Pretexting

Il pretexting è un tipo di attacco di ingegneria sociale che sfrutta una situazione creata ad arte dall'aggressore per attirare la vittima in una situazione vulnerabile, così da indurla con l'inganno a fornire informazioni private, in particolare informazioni che la vittima in genere non fornirebbe al di fuori del contesto del pretesto. Nella sua storia, il pretexting è descritto come la prima fase dell'ingegneria sociale ed è stato utilizzato dall'FBI nel corso delle indagini. Un esempio specifico di pretexting è l'ingegneria sociale inversa, in cui l'aggressore inganna la vittima inducendola a contattare per prima l'aggressore.

La prevalenza del pretexting tra gli attacchi di ingegneria sociale è dovuta al fatto che si basa sulla manipolazione della mente umana per ottenere l'accesso alle informazioni desiderate dall'aggressore, invece di dover hackerare un sistema tecnologico. Nel cercare le vittime, gli aggressori possono prestare attenzione a numerose caratteristiche, come la capacità di fidarsi, la bassa percezione della minaccia, la reazione all'autorità e la predisposizione a reagire con paura o eccitazione in differenti contesti. Nel corso della sua storia, gli attacchi di pretexting sono diventati via, via sempre più complessi, passando dalla semplice manipolazione degli operatori al telefono durante il secolo scorso, fino allo scandalo della HP, che ha interessato numeri di previdenza sociale, telefoni e banche. Attualmente, nelle organizzazioni vengono utilizzati quadri didattici sull'ingegneria sociale, anche se i ricercatori del mondo accademico hanno suggerito possibili miglioramenti a tali contesti.

Ingegneria sociale

L'ingegneria sociale è una tattica di manipolazione psicologica che porta alla risposta involontaria o inconsapevole del bersaglio/vittima. Si tratta di una delle principali minacce alla sicurezza informatica nel mondo odierno: colpisce le organizzazioni, la gestione aziendale e le industrie. Gli attacchi di ingegneria sociale sono considerati difficili da prevenire a causa della loro radice nella manipolazione psicologica. Questi attacchi possono anche raggiungere una dimensione più ampia. In caso di attacchi di sicurezza di altro tipo, potrebbe essere violata un'azienda che detiene i dati dei clienti. Con gli attacchi di ingegneria sociale, sia l'azienda (in particolare i lavoratori all'interno dell'azienda), sia il cliente sono direttamente suscettibili a essere presi di mira.

Un esempio è dato dal settore bancario, dove possono essere attaccati non solo i dipendenti della banca, ma anche i clienti. Gli aggressori legati all'ingegneria sociale si rivolgono direttamente ai clienti e/o ai dipendenti per aggirare il tentativo di hackerare un sistema puramente tecnologico e sfruttano le vulnerabilità umane.

Anche se la sua definizione in relazione alla sicurezza informatica sia stata distorta da diverse pubblicazioni, un elemento comune è che l'ingegneria sociale (nella cybersecurity) sfrutta le vulnerabilità umane per violare entità come computer e tecnologie dell'informazione.

Al momento, la letteratura e la ricerca sull'ingegneria sociale sono scarse. Tuttavia, una parte importante della metodologia di ricerca sull'ingegneria sociale consiste nel creare un pretesto artificioso. Quando si valuta quali sono gli attacchi di ingegneria sociale più pericolosi o dannosi (come il phishing, vishing e water-hole), la tipologia di pretesto è un fattore largamente insignificante, dato che alcuni attacchi possono avere più pretesti. Pertanto, il pretexting stesso è ampiamente utilizzato, non solo come attacco a sé stante, ma come componente di altri.

Il pretexting nella cronologia dell'ingegneria sociale

Nell'ambito della cybersecurity, il pretexting può essere considerato uno dei primi stadi evolutivi dell'ingegneria sociale. Per esempio, mentre l'attacco di ingegneria sociale noto come phishing si basa su oggetti moderni come le carte di credito e avviene principalmente nel contesto elettronico, il pretexting era, e può, essere attuato senza la tecnologia.

Il pretesto è stato uno dei primi esempi di ingegneria sociale. Coniato dall'FBI nel 1974, il concetto di pretexting veniva spesso utilizzato come ausilio nelle indagini. In questa fase, il pretexting consisteva in un aggressore che chiamava la vittima chiedendo semplicemente informazioni. Gli attacchi di pretexting consistono solitamente in tattiche di persuasione. Dopo questa fase iniziale dell'evoluzione dell'ingegneria sociale (1974-1983), il pretexting si è trasformato non solo in tattiche di persuasione, ma anche in tattiche di inganno. Con lo sviluppo della tecnologia, i metodi di pretexting si sono sviluppati di pari passo. Ben presto gli hacker hanno avuto accesso a un pubblico più ampio di vittime grazie alla diffusione dei social media.

Ingegneria sociale inversa

L'ingegneria sociale inversa è un esempio più specifico di pretexting. Si tratta di una forma non elettronica di ingegneria sociale in cui l'aggressore crea un pretesto con cui l'utente viene manipolato per contattare l'aggressore per primo, anziché il contrario.

Generalmente, gli attacchi di ingegneria inversa prevedono che l'aggressore pubblicizzi i propri servizi come una sorta di aiuto tecnico, garantendo la propria credibilità. In seguito, la vittima viene indotta a contattare l'aggressore dopo aver visto la pubblicità, senza che l'aggressore contatti direttamente la vittima. Una volta che un aggressore è riuscito a portare a termine un attacco di ingegneria sociale inversa, è possibile sferrare un'ampia gamma di attacchi di ingegneria sociale grazie al falso senso di fiducia creato tra l'aggressore e vittima (per esempio, l'aggressore può fornire alla vittima un link malevolo sostenendo che si tratta di una soluzione al problema della vittima. Grazie al legame tra l'aggressore e la vittima, quest'ultima sarà portata a credere all'aggressore e a cliccare sul link dannoso).