Ingegneria sociale

L'ingegneria sociale (dall'inglese social engineering), nel campo della sicurezza informatica, consiste nell'utilizzo, da parte dei pirati informatici, di metodi che hanno come scopo quello di ottenere informazioni personali tramite l'inganno.

Descrizione generale

Questa tecnica è anche un metodo (improprio) di crittanalisi quando è usata su una persona che conosce la chiave crittografica di un sistema e viene usata anche dalla polizia. Può essere, secondo gli esperti, un modo efficiente per ottenere la chiave, soprattutto se comparato ai metodi crittanalitici.

Le fasi dell'attacco

L'ingegnere sociale comincia con il raccogliere informazioni sulla vittima per poi arrivare all'attacco vero e proprio.

Durante la prima fase (che può richiedere anche alcune settimane di analisi), l'ingegnere cercherà di ricavare tutte le informazioni di cui necessita sul suo bersaglio: e-mail, recapiti telefonici, ecc.

Superata questa fase, detta footprinting, l'ingegnere passerà alla fase successiva,

Seconda fase, l'ingegnere verifica se le informazioni che ha ricavato sono più o meno attendibili, anche telefonando all'azienda del bersaglio e chiedendo cortesemente di parlare con la vittima.

Terza fase, la più importante, quella che determinerà il successo dell'attacco, è lo studio dello stile vocale della persona per la quale vuole spacciarsi (ad esempio cercando di evitare in tutti i modi l'utilizzo di espressioni dialettali e cercando di essere quanto più naturale possibile, sempre utilizzando un tono neutro e cortese). In questa fase l'attaccante avrà sempre vicino a sé i propri appunti con tutte le informazioni raccolte nella fase di footprinting, dimostrandosi pertanto sicuro nel caso gli venisse posta qualche domanda.

La ricerca si suddivide in due parti: 1. di contesto, si trovano tutte quelle informazioni che sono pubbliche e dunque facilmente reperibili, per capire che domande rivolgere e soprattutto a chi.

2. cumulativa si raccolgono tutti questi dati e si utilizzano per fare delle richieste maggiormente complesse alla vittima, includendo anche nomi del personale, competenze e tutto il necessario per acquisire più fiducia possibile.

Tecniche psicologiche

Le tecniche psicologiche utilizzate nell'ingegneria sociale sono molteplici, ma le più comuni riguardano lo sfruttamento di strumenti quali autorevolezza, senso di colpa, panico, ignoranza, desiderio, avidità e compassione. Tutte queste, se riconosciute, possono a loro volta aiutare la vittima ad evitare di essere attaccata, ed è dunque importante nel mondo della sicurezza informatica tenerle in considerazione per aumentare la consapevolezza degli utilizzatori della rete.

Autorevolezza

Se un'informazione o un comando viene comunicato attraverso un messaggio con caratteristiche tipiche di una certa autorità (es: azienda, ente governativo, banca), questo può essere interpretato e preso in considerazione con una certa importanza a seconda dell'ente interessato. Più un attaccante simula un messaggio di questo tipo mettendo anche immagini o particolarità tipiche, più l'utente sarà vulnerabile nell'accettare e seguire le azioni illustrate nel messaggio. Si può applicare in ambiti come email o siti web (phishing), dove l'attacco punta tutto sul creare un ambiente di visualizzazione il più simile possibile a quello dell'autorità coinvolta (loghi, slogan, azioni da svolgere).

Senso di colpa

Facendo sentire in colpa un determinato utente, lo si spingerà ulteriormente a risolvere la situazione scomoda con qualsiasi mezzo a sua disposizione. Conoscendo soprattutto le debolezze della persona, l'ingegnere sociale è in grado di creare una condizione per cui l'utente si sente in colpa e dunque vincolato nel prendere una scelta, tanto da fare azioni particolari e inconsuete. Per esempio si può far credere alla persona di essere a conoscenza dei suoi download illeciti da Internet e di obbligarlo a pagare una multa online in modo da reperire non solo i soldi, ma anche i dati associati al pagamento.

Panico

Un altro strumento utilizzato nell'ingegneria sociale è il panico. Creando una situazione di questo genere, è più semplice convincere una persona a compiere un'azione che sembra possa risolvere un problema che ha sconvolto un contesto tranquillo e normale della vittima (consuetudine). Cadendo nel panico si cerca in tutti i modi di risolvere la questione anche con atti sconsiderati che ci sembrano i più veloci ed efficaci. Per esempio, tramite una mail si viene avvisati di un nuovo e pericoloso virus che è in grado di mettere fuori uso un qualsiasi sistema e che nel messaggio è presente un allegato che ci permette di difenderci da questo attacco. Tale file potrebbe contenere facilmente a sua volta un malware o altro, in grado di insinuarsi nella rete locale.

Ignoranza

Nel mondo di Internet è difficile essere a conoscenza di tutti gli strumenti software e hardware utilizzati. In questo modo gli utenti possono trovarsi disorientati nel caso un messaggio contenga una terminologia ricercata e molto tecnica, creando i presupposti per portare la vittima a fare le azioni consigliate nel testo senza curarsi del vero significato del messaggio. Dunque diventa importante documentarsi prima di attuare azioni sconsiderate di fronte a messaggi complessi e chiedere consiglio ad utenti più esperti e molto preparati. Va sottolineato come il tempo impiegato per condurre le necessarie verifiche, non è perso, anzi è il miglior investimento che si possa fare per non cadere sistematicamente nelle trappole della rete e dei ladri d'identità.