare i telefoni cellulari perché le persone rispondono immediatamente ai messaggi di testo invece che alle e-mail. L'immediatezza di un SMS fa sì che gli utenti reagiscano senza pensare. Nel frattempo, i link di smishing possono condurli a siti web che fingono di provenire da organizzazioni autentiche e indurre le vittime a fornire le loro informazioni personali.
5. Pretexting: Il pretexting è quando l'aggressore crea uno scenario o un pretesto per indurre la vittima a fornirgli l'accesso o le informazioni. Ad esempio, potrebbe fingersi un collega, un tecnico informatico o persino un legale che richiede informazioni sensibili poiché fanno parte di attività commerciali legittime. Il successo del pretexting dipende dalla capacità dell'autore dell'attacco di instaurare un rapporto di fiducia e credibilità con la vittima. Il successo del pretexting dipende dalla capacità degli autori dell'attacco di instaurare un rapporto di fiducia e credibilità con le loro vittime. Sfruttando il desiderio di aiutare o di conformarsi alla pratica dell'autorità, gli aggressori possono estrarre dati preziosi come credenziali di accesso o identificazione personale. Il pretexting, quindi, è un modo in cui si verificano gravi violazioni dei dati, specialmente in ambienti aziendali in cui dipendenti inconsapevoli concedono inconsapevolmente accessi non autorizzati.
6. Baiting: Il baiting attira le vittime promettendo loro qualcosa che desiderano, come software gratuito, musica gratuita o persino denaro. Gli aggressori possono utilizzare esche fisiche, come lasciare una chiavetta USB in un luogo pubblico. Quando persone ignare inseriscono la chiavetta nel proprio computer, viene installato un malware che consente agli aggressori di accedere al sistema. Oggetti gratuiti o desiderabili possono indurre le vittime a prendere decisioni rischiose. Il baiting sfrutta infatti la curiosità o l'avidità umana per indurre le vittime a prendere decisioni pericolose. Una volta installato il malware tramite tale esca, sarà possibile violare la sicurezza dell'intera rete. Di conseguenza, si potrebbero violare molte forme di sicurezza associate al computer. Gli attacchi di baiting si possono trovare anche nel cyberspazio, dove gli utenti vengono indotti con l'inganno a scaricare file che sembrano perfettamente legittimi ma che contengono malware nascosto.
7. Quid Pro Quo: Negli attacchi quid pro quo, un aggressore fornirà un servizio o un vantaggio in cambio di informazioni. Un classico esempio di questo tipo di attacco è quando un criminale informatico finge di essere un tecnico informatico, sostenendo che risolverà un problema del sistema, ma insiste per ottenere in anticipo le credenziali dell'account della vittima. Questa tecnica funziona sfruttando il desiderio delle vittime di ricevere assistenza o supporto, in modo da rendere più facile per gli aggressori ottenere le loro informazioni sensibili. Gli attacchi quid pro quo sfruttano il fatto che la vittima ha bisogno di un qualche tipo di assistenza o aiuto, il che la rende più propensa a fornire dati riservati. Una volta ottenute queste credenziali, gli aggressori possono accedere ai sistemi, estrarre informazioni o installare codice dannoso sui computer. Ciò è estremamente pericoloso in qualsiasi ambiente aziendale in cui i dipendenti sono desiderosi di risolvere i problemi tecnici il più rapidamente possibile.
8. Tailgating (Piggybacking): Il tailgating è un attacco di ingegneria sociale fisica in cui una persona non autorizzata segue un utente autorizzato in un'area riservata. Ad esempio, potrebbe essere che una persona accompagni un dipendente attraverso una porta dopo aver dichiarato di aver dimenticato la sua tessera di accesso. In questo modo, gli aggressori possono accedere ad aree in cui non dovrebbero entrare e possono persino commettere violazioni dei dati o furti. Una volta all'interno, l'hacker può recarsi in aree in cui non è autorizzato, rischiando il furto di informazioni sensibili, la violazione dei dati e persino il sabotaggio. Il tailgating sfrutta la gentilezza o la disponibilità ad aiutare della vittima, rendendolo un modo piuttosto semplice ma efficace per superare i controlli di sicurezza fisica. Questo tipo di attacco dimostra che il controllo degli accessi deve essere applicato in modo rigoroso negli ambienti sicuri.
9. Dumpster Diving: Il dumpster diving è un tipo di attacco in cui gli aggressori rovistano nei cassonetti alla ricerca di numeri di conto, password o altre informazioni sensibili. Di solito viene utilizzato per ottenere informazioni che possono essere applicate in un secondo attacco, spesso nel phishing o nel pretexting. Le organizzazioni devono garantire uno smaltimento adeguato e prevenire la possibilità di attacchi con questo metodo. Il dumpster diving a volte può passare inosservato, ma sicuramente contiene molte informazioni che potrebbero essere rivelate agli aggressori. La carta utilizzata all'interno di qualsiasi organizzazione dovrebbe quindi essere smaltita in modo adeguato, ad esempio mediante la distruzione e la cancellazione sicura dei dati sensibili, al fine di non cadere vittima di questo tipo di attacco. Anche i dettagli più piccoli e apparentemente irrilevanti possono aiutare un aggressore a mettere a punto attacchi di social engineering più complessi.lt;/li>
10. Attacco Watering Hole: In un attacco Watering Hole, gli autori di crimini informatici hackerano quei siti web che sono visitati principalmente da un gruppo o da un'organizzazione specifica. Il sito web infettato dal malware inietta il malware nei laptop dei visitatori che lo scaricano inconsapevolmente nei loro sistemi. L'attacco è mirato a un gruppo di utenti ed è particolarmente pericoloso per le organizzazioni i cui utenti condividono un ambiente digitale. Gli attacchi watering hole sono altamente mirati e appaiono particolarmente pericolosi per le organizzazioni che condividono piattaforme digitali comuni. Il malware passa inosservato per rubare enormi quantità di dati o compromettere completamente un sistema. Questi attacchi sfruttano la fiducia associata a siti web familiari e richiedono misure di sicurezza informatica altamente avanzate per essere identificati.
11. Business Email Compromise (BEC): Il Business Email Compromise è un attacco mirato in cui i cyber-truffatori compromettono account di posta elettronica aziendali legittimi in modo da indurre i dipendenti a trasferire denaro o informazioni sensibili. Molte volte, si presenta come un dirigente di alto livello e crea un'urgenza per costringere all'accettazione. Gli attacchi BEC sono distruttivi e causano non solo perdite di denaro, ma anche furti di informazioni. Pertanto, è particolarmente convincente utilizzare indirizzi e-mail legittimi utilizzati dagli aggressori. Le aziende dovrebbero instillare regole severe per la sicurezza delle e-mail, come l'autenticazione a più fattori, per scongiurare tali attacchi BEC.
12. Honey Trap: Gli aggressori coinvolgono le vittime in una chat emotiva su Internet, nota anche come honey trap. Una volta stabilito il contatto, le vittime cadono nella trappola dell'aggressore condividendo password, segreti aziendali o persino denaro. Le honey trap sfruttano le emozioni delle vittime, rendendole più suscettibili alla manipolazione. Si tratta di un attacco molto personalizzato, poiché l'aggressore impiega settimane o mesi per conquistare la fiducia della vittima prima di attaccarla. Questi attacchi possono causare perdite personali e finanziarie su larga scala se la vittima ricopre un ruolo delicato all'interno di un'organizzazione.
13. Software di sicurezza fasullo: I cybercriminali utilizzano software di sicurezza fasulli che sembrano autentici e segnalano false infezioni da malware nei computer degli utenti. Una volta scaricato, il software installa proprio quel malware e finisce per rubare dati o chiedere denaro in cambio del riscatto. La paura è la loro unica risorsa, poiché utilizzano popup che non smettono mai di apparire e avvisi di sicurezza che costringono le persone ad agire molto rapidamente. In questo modo, le informazioni sensibili vengono divulgate o vengono effettuati pagamenti per un crimine informatico che non esiste affatto. Questo attacco può rendere inutili i veri programmi antivirus e quindi rendere il sistema vulnerabile. La vittima può subire furti di identità o violazioni dei dati, ad esempio furti di dati relativi a informazioni finanziarie.
14. Sfruttamento dei social media: Questo mondo altamente connesso rende i siti di social networking dei media essenziali per l'informazione, la comunicazione e le relazioni. D'altra parte, essi costituiscono un terreno fertile per persone malvagie o malintenzionate che approfittano degli utenti o li utilizzano per i propri scopi. I criminali informatici sono noti per raccogliere informazioni e intelligence sui loro obiettivi attraverso i siti di social networking, manipolando o ingannando le persone con molte tattiche diverse per ottenere dati sensibili. Uno degli inganni più comuni è l'uso di profili fantasma o la presentazione di sé stessi come persone conosciute: amici, parenti, colleghi e persino organizzazioni istituzionali o autorevoli.
15. Sostituzione di identità: gli attacchi di sostituzione di identità si verificano quando gli aggressori fingono di essere una persona conosciuta o di fiducia, come un membro del personale IT o un manager, allo scopo di accedere a sistemi o dati. Sfruttano la fiducia percepita che esiste tra le vittime e le figure di autorità percepite. Gli aggressori spesso utilizzano nomi reali, informazioni privilegiate o gergo aziendale per mascherarsi da autentici, rendendo difficile individuare la falsificazione. Una volta ottenuto l'accesso ad aree affidabili, possono acquisire sistemi o dati sensibili e persino causare gravi violazioni della sicurezza o furti di informazioni riservate. Nella maggior parte dei casi, l'impersonificazione comporta gravi conseguenze se l'aggressore raggiunge le aree riservate o gli account sensibili.

Come prevenire gli attacchi di social engineering?

La prevenzione degli attacchi di social engineering richiede formazione, tecnologia e processi definiti in modo proattivo. I criminali informatici operano sulla base della manipolazione della psicologia umana; pertanto, la consapevolezza della sicurezza diventa molto importante all'interno di un'organizzazione. Ecco alcune strategie efficaci per mitigare il rischio di attacchi di ingegneria sociale:

• Formazione dei dipendenti: Educare i dipendenti sulle tattiche degli attacchi di ingegneria sociale aiuta a costruire una cultura consapevole della sicurezza. Anche sessioni di formazione regolari possono consentire alle persone di identificare comportamenti sospetti, comprendere tutte le diverse forme di ingegneria sociale ed evitare di cadere nelle truffe più comuni. Metodi di apprendimento interattivi, come esercitazioni simulate di phishing, aiutano a rafforzare l'apprendimento e preparano i dipendenti a rispondere in modo efficace quando incontrano potenziali minacce. Una formazione continua manterrà i dipendenti aggiornati sulle ultime tattiche utilizzate dai criminali informatici.

• Utilizzare l'autenticazione a più fattori (MFA): Ciò rende molto più difficile per un aggressore ottenere l'accesso quando si utilizza l'autenticazione a più fattori. In caso di furto delle credenziali di accesso, l'autenticazione a più fattori richiederà un altro metodo di verifica, come un codice monouso inviato a un dispositivo mobile o il riconoscimento biometrico, per completare il processo di accesso. L'utilizzo dell'autenticazione a più fattori riduce il rischio complessivo di accesso non autorizzato ai sistemi e ai dati di un'organizzazione.

• Verificare le richieste di informazioni sensibili: Tutte le richieste di informazioni sensibili devono essere verificate. Ciò è particolarmente importante quando la fonte o il canale sono sconosciuti. In questo caso, i dipendenti devono essere particolarmente attenti alle modalità di ricezione di tali richieste tramite e-mail, telefonate o persino messaggi di testo. Devono essere cauti e verificarle adeguatamente prima di divulgare le informazioni sensibili contattando direttamente il richiedente tramite un numero conosciuto o contattando un supervisore.

• Implementare soluzioni di filtraggio delle e-mail: Applicare tecniche avanzate di filtraggio delle e-mail in grado di rilevare le e-mail di phishing e altri messaggi sospetti prima che arrivino effettivamente nella casella di posta elettronica dei dipendenti. I filtri e-mail, basati su fattori predefiniti, potrebbero individuare potenziali contenuti dannosi, inclusi link o allegati di phishing, e segnalarli per ulteriori indagini. Aggiornamenti regolari e messa a punto dei filtri garantiscono un filtraggio sofisticato che evita tentativi di phishing riusciti e corregge la minaccia.

• Limitare l'accesso alle informazioni sensibili: Il principio del privilegio minimo dovrebbe essere implementato in tutta l'organizzazione, con l'accesso ai dati e ai sistemi sensibili concesso solo a coloro che hanno motivi validi per accedervi. Ciò mitiga l'impatto nel caso in cui un aggressore riesca ad ottenere un accesso non autorizzato. Revisioni e aggiornamenti regolari delle autorizzazioni di accesso in base al ruolo e alle responsabilità garantiscono la rimozione immediata dei diritti di accesso obsoleti.

• Monitorare le attività insolite: Tenere sotto stretta osservazione l'attività di rete e il comportamento degli utenti, prestando particolare attenzione alle attività dannose quali accessi non autorizzati, modelli di accesso ai dati insoliti o trasferimenti di file sospetti. Gli strumenti SIEM possono supportare il rilevamento delle anomalie in tempo reale da parte delle organizzazioni. Gli avvisi basati su comportamenti sospetti consentono inoltre alle organizzazioni di rispondere rapidamente alla minaccia prima che diventi più grave.

Per maggiori dettagli, leggi: Come prevenire gli attacchi di ingegneria sociale

Conclusione

Con l'aumento e la crescente persistenza degli attacchi di ingegneria sociale nel moderno ambiente di sicurezza informatica, è fondamentale approfondire le minacce odierne. Gli attacchi di ingegneria sociale sono uno di questi attacchi, dalle forme più semplici, come il phishing e il pretexting, agli attacchi avanzati come lo spear phishing e gli attacchi watering hole, che sfruttano la psicologia umana e le interazioni sociali per ottenere l'accesso non autorizzato a informazioni o sistemi sensibili.

Anche in questo caso, la prevenzione inizia con la sensibilizzazione e la formazione dei dipendenti. Questi rischi saranno notevolmente ridotti se esiste una cultura attenta alla sicurezza in combinazione con misure di sicurezza efficaci come l'autenticazione a più fattori, il filtraggio delle e-mail e il monitoraggio della rete.

Domande frequenti sugli attacchi di ingegneria sociale

Cosa sono gli attacchi di ingegneria sociale?

Gli attacchi di ingegneria sociale sono metodologie astute utilizzate dagli hacker per creare situazioni che inducono i bersagli a condividere informazioni riservate o a compiere azioni che compromettono la loro sicurezza.

Gli attacchi di ingegneria sociale si basano generalmente su errori umani piuttosto che sullo sfruttamento delle vulnerabilità di software e hardware. Tra i più comuni vi sono il phishing, un attacco in cui gli aggressori assumono l'identità di soggetti noti e affidabili al fine di rubare identità, informazioni di accesso o informazioni sensibili, e il pretexting, l'arte di manipolare uno scenario per ingannare in modo convincente una vittima.

Qual è l'impatto degli attacchi di ingegneria sociale?

L'impatto degli attacchi di ingegneria sociale può essere molto profondo. Può causare gravi perdite finanziarie, violazioni dei dati, furti di proprietà intellettuale e danni alla reputazione. Le organizzazioni vittime di attacchi di ingegneria sociale dovranno affrontare responsabilità legali, sanzioni normative e danni a lungo termine alla fiducia dei clienti. Al di fuori dell'ambito aziendale, possono verificarsi furti di identità, frodi e accessi non autorizzati a conti personali.

Come si riconosce un attacco di ingegneria sociale?

Il rilevamento degli attacchi di ingegneria sociale richiede la segnalazione di comportamenti insoliti o sospetti. Alcuni segnali di allarme includono richieste non sollecitate di informazioni sensibili, messaggi urgenti che spingono le persone ad agire immediatamente e comunicazioni da fonti sconosciute che cercano di rappresentare organismi legittimi. I link o gli allegati inviati da fonti sconosciute sono potenziali segnali di allarme. Per non cadere vittima di questi attacchi, è necessario verificare sempre la legittimità della richiesta tramite canali consolidati prima di rilasciare qualsiasi informazione.

Quale tipo di attacco di ingegneria sociale cerca di sfruttare la biometria?

Un attacco di spoofing biometrico è un modo di ingegneria sociale che mira a ingannare o aggirare l'autenticazione utilizzando la biometria. I cybercriminali producono o manipolano dati biometrici falsificati (impronte digitali, maschere e fotografie ad alta risoluzione) per ingannare i sensori biometrici e ottenere segretamente l'accesso non autorizzato a sistemi o apparecchiature protetti.