Cos'è l'ingegneria sociale?

Le persone possono essere manipolate.Alcune più facilmente di altre.Nell'ingegneria sociale, questo viene utilizzato dai criminali informatici.Sfruttano la psicologia umana per estrarre informazioni riservate dai dipendenti, al fine di ottenere l'accesso ai sistemi per rubare dati, denaro e altro ancora.I criminali informatici utilizzano spesso questa strategia 'sociale' e non tecnica per effettuare attacchi mirati e ad ampio raggio.

Tipi di attacchi di ingegneria sociale

Gli aggressori hanno sviluppato diversi modi per ottenere i suoi dati. Abbiamo elencato i sette più importanti.

Phishing

Si tratta della variante più comune dell'ingegneria sociale. Il phishing si verifica quando un hacker comunica in modo fraudolento con una vittima. Il messaggio di comunicazione sembra molto reale. Ad esempio, il messaggio di comunicazione incoraggia il destinatario a cliccare su un link in un'e-mail o a scaricare un allegato in un messaggio e-mail. Questo inganna il destinatario, perché il link o l'allegato infettano direttamente il dispositivo con il malware. Il malware, d'altra parte, può anche condividere informazioni personali, finanziarie o aziendali con il cyber-criminale.

La business email compromise (BEC) è una forma di phishing in cui vengono rubate le credenziali di accesso di un account e-mail aziendale. La BEC si verifica principalmente tra aziende e organizzazioni.

Adescamento

Questa variante è simile al phishing. Ma ciò che la rende diversa è la promessa di un articolo o di un prodotto che gli aggressori utilizzano per sedurre le vittime. Ad esempio, utilizzano l'offerta di scaricare gratuitamente musica o film. In questo modo, vogliono sedurre gli utenti a condividere i loro dati di accesso. Un altro modo di adescare è quando lasciano un dispositivo infetto da malware, come una chiavetta USB, in un luogo dove è più probabile che qualcuno lo trovi. Questo si basa sul nostro innato senso di curiosità; qualcuno collega la chiavetta USB al computer portatile e, di conseguenza, il computer portatile viene infettato dal malware, forse anche senza che l'utente se ne accorga.

Whaling

Questa tipologia prende di mira i dirigenti e altri obiettivi di alto profilo all'interno delle aziende. I messaggi sono progettati per sembrare comunicazioni aziendali critiche che richiedono un'attenzione immediata.

Pretexting

Il pretexting si verifica quando un aggressore crea una falsa storia di fondo per manipolare l'accesso della vittima a dati sensibili o a sistemi protetti.

Quid pro quo

Un attacco quid pro quo si verifica quando gli aggressori richiedono informazioni private a qualcuno in cambio di qualcosa o di un qualche tipo di compenso.

Spear phishing

Lo spear phishing è una forma molto mirata di attacco di phishing. Lo spear phishing si concentra su una persona o un'organizzazione specifica. Gli attacchi di spear phishing sono efficaci perché il mittente di un'e-mail o di un messaggio privato sui social media, ad esempio, corrisponde a una persona conosciuta, a un collega o a un datore di lavoro. Di conseguenza, il destinatario si fida e il mittente appare legittimo. Le persone hanno molto a che fare con gli attacchi di spear-phishing perché la sicurezza delle e-mail non è in ordine, ad esempio. Dopo tutto, sembra che il regista sia il mittente dell'e-mail.

Tailgating

Il tailgating è una tecnica di ingegneria sociale fisica che si verifica quando qualcuno, senza un'autenticazione adeguata, segue un dipendente autorizzato in un luogo sicuro. Ad esempio, la persona può spacciarsi per un addetto alle consegne e camminare con un dipendente per consegnare un pacco. Lo scopo del pedinamento è quello di ottenere una proprietà (intellettuale) di valore, informazioni aziendali riservate o l'accesso a un luogo sicuro. Questo non funziona in tutte le aziende. Nelle organizzazioni più grandi, spesso sono necessarie delle chiavi elettroniche per superare le porte. Nelle aziende di medie dimensioni, gli aggressori hanno spesso la possibilità di conversare con i dipendenti e di sfruttare questa familiarità per superare lo sportello.

Come ci si protegge dall'ingegneria sociale?

La protezione dagli attacchi di ingegneria sociale richiede un mix di consapevolezza, vigilanza e misure di sicurezza adeguate. Ecco come può salvaguardare se stesso e la sua organizzazione:

Educare se stesso

L'ignoranza è la sua più grande debolezza ed è estremamente facile da sfruttare, rendendo le persone non istruite il bersaglio principale degli aggressori. Sapere cosa cercare e le tecniche di best practice sono il suo primo e migliore livello di difesa.

Sia consapevole delle informazioni che rilascia

Questo comprende sia i media verbali che quelli sociali. Siti come Instagram, Facebook e X sono fonti abbondanti di informazioni e risorse, dalle immagini agli interessi che possono essere sfruttati. Una semplice ricerca su Google Maps del suo indirizzo di casa o di lavoro offre una visione a volo d'uccello dell'edificio e dei suoi dintorni.

Utilizzi l'autenticazione a più fattori (MFA)

L'MFA aggiunge un ulteriore livello di protezione, rendendo più difficile per gli aggressori l'accesso ai suoi sistemi, anche se riescono ad entrare in possesso delle credenziali degli utenti. In questo articolo, spieghiamo meglio le sfide con le password.

Determinare quali dei suoi asset sono più preziosi per i criminali

Si assicuri di proteggere la cosa giusta! Nel decidere quali beni sono più preziosi per un aggressore, si assicuri di non concentrarsi esclusivamente su ciò che lei o l'azienda ritenete più prezioso. Gli aggressori informatici sono interessati a tutto ciò che possono monetizzare.

Applicare e seguire le politiche

Dopo aver identificato le risorse più allettanti per gli aggressori e il pretesto che probabilmente utilizzeranno per prenderle di mira, scriva una politica di sicurezza - e la segua! In un contesto aziendale, tutti i dipendenti devono fare la loro parte. Ognuno è una potenziale porta d'accesso all'azienda e ai suoi beni. È sufficiente che una sola porta sia socchiusa perché un aggressore possa avere accesso.

Mantenga il suo software aggiornato

Gli aggressori che utilizzano tecniche di social engineering cercano spesso di capire se lei sta utilizzando un software non aggiornato e non patchato. Rimanere al passo con le patch e mantenere il suo software aggiornato può mitigare gran parte di questo rischio.

Piano di risposta agli incidenti

Predisponga un piano chiaro per rispondere agli incidenti di sicurezza, compresi i sospetti tentativi di social engineering. Dovrebbe includere chi contattare e i passi da seguire se qualcuno sospetta di essere un bersaglio.

Non sia l'anello debole... Sia intelligente, sia vigile, sia cyber-sicuro!

Pratica continua

Il panorama odierno delle minacce rappresenta un rischio reale per i suoi dati sensibili, la sua redditività e la sua reputazione. La sicurezza informatica deve essere una pratica continua che richiede una chiara comprensione del modo in cui gli utenti, i clienti e le applicazioni accedono ai dati e della configurazione dei dispositivi.

Nomios è specializzata nella valutazione, costruzione e gestione della sicurezza informatica aziendale da oltre 20 anni. La nostra vasta esperienza ingegneristica ci offre l'opportunità di sviluppare strategie e soluzioni di sicurezza che rispondono alle sue sfide aziendali in continua evoluzione.

Il nostro team di esperti di sicurezza la aiuta a limitare i rischi delle minacce moderne.