😈 Come funziona il SOCIAL ENGINEERING (e come è stato usato contro TWITTER)

Ciao a tutti e benvenuti in questo nuovo video. Oggi parleremo di social engineering, o ingegneria sociale in italiano, un tipo di attacco veramente troppo sottovalutato quando in realtà è il più efficace di tutti, visto che va a colpire l'anello più debole della sicurezza informatica, cioè l'essere umano. Non a caso, per riferirsi al social engineering si usa anche il termine human hacking, cioè hackerare le persone, appunto. Questo video è diviso in due parti. Nella prima vedremo fino in fondo cos'è il social engineering, come funziona e come viene usato contro persone e aziende. Nella seconda vedremo il caso di social engineering secondo me più incredibile mai avvenuto, cioè l'attacco a Twitter realizzato da un gruppo di ragazzini sfruttando quasi esclusivamente la manipolazione psicologica. Questi due video sono già presenti sul canale, sono però separati, quindi se non volete mettervi a cercare prima il primo video poi il secondo, potete guardare direttamente questo che unisce già i due argomenti. Buona visione! Immaginate di essere al lavoro e di ricevere una telefonata che sembra provenire da un collega di un'altra filiale dell'azienda per cui lavorate. Il collega è simpatico, usa il vostro gergo tecnico, conosce persone all'interno della vostra azienda, o almeno dice di conoscerle. È in difficoltà perché il suo computer non funziona. Ha davanti a sé un cliente ma non riesce ad accedere ai suoi dati. Mentre parlate del più e del meno, gli date tutte le informazioni che vi sta chiedendo: codice fiscale del cliente, codice identificativo, numero di contratto. Alla fine si tratta di un collega, vi sta chiedendo informazioni a cui avrebbe tranquillamente accesso se il suo computer funzionasse. Una volta chiusa la telefonata siete proprio contenti di aver aiutato un collega in difficoltà e andate avanti con il vostro lavoro. Qualche giorno dopo il cliente vi chiama infuriato. Qualcuno ha avuto accesso ai suoi dati personali ed è riuscito a fingersi lui in più occasioni, arrivando a sottrargli oltre 10.000 euro. Il cliente è riuscito a risalire a voi e alle informazioni che incautamente avete dato a chi non era chi diceva di essere. Siete appena stati vittime di un attacco di social engineering. Ciao a tutti e benvenuti in questo nuovo video. Oggi parliamo di una delle minacce più subdole e in crescita costante nel panorama della cyber security: il social engineering, o in italiano ingegneria sociale. Si tratta di una tecnica di attacco che non sfrutta tanto le competenze tecnologiche dell'hacker quanto la sua capacità di manipolare le persone per ottenere le informazioni che gli servono. Se immaginiamo l'attacco informatico vero e proprio come un furto, l'attacco di ingegneria sociale assomiglia più a una truffa. Le informazioni non vengono rubate, ma vengono date spontaneamente dalle persone perché sono state ingannate dall'hacker. Non solo è una minaccia in costante crescita e veramente troppo sottovalutata, ma è anche la più semplice di tutte da attuare, perché come dico sempre, il fattore umano è l'anello più debole della catena della sicurezza informatica. Possiamo avere gli antivirus migliori, i firewall migliori, la rete più protetta del mondo, ma se abbiamo dei dipendenti poco formati e poco attenti a questo tipo di minaccia, siamo assolutamente vulnerabili. Ma partiamo dalle origini di questo fenomeno. Il termine social engineering nasce nel 1894, ben prima dell'era digitale. A coniarlo fu l'industriale olandese Van Maken, che in realtà lo usava in senso positivo. Secondo lui, nelle aziende, oltre agli ingegneri che si occupavano dei problemi tecnici, quindi agli ingegneri veri e propri, propri, dovrebbero esserci anche degli ingegneri che si occupano dei problemi personali, come la lealtà dei dipendenti, la motivazione, la serenità sul posto di lavoro e così via. Solo negli anni '90 l'espressione è entrata nel linguaggio informatico e ha assunto la connotazione negativa che conosciamo oggi. Il primo a usarlo nel nostro campo fu Kevin Mitnick, celebre hacker americano che riusciva a entrare nei sistemi non bucando firewall, ma convincendo i dipendenti a dargli le credenziali di accesso. Lui stesso diceva: perché forzare una serratura se qualcuno può aprirti la porta? Se avete visto il video sul caso Toyota che ho pubblicato qualche settimana fa, è chiaro che quello che gli hacker hanno fatto non è stato bucare il sistema della banca per rubare del denaro, ma hanno convinto un dipendente a fare loro un bonifico. Ed è una cosa molto più semplice e molto meno sofisticata rispetto all'entrare in un sistema. Un altro motivo per cui il social engineering è particolarmente pericoloso è che l'hacker non ha bisogno di esporsi fino all'attacco vero e proprio. Mi mi spiego meglio. Se voglio entrare nel computer di qualcuno e non conosco la password, dovrò fare almeno qualche tentativo prima di riuscire a forzarla. Questi tentativi lasciano delle tracce da cui potrebbe essere possibile risalire a me. Ma se io invece raccolgo da casa mia tutte le informazioni che mi servono per convincere quella persona a darmi la sua password, e quella persona me la fornisce volontariamente, rimangono molte meno tracce. Al massimo un numero di telefono o un indirizzo mail che comunque non sarà mai associato a me se sono un attimo furbo, e gli ingegneri sociali lo sono. Ma visto che so già che direte: "Ma io tanto non darei mai a nessuno la mia password", vediamo in concreto come funziona un attacco di social engineering. Questo genere di attacco segue delle fasi ben precise. La prima si chiama footprinting ed è la ricerca sul web di tutte le informazioni che si possono trovare su una vittima. Serve a farsi un quadro della persona, per capire i suoi punti deboli, per riuscire a fingere di conoscerla. Se pensate: "Sono tranquillo, tanto su di me non c'è nulla su internet", vi consiglio di fare un giretto su webme.com, che è un motore di ricerca che serve proprio a trovare informazioni sulle persone. La prima volta che mi sono cercata sono rimasta sconvolta dalla quantità di informazioni vere che si potevano trovare su di me. Poi per fortuna qualcosa sono riuscita a togliere e tra l'altro ho anche abbastanza omonime, quindi per fortuna i risultati sono un po' sporcati, ma in ogni caso fa davvero paura. La seconda fase consiste nella verifica delle informazioni raccolte. L'ingegnere sociale ha qualche informazione ma non sa se sono tutte vere, se sono tutte riferite alla persona giusta e così via. Quindi che cosa fa? Verifica tutte le informazioni che può. Ad esempio, se un'informazione che ha trovato riguarda il posto di lavoro di quella persona, chiamerà la società con una scusa e chiederà se quella persona lavora ancora lì o meno. In questo modo riesce a farsi un quadro più preciso di tutti i dati che ha a disposizione. La terza fase consiste nella costruzione di un pretesto. In base alle informazioni raccolte, l'ingegnere sociale stabilisce la scusa con cui chiamerà la persona, chi fingerà di essere, quali informazioni chiederà e così via. Queste tre fasi non vengono eseguite una volta sola. Gli attacchi di ingegneria sociale sono molto complicati. Se il mio obiettivo finale, ad esempio, è arrivare a conoscere i dettagli della carta di credito di una vittima per clonare la sua carta di credito o per utilizzarla su dei siti web, dovrò ripetere tantissime volte queste 3 fasi con varie persone per arrivare ad avere le 3 informazioni che mi servono, cioè numero di carta, data di scadenza e codice di controllo, il famoso CVC. Se io chiamassi la vittima dicendo: oh ciao, mi dai i dati della tua carta? L'attacco non andrebbe mai a buon fine. Ma se io raccolgo informazioni sulla vittima, capisco dove ha il conto corrente, mi fingo un operatore di quella banca e chiedo alla vittima solo le ultime 4 cifre della carta, magari ripetendogliele anche più volte: "Non mi dica le altre cifre, non le dica mai a nessuno per telefono." È probabile che quelle ultime 4 cifre che gli sto chiedendo me le dirà, e io avrò un pezzettino del puzzle. Se sento di avere la sua fiducia, potrò magari anche rischiarmi a chiedergli la data di scadenza della carta, ad esempio dicendo: "Perfetto, grazie di queste ultime 4 cifre. La scadenza è maggio 2028, giusto?" Al che magari la la prossima risponderà: no, è gennaio 2027. E avrò un'altra informazione. Con queste due informazioni inizia a diventare già più semplice chiamare la banca, fingermi il cliente e dire: buongiorno, non riesco più a leggere bene il codice di controllo della mia carta, quella che finisce con 7428 e scade a gennaio 2027. Ed è possibile che il dipendente della banca ci caschi e mi dica il codice di controllo. Ed ecco che io avrò già quasi tutte le informazioni che mi servono per clonare la carta. Quindi non dobbiamo pensare all'attacco di ingegneria sociale come a qualcosa che si esaurisce in una telefonata. Sono attacchi che richiedono tantissime telefonate e mesi di ricerche, di lavoro sulle persone. Gli attacchi di social engineering ben eseguiti spesso non vengono nemmeno rilevati dalle vittime. Pensiamo all'esempio che ho appena fatto: è probabilissimo che la vittima e il dipendente si dimentichino di quella interazione, se gioco bene le mie carte. Scendiamo un po' di più nel dettaglio su come vengono concretamente effettuati questi attacchi. Il social engineering si avvale di varie tecniche psicologiche e di manipolazione, ma le principali componenti che vengono sfruttate sono 6. La prima è il rispetto per l'autorità. È molto più facile manipolare una persona se questa pensa che io abbia un'aura di autorevolezza e di spettro. Ad esempio, chiamare un dipendente spacciandomi per un collega e chiedere un'informazione dicendo che serve al nostro capo è più efficace rispetto a dire che serve a me, così come efficace mandare una mail alla vittima fingendo di essere delle forze dell'ordine, dell'Agenzia delle Entrate e così via. La seconda emozione è è il senso di colpa. Questa è una tecnica che viene spesso sfruttata in combinazione con la precedente. Immaginiamo di chiamare la vittima dicendo: "Sono un tuo collega, mi serve questa informazione per il nostro capo." Immaginiamo che la vittima non voglia darmi questa informazione. Aggiungere frasi tipo: "Se non mi dai questa informazione subito passerò dei guai, verrò licenziato per causa tua" può portare la persona a darmi l'informazione per evitare di avere poi dei sensi di colpa. La terza emozione è il panico. Molto spesso si ingenera del panico nelle vittime per convincerle a dare delle informazioni. Ad esempio, mi informo su un tizio, scopro che usa un modem di FastWeb, lo chiamo e gli dico: "Buongiorno tizio, siamo della FastWeb, le comunichiamo che non avrà internet per una settimana perché stiamo facendo dei lavori." Aspetto che vada nel panico e si arrabbi e poi gli dico: "Ma scusi, lei dove abita esattamente? Ah, ma lì forse dura un po' meno il blocco. Ma lei usa internet per lavorare? Ok, allora provo a segnalarla come persona che ha urgenza di avere internet quanto prima. Mi dice il suo codice fiscale? Mi dice il suo nome utente?" E durante la telefonata dicendo: "Guardi, farò di tutto per far sì che l'intervento sulla sua linea venga fatto di notte e di garantirle internet durante la giornata." La vittima butta giù, è felice, non avrà problemi a internet e dirà: "Ah, proprio gentile quell'operatore che mi ha chiamato, mi ha salvato dai problemi di internet. Intanto mi ha dato codice fiscale, indirizzo, codice utente e così via." Quindi, come vedete, non solo ci si può approfittare di un'effettiva situazione di panico, ma la si può proprio anche ingenerare, anche se è falsa. Cioè, se io mi fingo quello della fast web, in realtà probabilmente la vittima non avrà problemi a internet, ma la convincerò che c'è un problema e che io ho la soluzione, basta che lei mi dia le informazioni e io gli risolverò un problema che in realtà non ha. La quarta emozione, o più che altro caratteristica delle persone, è l'ignoranza. Io magari, sempre nell'esempio di prima, chiamo la vittima e oltre a ingenerare panico uso anche dei paroloni, dei tecnicismi, e sfrutto quindi la sua mancata conoscenza di come funziona una determinata cosa per avere le informazioni che mi servono. Questo è il classico caso di truffa agli anziani, che magari essendo meno tecnologici tendono ad affidarsi di più di chi ne sa più di loro. Il quinto sentimento è il desiderio o anche l'avidità delle persone, e questo è qualcosa che conosciamo già un po' di più. È il caso ad esempio in cui io chiamo qualcuno e gli dico: hai vinto un premio, dammi il tuo indirizzo che ti mando tutto. Facendo leva su questa parte qui, la vittima sarà più propensa a darmi l'indirizzo e si farà meno domande sul perché chiedo questa informazione. L'ultima emozione che sfrutta l'ingegnere sociale sono i buoni sentimenti delle persone. Questa è la cosa peggiore, perché si fa leva proprio sulla volontà naturale dell'essere umano di aiutare gli altri. Ad esempio, chiamo un dipendente fingendomi sempre il collega di un'altra filiale e gli chiedo aiuto disperata. Gli dico che non riesco più ad accedere al file con tutti i dati dei clienti e se mi Mi dia cortesemente nome, cognome, numero di telefono, codice fiscale, indirizzo e nome utente di tutti i clienti che voglio attaccare. Come vedete, questi 6 sentimenti sono cose che proviamo tutti e a seconda della situazione alcuni funzioneranno di più e altri di meno, così come saranno più efficaci se usati insieme tra di loro. Ad esempio, ingenerando sia compassione, quindi buoni sentimenti, sia senso di colpa nella vittima, oppure sia ignoranza sia rispetto per le autorità. Ovviamente ci possono essere vari modi con cui un ingegnere sociale attua il suo attacco. Può essere via mail, via telefono, via SMS e anche di persona. Il punto è che viene hackerato l'essere umano per portare poi a termine un attacco più sofisticato. Nella quasi totalità degli attacchi hacker c'è una prima parte di social engineering, anche se voglio ad esempio bloccare i sistemi dell'azienda con un ransomware, perché prima di Tutto, io devo entrarci nel sistema e la porta di accesso più facile rimane l'anello debole della catena, cioè gli esseri umani, i dipendenti. Arriviamo quindi alla domanda clou che è: come possiamo proteggerci? Innanzitutto imparando a riconoscere i segnali di un attacco di social engineering. Ci sono sempre dei campanelli d'allarme tipici, ad esempio la richiesta di agire in fretta oppure il chiedere informazioni che quella persona dovrebbe già conoscere. Se la mia banca mi chiama e mi chiede la mia data di nascita, mi fa un po' strano. Dovrebbero averla già nel sistema. Quindi mi si attiva un campanello di allarme ed è importante che io non lo ignori. Ricordiamo comunque che nessuna banca e nessun servizio serio ci chiederà mai codici, password o PIN via email o telefono. Nel dubbio noi buttiamo giù, fingiamo che sia caduta la linea e chiamiamo i numeri che noi abbiamo già della banca o del servizio che ci ha contattato e cerchiamo di capire se sono richieste legittime. Quindi se qualcuno si finge il dipendente della mia banca, io butto giù, richiamo la mia banca e dico: stavo parlando con— e diciamo il nome di chi ci ha contattato. Se quella persona non sa nulla, cade dalle nuvole, probabilmente era un ingegnere sociale che si stava fingendo quell'operatore. Una cosa che chiaramente non può mai mancare— parlo ovviamente soprattutto per enti e aziende, ma parlo in generale di tutti— è la formazione. Corsi, simulazioni di attacchi di ingegneria sociale, esercitazioni, tutto aiuta. Dobbiamo imparare a non fidarci della parola di qualcuno e fare sempre dei controlli sull'identità di chi ci sta contattando. E lo dico con un grande dispiacere perché io sono una persona che tende a fidarsi e tende a vedere sempre il buono negli altri. Però purtroppo ci sono tantissime persone che sanno manipolarci e sanno sfruttare i nostri punti deboli e le 6 emozioni che ho citato prima per sferrare degli attacchi hacker. Quindi mi raccomando, stiamo attenti. Dal punto di vista invece tecnico, una cosa che sicuramente aiuta è ad esempio dove possiamo attivare l'autenticazione a due fattori, che è quella in cui oltre a username e password ci viene richiesto di inserire ad esempio un codice ricevuto via SMS. In questo modo, anche se l'ingegnere sociale mi frega e mi ruba la password, l'hacker non potrà accedere senza il secondo codice che mi arriva via SMS. Ma attenzione, alcuni proveranno a ingannarti anche su quello, come è successo a Twitter nel 2020. Ma questo lo vediamo nel caso di domani. Un altro strumento che aziende denti dovrebbero adottare è l'uso di policy interne molto solide che stabiliscono, ad esempio, come effettuare delle verifiche prima di dare delle informazioni, quali dati si possono dare, quali no, e così via. Bisogna ovviamente anche insegnare dipendenti a non condividere mai le password, nemmeno col tecnico, a usare credenziali forti e diverse se per ogni account, a verificare sempre contatti, a bloccare sempre il PC quando si allontana dalla postazione anche se per pochi minuti. Se nonostante tutte le precauzioni che prendiamo l'attacco riesce lo stesso, agiamo immediatamente: cambiamo le credenziali, denunciamo l'attacco alle autorità, facciamo verificare i nostri sistemi per controllare che non ci siano virus e così via. Anche se non siamo riusciti a fare nulla di meglio prima, possiamo sempre intervenire in seguito per limitare i danni. Comunque, se volete approfondire questo tema, vi consiglio caldamente di leggere il libro L'arte dell'inganno di Kevin Mitnick, dove spiega in che modo un ingegnere sociale può convincerci a dargli informazioni, credenziali, addirittura i numeri delle carte di credito. È un libro bellissimo, anche se onestamente un po' terrificante, ma è stato scritto dal vero e proprio padre dell'ingegneria sociale, quindi troviamo tutte le tecniche che possono essere utilizzate. Se il tema vi è piaciuto, non perdetevi il video di domani in cui parlerò del caso più famoso di social engineering, ovvero di come nel 2020 siano stati rubati gli account di alcune delle persone più famose al mondo senza usare un solo malware. A domani! 15 luglio 2020. Il mondo sta ancora affrontando la pandemia di COVID-19, esplosa con tutta la sua forza solo pochi mesi prima. Sono molte le celebrità che in quel periodo di incertezza e difficoltà generali stanno facendo beneficenza, ad esempio finanziando la costruzione di ospedali o offrendo aiuto a chi ha perso il lavoro. Non stupisce quindi il tweet di Elon Musk con cui il magnate proprietario di Tesla dice di voler aiutare la sua community ad affrontare la pandemia. Il tweet, proveniente dal profilo ufficiale di Musk, recita: "Sto aiutando la mia community per via del COVID. Tutti i Bitcoin inviati al mio indirizzo verranno restituiti in misura doppia. Se mi mandi $1.000, ti invierò $2.000. Lo farò solo per i prossimi 30 minuti. Divertitevi!" Non è nemmeno un'iniziativa così strana, considerando che Elon Musk ha sempre avuto un approccio piuttosto stravagante nelle sue iniziative. Quello che è strano è che tweet praticamente identici iniziano a essere pubblicati anche sui profili ufficiali di altre celebrità come Jeff Bezos, Bill Gates, Joe Biden, Barack Obama e di multinazionali come Apple e Uber. Ben presto ci si accorge che qualcosa non va, ma prima che la situazione venga fermata e risolta vengono inviati oltre $120.000 in criptovalute agli indirizzi indicati nei tweet. E la cosa peggiore è che non si è trattato di un hackeraggio sofisticato, non è stato violato alcun sistema, si è trattato solo di alcune telefonate mirate fatte da un ragazzino di 17 anni. Vediamo cosa è successo. Ciao a tutti e benvenuti in questo nuovo video. Oggi analizzeremo l'attacco a Twitter del 2020 e vedremo come è stato compiuto e ovviamente anche cosa avrebbe potuto fare l'azienda per evitarlo. Parlo e che cosa ha fatto chiaramente dopo. Partiamo dalla mente dietro all'attacco, ovvero Graham Ivan Clark. Clark nasce in Florida nel 2003 e fin da piccolo si appassiona di informatica, mostrando ben presto un interesse per la parte più oscura della tecnologia. Ad esempio, nel 2018 si unisce a un forum chiamato OGUsers, nato per lo scambio di account e nomi utenti e di dominio ritenuti rari o di particolare valore. Questo forum era tenuto d'occhio dalle forze dell'ordine statunitensi perché spesso si trovavano post che incitavano al furto di account o che utilizzavano minacce e tecniche di manipolazione anche molto gravi per costringere gli utenti dei vari social media a cedere il proprio nome di account perché ritenuto interessante dai membri del forum. Clark viene bannato dal forum, pensate, dopo soli 4 giorni, apparentemente perché aveva idee ancora più estremiste degli altri membri. Ma qui intanto aveva conosciuto con due persone che poi diventeranno suoi complici nell'attacco a Twitter. Nel 2019 poi Clark fa il suo primo attacco, questa volta da solo, riuscendo a rubare 164 Bitcoin a un investitore sfruttando una vulnerabilità dell'autenticazione a più fattori. Come ho anticipato anche nel video di ieri, l'autenticazione a più fattori, o MFA, che sarebbe proprio per Multi-Factor Authentication, serve ad aumentare la sicurezza del login a un sito o a un servizio. Il tipo di MFA più conosciuto consiste nell'inserire prima username e password e poi confermare la propria identità inserendo un codice ricevuto via SMS o chiamata. Clark aveva capito che una volta entrato in possesso di username e password della sua vittima gli mancava solo quell'ultimo tassellino, quel codice ricevuto via SMS per entrare dove voleva. E aggirare questo passaggio, beh, era relativamente semplice. Bastava avere abbastanza informazioni sulla sua vittima per poterla impersonare, chiamare un operatore telefonico fingendosi fossi lei e dire di aver smarrito il telefono e nel giro di poco tempo gli sarebbe arrivata a casa una SIM nuova di zecca con il numero della sua vittima. Il furto dei Bitcoin del 2019 è andato proprio così. Le forze dell'ordine statunitensi fra l'altro sono riuscite anche a beccarlo, ma non hanno potuto arrestarlo perché aveva solo 16 anni. Clark, vedendo quanto l'attacco era stato semplice e che comunque non aveva subito praticamente alcuna conseguenza, ha iniziato a pensare di poter fare ancora di ha iniziato a pensare: come potrei rubare tanti bitcoin a tante persone tutte in una volta? Nel 2020, con la pandemia, arriva la sua occasione propizia. Come anticipavo all'inizio del video, varie celebrità stavano già facendo beneficenza e donando denaro. Clark decide quindi di impersonare più personaggi famosi e di convincere le persone a inviargli dei bitcoin. Il primo passaggio necessario era ovviamente entrare negli account delle celebrità. Insieme ai suoi due complici di OGUsers, esperti nel furto di account, inizia a pensare a come fare. Va detto su questo che i tre ragazzi erano abbastanza bravi con la tecnologia, ma non erano degli hacker così sofisticati e impenetrabili come si potrebbe pensare. Clark aveva però una competenza molto specifica: era un abilissimo manipolatore. L'attacco è iniziato sotto forma di spear phishing, cioè di campagne phishing mirate a colpire proprio determinate persone, nello specifico i dipendenti di Twitter. Clarke si fingeva del reparto informatico di Twitter e riusciva ogni volta a convincere le persone a rivelare le proprie credenziali di accesso. E poi, con i propri trucchetti già consolidati, aggirava l'autenticazione a più fattori, o clonando la SIM della vittima, oppure convincendo la vittima stessa a comunicargli il codice ricevuto via SMS. Questa tecnica è stata efficacissima anche perché è stata attuata in un momento in cui i dipendenti lavoravano quasi tutti da casa, perché la pandemia era già iniziata, per cui si faceva già quasi tutto per telefono. Pensateci un attimo: se io sono del reparto IT, quindi sono l'informatico dell'azienda, io e te lavoriamo nello stesso edificio e devo fare una verifica sul tuo computer, mi conviene venire alla tua scrivania e farlo di persona. Ma se stiamo lavorando entrambi da casa, mi conviene chiamarti. Ed è proprio questa situazione che Clark ha sfruttato. Tramite questi espedienti, i 3 ragazzi nel giro di poco hanno avuto accesso agli account di posta elettronica di vari dipendenti, arrivando a comprendere nel profondo il funzionamento di Twitter e di tutti i processi aziendali. Ad esempio, hanno potuto consultare documentazione o tool interni che hanno rivelato quali altri dipendenti avessero i permessi necessari per gestire gli account degli utenti di Twitter. Queste informazioni interne hanno fornito agli aggressori le indicazioni su chi colpire successivamente. In breve tempo hanno individuato ulteriori dipendenti con accesso agli strumenti di support account, quindi il pannello amministrativo usato dal servizio clienti Twitter e hanno ripetuto l'attacco di social engineering anche contro di loro, ottenendo credenziali con livelli di autorizzazione man mano più elevati. A quel punto, Clark aveva in mano le chiavi di Twitter. Gli c'è voluto pochissimo per entrare negli account delle singole celebrità, postare il tweet incriminato chiedendo di inviare Bitcoin al suo indirizzo e uscire. Come vedete, non ci sono stati malware, virus, backdoor, rotture di firewall, sistemi ultra complicati, Sono bastate delle ricerche mirate sulle persone e delle telefonate e delle mail ben congegnate. È letteralmente tutto qui. Anche i tweet in sé, che dovevano servire a convincere le persone a inviare Bitcoin al suo indirizzo, sfruttavano le 6 tecniche di manipolazione tipiche del social engineering di cui vi ho parlato nel video di ieri. Nello specifico, i tweet sfruttavano: 1) l'autorevolezza e la credibilità delle celebrità, perché i tweet erano pubblicati proprio dagli account ufficiali, quelli con la spunta blu. 2) I buoni sentimenti delle persone, nello specifico la loro fiducia nei confronti di chi diceva di star facendo beneficenza. 3) Allo stesso tempo l'avidità delle persone che speravano in un ritorno economico importante senza fare praticamente nulla. 4) E ultima ma non meno importante, l'urgenza. Quasi tutti i tweet dicevano che l'offerta era valida solo per chi faceva quel pagamento entro 30 minuti. Per cui le persone si sono interrogate meno sulla veridicità della cosa e hanno fatto il pagamento quanto prima per non farsi sfuggire quest'occasione. E so già che qualcuno di voi penserà: "Ma dai, com'è possibile cascarci? Era palese che si trattasse di una truffa." In realtà la chiave dell'attacco, oltre all'aver sfruttato alla perfezione il momento storico in cui tutte le celebrità avevano iniziative di beneficenza, è stata proprio la quantità di account che Clark è riuscito a violare. Io ve ne ho citati solo alcuni, ma in totale sono stati pubblicati questi tweet in 45 account di diverse personalità pubbliche, soprattutto VIP e politici. E il fatto che tutti questi personaggi pubblicassero tweet praticamente identici ha dato credibilità alla cosa. Era più facile credere che la Apple avesse deciso di aderire alla stessa iniziativa di Elon Musk che pensare che entrambi quegli account fossero stati violati. Comunque, una volta intuito quello che era successo, sono iniziate immediatamente le indagini che hanno portato all'identificazione, all'arresto arresto di tutti e tre gli individui. Clark in particolare è stato arrestato il 31 luglio 2020 e incriminato con 30 capi d'accusa, tra cui fraude informatica, furto d'identità, uso criminale di informazioni personali e così via. Nonostante fosse minorenne, è stato perseguito come un adulto data la gravità dei reati. Nel marzo 2021 Clark ha confessato la propria responsabilità nell'attacco per arrivare a un patteggiamento. Si è dichiarato quindi colpevole e ha accettato una condanna a 3 anni di detenzione in un istituto giovanile seguiti da 3 anni di libertà vigilata. Il motivo di una pena così contenuta, tutto sommato, è che si è dimostrato subito molto collaborativo e comunque era minorenne al momento del crimine. Uno dei suoi complici, Mason John Sheppard, di 19 anni, lui cittadino invece britannico, è stato incriminato da una corte federale statunitense con le accuse di frode telematica, riciclaggio di denaro e accesso non autorizzato a sistemi informatici in relazione all'hack di Twitter. Shepard sarebbe stato coinvolto soprattutto nel tentativo di vendere l'accesso agli account compromessi ad altri soggetti malintenzionati e nello sfruttamento dell'attacco per guadagno personale. È stato arrestato dalle autorità britanniche ad agosto 2020 su richiesta degli Stati Uniti, ma in realtà non ho trovato informazioni sull'esito del processo. Il terzo complice era Nima Fazeli, di 22 anni, anche lui della Florida come Clark. È stato arrestato a fine luglio 2020 e accusato di aver fatto da intermediario insieme a Shepard per trovare acquirenti interessati a comprare gli account Twitter rubati o comunque l'accesso ad essi. Anche su di lui ci sono in realtà veramente poche informazioni per quanto riguarda processo e condanna. Le autorità hanno poi indicato che almeno un altro individuo potrebbe essere stato coinvolto nell'attacco, senza però essere inizialmente identificato pubblicamente. Tra l'altro, in base allo username utilizzato da questo potenziale quarto soggetto, si è poi pensato che fosse Clark stesso sotto un altro nome. In ogni caso, grazie alla rapida indagine dell'FBI e delle forze dell'ordine internazionali, nel giro di poche settimane dall'attacco tutti i principali responsabili sono finiti sotto accusa, evitando così ulteriori danni. In totale sono stati compromessi 130 account Twitter durante l'attacco. Di questi, 45 account sono stati utilizzati attivamente dagli hacker per inviare questi tweet fraudolenti, mentre gli altri furono comunque violati, ad esempio per leggere messaggi privati o provare a vendere le credenziali di accesso online. Bitcoin. Il guadagno totale dei 3 ragazzi è stato stimato in circa $120.000 in Bitcoin, che comunque sono stati poi restituiti alle vittime per quanto possibile. Twitter ha dovuto temporaneamente bloccare molti degli account di multinazionali e celebrità finché non fosse garantita la loro sicurezza. Tra l'altro, il valore del titolo Twitter in borsa ha subito un immediato crollo di circa un 3% a seguito della diffusione della notizia che per fortuna è stato recuperato abbastanza velocemente. L'azienda ha ovviamente aumentato fin da subito la propria sicurezza. Oggi il numero di dipendenti con privilegi amministrativi sugli account utente è significativamente ridotto rispetto al 2020, e questi privilegi sono concessi solo per strette necessità di lavoro, con procedure di approvazione e controllo molto più serrate. Questo cambiamento strutturale fa sì che, anche se in futuro un dipendente venisse nuovamente compromesso, l'account violato non avrebbe automaticamente poteri illimitati sulla piattaforma. Un altro importante miglioramento è stata l'implementazione di metodi di autenticazione molto più sicuri per gli accessi interni. Twitter ha reso obbligatorio per tutti i suoi dipendenti e collaboratori l'uso di chiavi di sicurezza fisiche come metodo di autenticazione a più fattori. Nel giro di poche settimane ogni membro dello staff Twitter ha ricevuto una chiavetta fisica da utilizzare per il login. Molto più sicura rispetto al semplice codice SMS. Twitter ha poi assunto un nuovo Chief Security Officer, un CSO, quindi qualcuno deputato esclusivamente a migliorare la sicurezza informatica dell'azienda, e ha investito molto sulla formazione interna e la sensibilizzazione dei dipendenti. Sono stati istituiti programmi obbligatori di training sulla sicurezza con aggiornamenti periodici per tutto lo staff, prevedendo anche delle esercitazioni di phishing interne regolari. Vari tramite invio di mail simulate per testare e migliorare la reattività del personale. L'obiettivo dichiarato è stato quello di creare una cultura aziendale in cui ogni dipendente sia consapevole di essere la prima linea di difesa, o se vogliamo l'anello più debole. Questo cambio culturale dovrebbe ridurre la probabilità che in futuro un dipendente fornisca credenziali al telefono, come avvenuto nel 2020. In conclusione, l'attacco hacker a Twitter del luglio 2020 ha messo in luce gravi vulnerabilità ma ha anche innescato quantomeno dei cambiamenti positivi. Oltre all'azione penale contro i responsabili, Twitter ha rivisto proprio tutta la propria sicurezza interna da cima a fondo e ha implementato delle misure strutturali, tecniche e organizzative per proteggere meglio sia la piattaforma sia i suoi utenti più in vista. L'evento ha sensibilizzato anche un po' tutta l'opinione pubblica e i legislatori sull'importanza di trattare i social network come delle infrastrutture critiche da difendere e ha spinto Twitter a essere più proattiva nel prevenire degli abusi futuri. Anche se ovviamente nessun sistema è totalmente inviolabile, le probabilità di un attacco analogo riuscito sono oggi notevolmente ridotte rispetto al 2020, proprio grazie alle lezioni apprese e alle riforme attuate. Bene, spero che questo video vi sia piaciuto. Fatemi sapere nei commenti se conoscevate già questa vicenda. Noi ci rivediamo al prossimo video.