Come riconoscere i segni di un attacco di social engineering

Sapere come individuare i segnali di un attacco di social engineering può aiutare a prevenire questo tipo di attacchi e a proteggere i dati e i sistemi sensibili della tua organizzazione.

Perché fare la fatica di sfondare una porta quando puoi chiedere a qualcuno di consegnarti la chiave? Questo scenario è l’analogia che descrive il motivo per cui l’ingegneria sociale è diventata la tecnica di attacco informatico più utilizzata.

Il Verizon Data Breach Investigation Report 2021 ha rilevato una tendenza all’aumento dell’uso del social engineering dal 2017. Un altro rapporto ha individuato un aumento del 270% degli attacchi informatici basati sul social engineering nel 2021.

È così difficile individuare i segni dell’ingegneria sociale perché agisce manipolando i comportamenti quotidiani della nostra vita. Come può un dipendente sapere se è vittima di una truffa di social engineering?

Cos’è l’ingegneria sociale?

Comprendere i vari elementi utilizzati durante il social engineering aiuta a individuare i segnali di un attacco di social engineering.

I criminali informatici sono sempre alla ricerca di modi per accedere a informazioni sensibili o manipolare un processo aziendale per danneggiarlo. Questi danni variano, tra cui le truffe BEC (Business Email Compromise) e le infezioni da malware.

Entrambi questi tipi di attacchi informatici sono in aumento: Le truffe BEC sono costate alle aziende globali oltre 43 miliardi di dollari nei cinque anni fino al 2021, con un aumento del 65% delle perdite tra luglio 2019 e dicembre 2021; la ricerca ha rilevato che il 71% delle aziende è stato vittima di un attacco malware nel 2021. Alla base di questi aumenti ci sono truffe di ingegneria sociale sofisticate e complesse.

L’ingegneria sociale sfrutta il comportamento umano, in modo che gli individui compiano azioni che favoriscono il truffatore. In altre parole, i truffatori fanno in modo che gli individui facciano il lavoro sporco per loro senza volerlo. Le tattiche utilizzate dai truffatori durante un attacco di ingegneria sociale si basano sulla manipolazione del comportamento, sull’inganno e su trucchi psicologici. Questa manipolazione è favorita dalla mancanza di conoscenza da parte del singolo obiettivo.

L’ingegneria sociale è un metodo di attacco sottile e basato sull’intelligence. I ricercatori Abid, et al., hanno identificato le fasi tipiche del ciclo di vita di un attacco di social engineering:

1. Raccolta di informazioni: ricognizione per identificare modelli di comportamento, applicazioni utilizzate e processi aziendali che possono essere sfruttati. Questo permette di stabilire un livello di fiducia con l’obiettivo e di sfruttare l’intelligence.
2. Sviluppare la relazione: questa fiducia viene utilizzata per sviluppare le relazioni in vista della fase successiva.
3. Sfruttamento: l’attività dannosa viene eseguita, ad esempio cliccando su un link in un’email di phishing o attivando un bonifico bancario di denaro.
4. Esecuzione: l’ultima fase in cui l’hacker riceve denaro o ottiene l’accesso alle credenziali di accesso per installare il ransomware o accedere a informazioni sensibili.

Tenendo presente le fasi di un attacco di social engineering, come puoi individuare un attacco di social engineering prima che sia troppo tardi?

Cinque segnali che indicano che stai subendo un’ingegneria sociale

Alcuni dei segnali più evidenti sono anche i più difficili da individuare perché si mascherano da eventi regolari. Tuttavia, l’arte di individuare l’imprevisto o quando qualcosa non va è qualcosa che una regolare formazione sulla sicurezza aiuta a stabilire.

Ecco cinque segnali tipici dell’ingegneria sociale:

Un allegato o un link inaspettato

Gli attacchi di phishing e smishing (mobile phishing) spesso contengono un allegato o un link a un sito web dannoso. L’e-mail stessa conterrà i tipici motivatori comportamentali, come l’urgenza, la pressione emotiva, la curiosità, la paura e le minacce, oltre ad altre affermazioni preoccupanti, come una minaccia alla sicurezza. L’attacco di phishing incoraggerà il destinatario ad aprire un allegato o a cliccare su un link sfruttando queste pressioni emotive.

Pensa prima di cliccare, prima di aprire un allegato. Il messaggio sembra legittimo? Controlla se ci sono segni di phishing, ad esempio: “L’indirizzo e-mail del mittente corrisponde al nome del dominio previsto? Il linguaggio e la grammatica dell’e-mail sono un po’ strani?

Dai un’occhiata alla MetaCompliance Ultimate Guide to Phishing per scoprire altri segnali rivelatori delle email di phishing.

Una richiesta insolita

I truffatori possono tradirsi chiedendo qualcosa di inaspettato. Questo è particolarmente evidente se il truffatore si spaccia per un’altra persona dell’azienda, magari un CFO o un CEO.

Le truffe BEC, ad esempio, possono coinvolgere i dipendenti del reparto contabilità che ricevono un’email di spear phishing che sembra provenire da un dirigente di alto livello e che chiede di effettuare un trasferimento di denaro immediato e urgente. Altre email di phishing possono chiedere al destinatario di aprire un allegato con una registrazione vocale, e così via.

Se una richiesta ti sembra fuori dal comune e insolita, fermati a pensare: potrebbe essere una truffa? Quindi, effettua un semplice controllo: chiama la persona che ha presumibilmente inviato la richiesta e chiedi se è legittima.

Una richiesta o una domanda urgente

L’urgenza è un ottimo esempio di tattica utilizzata per manipolare le emozioni umane. Se una richiesta urgente sembra provenire anche dall’alta dirigenza o dal livello C, prenditi un momento per verificare la legittimità della richiesta.

La Business Email Compromise (BEC) spesso comporta la manipolazione emotiva dei dipendenti che lavorano nel reparto finanziario. Ad esempio, un truffatore BEC cercherà di fare pressione su un dipendente affinché effettui un bonifico, minacciando di perdere l’attività se non agisce rapidamente.

Controlla due volte la richiesta e chiama la persona che presumibilmente l’ha fatta.

Un’offerta troppo bella per essere vera

I criminali informatici a volte utilizzano il ricatto o la coercizione per estrarre informazioni, soprattutto durante la fase di raccolta delle informazioni di un attacco di social engineering.

Pensaci due volte se ricevi un’offerta di denaro o un premio per la condivisione di informazioni aziendali o personali, perché potrebbe trattarsi di un tentativo di hackeraggio del tuo account.

Una richiesta sui social media da parte di qualcuno che non riconosci

Nei sei mesi fino a giugno 2021, LinkedIn ha rimosso oltre 66 milioni di spam e truffe sulla piattaforma, di cui 232.000 rimossi dopo il reclamo di un utente. Gli hacker creano falsi account sui social media e poi si rivolgono a loro per creare connessioni. I truffatori utilizzano i social media per raccogliere informazioni e costruire relazioni con gli obiettivi e i loro contatti.

Se ricevi una richiesta di connessione su una piattaforma di social media, controlla il profilo del richiedente e cerca i segni che potrebbero essere falsi. Ad esempio, ha un profilo completo e una storia lavorativa, ha raccomandazioni legittime e così via?

L’ingegneria sociale funziona e continuerà a farlo finché non impareremo a riconoscere i segnali. Una formazione di sensibilizzazione sulla sicurezza che includa l’educazione alle tattiche di ingegneria sociale consente ai dipendenti di avere le conoscenze necessarie per impedire ai truffatori di sfruttare il loro comportamento.