⚠️ SOCIAL ENGINEERING: l'arte di hackerare gli esseri umani

Immaginate di essere al lavoro e di ricevere una telefonata che sembra provenire da un collega di un'altra filiale dell'azienda per cui lavorate. Il collega è simpatico, usa il vostro gergo tecnico, conosce persone all'interno della vostra azienda, o almeno dice di conoscerle. È in difficoltà perché il suo computer non funziona, ha davanti a sé un cliente ma non riesce ad accedere ai suoi dati. Mentre parlate del più e del meno gli date tutte le informazioni che vi sta chiedendo. Codice fiscale del cliente, codice identificativo, numero di contratto. Alla fine si tratta di un collega, vi sta chiedendo informazioni a cui avrebbe tranquillamente accesso se il suo computer funzionasse. Una volta chiusa la telefonata siete proprio contenti di avere aiutato un collega in difficoltà e andate avanti con il vostro lavoro. Qualche giorno dopo il cliente vi chiama infuriato. Qualcuno ha avuto accesso ai suoi dati personali ed è riuscito a fingersi lui in più occasioni, arrivando a sottrargli oltre 10.000 euro. Il cliente è riuscito a risalire a voi e alle informazioni che incautamente avete dato a chi non era chi diceva di essere. Siete appena stati vittime di un attacco di social engineering. Ciao a tutti e benvenuti in questo nuovo video. Oggi parliamo di una delle minacce più subdole e in crescita costante nel panorama della cyber security: il social engineering o, in italiano, ingegneria sociale. Si tratta di una tecnica di attacco che non sfrutta tanto le competenze tecnologiche dell'hacker quanto la sua capacità di manipolare le persone per ottenere le informazioni che gli servono. Se immaginiamo l'attacco informatico vero e proprio come un furto, l'attacco di ingegneria sociale assomiglia più a una truffa. Le informazioni non vengono rubate ma vengono date spontaneamente dalle persone perché sono state ingannate dall'hacker. Non solo è una minaccia in costante crescita e veramente troppo sottovalutata, ma è anche la più semplice di tutte da attuare, perché come dico sempre, il fattore umano è l'anello più debole della catena della sicurezza informatica. Possiamo avere gli antivirus migliori, i firewall migliori, la rete più protetta del mondo, ma se abbiamo dei dipendenti poco formati e poco attenti a questo tipo di minaccia, siamo assolutamente vulnerabili. Ma partiamo dalle origini di questo fenomeno. Il termine social engineering nasce nel 1894, ben prima dell'era digitale. A coniarlo fu l'industriale olandese Van Marken, che in realtà lo usava in senso positivo. Secondo lui, nelle aziende, oltre agli ingegneri che si occupavano dei problemi tecnici, quindi agli ingegneri veri e propri, dovrebbero esserci anche degli ingegneri che si occupano dei problemi personali, come la lealtà dei dipendenti, la motivazione, la serenità sul posto di lavoro e così via. Solo negli anni '90 l'espressione è entrata nel linguaggio informatico e ha assunto la connotazione negativa che conosciamo oggi. Il primo a usarlo nel nostro campo fu Kevin Mitnick, celebre hacker americano che riusciva a entrare nei sistemi non bucando firewall ma convincendo i dipendenti a dargli le credenziali di accesso. Lui stesso diceva: "Perché forzare una serratura se qualcuno può aprirti la porta?" Se avete visto il video sul caso Toyota che ho pubblicato qualche settimana fa, è chiaro che quello che gli hacker hanno fatto non è stato bucare il sistema della banca per rubare del denaro, ma hanno convinto un dipendente a fare loro un bonifico, ed è una cosa molto più semplice e molto meno sofisticata rispetto all'entrare in un sistema. Un altro motivo per cui il social engineering è particolarmente pericoloso è che l'hacker non ha bisogno di esporsi fino all'attacco vero e proprio. Mi spiego meglio. Se voglio entrare nel computer di qualcuno e non conosco la password, dovrò fare almeno qualche tentativo prima di riuscire a forzarla. Questi tentativi lasciano delle tracce da cui potrebbe essere possibile risalire a me. Ma se io invece raccolgo da casa mia tutte le informazioni che mi servono per convincere quella persona a darmi la sua password e quella persona me la fornisce volontariamente, rimangono molte meno tracce. Al massimo un numero di telefono o un indirizzo mail che comunque non sarà mai associato a me se sono un attimo furbo, e gli ingegneri sociali lo sono. Ma visto che so già che direte: "Ma io tanto non darei mai a nessuno la mia password", vediamo in concreto come funziona un attacco di social engineering. Questo genere di attacco segue delle fasi ben precise. La prima si chiama footprinting ed è la ricerca sul web di tutte le informazioni che si possono trovare su una vittima. Serve a farsi un quadro della persona, per capire i suoi punti deboli, per riuscire a fingere di conoscerla. Se pensate: "Sono tranquillo, tanto su di me non c'è nulla su internet", vi consiglio di fare un giretto su webme.com, che è un motore di ricerca che serve proprio a trovare informazioni sulle persone. La prima volta che mi sono cercata sono rimasta sconvolta dalla quantità di informazioni vere che si potevano trovare su di me. Poi per fortuna qualcosa sono riuscita a togliere e tra l'altro ho anche abbastanza omonimi e quindi per fortuna i risultati sono un po' sporcati, ma in ogni caso fa davvero paura. La seconda fase consiste nella verifica delle informazioni raccolte. L'ingegnere sociale ha qualche informazione ma non sa se sono tutte vere, se sono tutte riferite alla persona giusta e così via. Quindi che cosa fa? Verifica tutte le informazioni che può. Ad esempio, se un'informazione che ha trovato riguarda il posto di lavoro di quella persona, chiamerà la società con una scusa e chiederà se quella persona lavora ancora lì o meno. In questo modo riesce a farsi un quadro più preciso di tutti i dati che ha a disposizione. La terza fase consiste nella costruzione di un pretesto. In base alle informazioni raccolte, l'ingegnere sociale stabilisce la scusa con cui chiamerà la persona, chi fingerà di essere, quali informazioni chiederà e così via. Queste tre fasi non vengono eseguite una volta sola. Gli attacchi di ingegneria sociale sono molto complicati. Se il mio obiettivo finale, ad esempio, è arrivare a conoscere i dettagli della carta di credito di una vittima per clonare la sua carta di credito o per utilizzarla su dei siti web, dovrò ripetere tantissime volte queste 3 fasi con varie persone per arrivare ad avere le 3 informazioni che mi servono, cioè numero di carta, data di scadenza e codice di controllo, il famoso CVC. Se io chiamassi la vittima dicendo: oh ciao, mi dai i dati della tua carta? L'attacco non andrebbe mai a buon fine. Ma se io raccolgo informazioni sulla vittima, capisco dove ha il conto corrente, mi fingo un operatore di quella banca e chiedo alla vittima: gli dica solo le ultime 4 cifre della carta, magari ripetendogliele anche più volte: "Non mi dica le altre cifre, non le dica mai a nessuno per telefono", è probabile che quelle ultime 4 cifre che gli sto chiedendo me le dirà e io avrò un pezzettino del puzzle. Se sento di avere la sua fiducia potrò magari anche rischiarmi a chiedergli la data di scadenza della carta, ad esempio dicendo: "Perfetto, grazie di queste ultime 4 cifre. La scadenza è maggio 2028, giusto?" Al che magari la vittima risponderà: "No, è gennaio 2027." e avrò un'altra informazione. Con queste due informazioni inizia a diventare già più semplice chiamare la banca, fingermi il cliente e dire: buongiorno, non riesco più a leggere bene il codice di controllo della mia carta, quella che finisce con 7428 e scade a gennaio 2027. Ed è possibile che il dipendente della banca ci caschi e mi dica il codice di controllo. Ed ecco che io avrò già quasi tutte le informazioni che mi servono per clonare la carta. Quindi non dobbiamo pensare all'attacco di ingegneria sociale come a qualcosa che si esaurisce in una telefonata. Sono attacchi che richiedono tantissime telefonate e mesi di ricerche, di lavoro sulle persone. Gli attacchi di social engineering ben eseguiti spesso non vengono nemmeno rilevati dalle vittime. Pensiamo all'esempio che ho appena fatto: è probabilissimo che la vittima e il dipendente si dimentichino di quella interazione, se gioco bene le mie carte. Scendiamo un po' di più nel dettaglio. Su come vengono concretamente effettuati questi attacchi. Il social engineering si avvale di varie tecniche psicologiche e di manipolazione, ma le principali componenti che vengono sfruttate sono 6. La prima è il rispetto per l'autorità. È molto più facile manipolare una persona se questa pensa che io abbia un'aura di autorevolezza e di rispetto. Ad esempio, chiamare un dipendente spacciandomi per un collega e chiedere un'informazione dicendo che serve al nostro capo è più efficace rispetto a dire che serve a me. Così come è efficace mandare una mail alla vittima fingendo di essere delle forze dell'ordine, dell'Agenzia delle Entrate e così via. La seconda emozione è il senso di colpa. Questa è una tecnica che viene spesso sfruttata in combinazione con la precedente. Immaginiamo di chiamare la vittima dicendo: "Sono un tuo collega, mi serve questa informazione per il nostro capo." Immaginiamo che la vittima non voglia darmi questa informazione. Aggiungere frasi tipo: "Se non mi dai questa informazione subito passerò dei guai, verrò licenziato per causa tua" può portare la persona a darmi l'informazione per evitare devere poi dei sensi di colpa. La terza emozione è il panico. Molto spesso si ingenera del panico nelle vittime per convincerle a dare delle informazioni. Ad esempio, mi informo su un tizio, scopro che usa un modem di FastWeb, lo chiamo e gli dico: "Buongiorno tizio, siamo della FastWeb, le comunichiamo che non avrà internet per una settimana perché stiamo facendo dei lavori." Aspetto che vada nel panico e si arrabbi e poi gli dico: "Ma scusi, lei dove abita esattamente? Ah, ma lì forse dura un po' meno il blocco. Ma lei usa internet per lavorare? Ok, allora provo a segnalarla come persona che ha urgenza di avere internet quanto prima. Mi dice il suo codice fiscale? Mi dice il suo nome utente? E chiudo la telefonata dicendo: guardi, farò di tutto per far sì che l'intervento sulla sua linea venga fatto di notte e di garantirle internet durante la giornata. La vittima butta giù, è felice, non avrà problemi a internet e dirà: ah, proprio gentile quell'operatore che mi ha chiamato, mi ha salvato dai problemi di internet. Intanto mi ha dato codice fiscale, indirizzo, codice utente e così via. Quindi come vedete non solo ci si può approfittare di un'effettiva situazione di panico, ma la si può proprio anche ingenerare, anche se è falsa. Cioè se io mi fingo quello della FastWeb, in realtà probabilmente la vittima non avrà problemi a internet, ma la convincerò che c'è un problema e che io ho la soluzione, basta che lei mi dia le informazioni e io gli risolverò un problema che in realtà non ha. La quarta emozione, o più che altro caratteristica delle persone, è l'ignoranza. Io magari, sempre nell'esempio di prima, chiamo la vittima e oltre a ingenerare panico uso anche dei paroloni, dei tecnicismi, e sfrutto quindi la sua mancata conoscenza di come funziona una determinata cosa per avere le informazioni che mi servono. Questo è il classico caso di truffa agli anziani, che magari essendo meno tecnologici tendono a fidarsi di più di chi ne sa più di loro. Il quinto sentimento è il desiderio o anche l'avidità delle persone, e questo è qualcosa che conosciamo già un po' di più. È il caso ad esempio in cui io chiamo qualcuno e gli dico: "Hai vinto un premio, dammi il tuo indirizzo che ti mando tutto." Facendo leva su questa parte qui, la vittima sarà più propensa a darmi l'indirizzo e si farà meno domande sul perché chiedo questa informazione. L'ultima emozione che sfrutta l'ingegnere sociale sono i buoni sentimenti delle persone. Questa è la cosa peggiore, perché si fa leva proprio sulla volontà naturale dell'essere umano di aiutare gli altri. Ad esempio, chiamo un dipendente fingendomi sempre il collega di un'altra filiale e gli chiedo aiuto disperata. Gli dico che non riesco più ad accedere al file con tutti i dati dei clienti e se mi può dire cortesemente nome e cognome, numero di telefono, codice fiscale, indirizzo e nome utente di tutti i clienti che voglio attaccare. Come vedete, questi 6 sentimenti sono cose che proviamo tutti, e a seconda della situazione alcuni funzioneranno di più e altri di meno, così come saranno più efficaci se usati insieme tra di loro. Ad esempio, ingenerando sia compassione, quindi buoni sentimenti, sia senso di colpa nella vittima, oppure sia ignoranza sia rispetto per l'autorità. Ovviamente ci possono essere vari modi con cui un ingegnere sociale attua il suo attacco. Può essere via mail, via telefono, via SMS e anche di persona. Il punto è che viene hackerato l'essere umano per portare poi a termine un attacco più sofisticato. Nella quasi totalità degli attacchi hacker c'è una prima parte di social engineering. Anche se voglio ad esempio bloccare i sistemi dell'azienda con un ransomware, perché prima di tutto io devo entrarci nel sistema e la porta di accesso più facile rimane l'anello debole della catena. Cioè gli esseri umani, i dipendenti. Arriviamo quindi alla domanda clou che è: come possiamo proteggerci? Innanzitutto imparando a riconoscere i segnali di un attacco di social engineering. Ci sono sempre dei campanelli di allarme tipici, ad esempio la richiesta di agire in fretta oppure il chiedere informazioni che quella persona dovrebbe già conoscere. Se la mia banca mi chiama e mi chiede la mia data di nascita, mi fa un po' strano. Dovrebbero averla già nel sistema. Quindi mi si attiva un campanello di allarme ed è importante che io non lo ignori. Ricordiamo comunque che nessuna banca e nessun servizio serio ci chiederà mai codici, password o PIN via email o telefono. Nel dubbio noi buttiamo giù, fingiamo che sia caduta la linea e chiamiamo i numeri che noi abbiamo già della banca o del servizio che ci ha contattato e cerchiamo di capire se sono richieste legittime. Vittime. Quindi se qualcuno si finge il dipendente della mia banca, io butto giù, richiamo la mia banca e dico: stavo parlando con— e diciamo il nome di chi ci ha contattato. Se quella persona non sa nulla e cade dalle nuvole, probabilmente era un ingegnere sociale che si stava fingendo quell'operatore. Una cosa che chiaramente non può mai mancare— parlo ovviamente soprattutto per enti e aziende, ma parlo in generale di tutti— è la formazione. Informazioni, corsi, simulazioni di attacchi di ingegneria sociale, esercitazioni. Tutto aiuta. Dobbiamo imparare a non fidarci della parola di qualcuno e fare sempre dei controlli sull'identità di chi ci sta contattando. E lo dico con un gran dispiacere, perché io sono una persona che tende a fidarsi e tende a vedere sempre il buono negli altri. Però purtroppo ci sono tantissime persone che sanno manipolarci e sanno sfruttare i nostri punti deboli e le 6 emozioni che ho citato prima per sferrare degli attacchi hacker. Quindi mi raccomando, stiamo attenti. Dal punto di vista invece tecnico, una cosa che sicuramente aiuta è ad esempio dove possiamo attivare l'autenticazione a 2 fattori, che è quella in cui oltre a username e password ci viene richiesto di inserire ad esempio un codice ricevuto via SMS. In questo modo, anche se l'ingegnere sociale mi frega e mi ruba la password, L'hacker non potrà accedere senza il secondo codice che mi arriva via SMS. Ma attenzione, alcuni proveranno a ingannarti anche su quello, come è successo a Twitter nel 2020. Ma questo lo vediamo nel caso di domani. Un altro strumento che aziende ed enti dovrebbero adottare è l'uso di policy interne molto solide che stabiliscono ad esempio come effettuare delle verifiche prima di dare delle informazioni, quali dati si possono dare, quali no e così via. Bisogna ovviamente anche insegnare ai dipendenti a non condividere mai le password, nemmeno col tecnico, a usare credenziali forti e diverse per ogni account, a verificare sempre i contatti, a bloccare sempre il PC quando si allontanano dalla postazione, anche se per pochi minuti. Se nonostante tutte le precauzioni che prendiamo l'attacco riesce lo stesso, agiamo immediatamente: cambiamo le credenziali, denunciamo l'attacco alle autorità, facciamo verificare i nostri sistemi sistemi per controllare che non ci siano virus e così via. Anche se non siamo riusciti a fare nulla di meglio prima, possiamo sempre intervenire in seguito per limitare i danni. Comunque, se volete approfondire questo tema, vi consiglio caldamente di leggere il libro L'arte dell'inganno di Kevin Mitnick, dove spiega in che modo un ingegnere sociale può convincerci a dargli informazioni, credenziali, addirittura i numeri delle carte di credito. È un libro bellissimo, anche se onestamente un po' terrificante. Ma è stato scritto dal vero e proprio padre dell'ingegneria sociale, quindi troviamo tutte le tecniche che possono essere utilizzate. Se il tema vi è piaciuto, non perdetevi il video di domani in cui parlerò del caso più famoso di social engineering, ovvero di come nel 2020 siano stati rubati gli account di alcune delle persone più famose al mondo senza usare un solo malware. A domani!