Questo studio, seppure improprio, è spesso diventato un vero e proprio metodo di crittoanalisi nelle circostanze in cui è stato utilizzato verso i profili che conoscevano chiavi di crittografia di siatemi o infrastrutture.
Spesso utilizzata anche dagli organi delle forze dell’ordine.
La social engineering potrebbe essere comparata ad una tecnica simile alla tortura con il tubo di gomma considerata dagli esperti, un metodo efficacie per ottenere la “chiave codice”, soprattutto se comparato ai metodi crittanalitici.
Un professionista può definirsi ingegnere sociale, solamene se è in grado di fingere, sapere ingannare le altre persone, quindi di base saper mentire.
Un ingegnere sociale è particolarmente bravo a celare la propria identità, fingendosi un'altra persona: in questo modo egli sarà in grado di ricavare informazioni che non potrebbero mai essere ottenute con la sua vera identità.
Nel caso si trattasse di un pirata informatico, questo sarebbe in grado di ricavare informazioni attinenti ad un sistema informatico.
L'ingegneria sociale è quindi una tecnica per ricavare informazioni ampiamente utilizzata da parte di hacker esperti e spie, e siccome comporta (specie nell'ultima fase dell'attacco) un rapporto più diretto con la vittima, questa metodologia d’attacco è una delle più importanti per carpire informazioni.
Nella maggior parte dei casi, il cosiddetto ingegnere sarà in grado di ricavare tutto ciò che gli serve da una vittima completamente ignara.
L’attacco da parte di un ingegnere sociale può essere distinto in diverse fasi, difatti questo comincia tramite la raccolta di informazioni riguardanti la vittima per poi arrivare all'attacco vero e proprio.
La prima operazione, denominata footprinting (talvolta della durata di settimane), serve all’ingegnere per ottenere i dati e le informazioni che ritiene possa avere, se considerate utili, il profilo-bersaglio di interesse, ad esempio: informazioni sensibili, mail, numeri di utenze telefoniche, etc.
Successivamente l'ingegnere passerà alla seconda fase, ergo quella che verrà adibita alla verifica delle informazioni raccolte per verificarne l’attendibilità, attuando tecniche come telefonare all'azienda del bersaglio e chiedere cortesemente di poter parlare con il proprio bersaglio.
L’ultima fase è ritenuta quella più importante, dato che sarà fondamentale per la riuscita dell'attacco, infatti consiste nello studio dello stile vocale della persona per la quale vuole spacciarsi (esemplificando cercherà di evitare l'utilizzo di espressioni dialettali e cercherà di apparire quanto più naturale possibile, utilizzando un tono neutro e cortese).
Tale operatività serve per rendere utilizzabili le informazioni raccolte nelle precedenti fasi, e di mantenere un profilo discreto nell’ipotesi gli venisse richiesto di rispondere a quesiti, domande, etc.
La ricerca dunque viene suddivisa in due differenti parti: una di contesto e una cumulativa.
Lo scopo della prima parte è dunque quello di trovare tutte le informazioni che sono pubbliche e dunque facilmente reperibili, per capire che domande rivolgere e soprattutto a chi.
Secondariamente, il fine è quello di utilizzare le informazioni raccolte per procedere con richieste sempre più complesse al proprio interlocutore “vittima”.
Con tentativi che possono essere tesi anche ad individuare (o estrapolare) dati completi sulla composizione del personale, ad esempio nomi, cognomi ecc. o quanto ritenuto necessario.
Le tecniche psicologiche messe in atto dall’ingegnere sociale sono numerose, di cui le più comuni generalmente riguardano lo sfruttamento di strumenti quali autorevolezza, senso di colpa, panico, ignoranza, desiderio, avidità e compassione.
Tutte queste, se riconosciute, possono a loro volta aiutare la vittima ad evitare di essere attaccata, diviene dunque importante nel mondo della sicurezza informatica tenerle in considerazione per aumentare la consapevolezza degli utilizzatori della rete.
La prima tecnica psicologica è l’autorevolezza, infatti spesso utilizzando specifiche forme di comunicazione dalla caratteristica tipica di quella utilizzata da alcune autorità (enti istituzionali, governativi, specifiche aziende, corporazioni etc.) si può riuscire a far cambiare autonomamente la percezione “di comando” all’interlocutore.
Se un'informazione o un comando viene comunicato attraverso un messaggio con caratteristiche tipiche di una certa autorità (es: azienda, ente governativo, banca), questo può essere interpretato e preso in considerazione con una certa importanza a seconda dell'ente interessato.
Più un attaccante simula un messaggio di questo tipo mettendo anche immagini o particolarità tipiche, più l'utente sarà vulnerabile nell'accettare e seguire le azioni illustrate nel messaggio.
Si può applicare in ambiti come e-mail o siti web (phishing), dove l'attacco punta tutto sul creare un ambiente di visualizzazione il più simile possibile a quello dell'autorità coinvolta (loghi, slogan, azioni da svolgere).
La seconda tecnica è incentrata sul senso di colpa, infatti lo scopo dell’ingegnere sarà quello di far sentire in colpa un determinato utente, in modo da spingerlo ulteriormente a risolvere determinate situazioni con qualsiasi mezzo a sua disposizione.
Essendo a conoscenza delle debolezze dell’individuo, il professionista sarà in grado di creare una condizione per cui l'utente si sente in colpa e dunque vincolato nel prendere una scelta, tanto da fare azioni particolari e inconsuete.
Esemplificando, è possibile far intuire alla vittima di essere a conoscenza dei suoi download illeciti da Internet e di obbligarlo a pagare una multa online in modo da reperire non solo i soldi, ma anche i dati associati al pagamento.
Un altro strumento utilizzato nell'ingegneria sociale è il panico.
Riuscendo a creare questo genere di situazione, diventa più semplice convincere una persona a reagire in modo tale da risolvere il problema che ha sconvolto un contesto tranquillo e normale della vittima.
Cadendo nel panico si cercherà in ogni modo di risolvere la questione anche con atti sconsiderati che ci sembrano i più veloci ed efficaci.
Un esempio che si potrebbe citare è quello riguardanti le mail, in una situazione dove il soggetto viene avvisato della presenza di un pericoloso virus in grado di mettere fuori uso un qualsiasi sistema e che all’interno del messaggio è presente un allegato che ci permette di difenderci da questo attacco.
Il suddetto allegato potrebbe contenere facilmente a sua volta un malware o altro, in grado di insinuarsi nella rete locale.
Un altro strumento psicologico facilmente utilizzabile è l’ignoranza.
Nel mondo di Internet è difficile essere a conoscenza di tutti gli strumenti software e hardware utilizzati.
In questo modo gli utenti possono trovarsi disorientati nel caso un messaggio contenga una terminologia ricercata e molto tecnica, creando i presupposti per portare la vittima a fare le azioni consigliate nel testo senza curarsi del vero significato del messaggio.
In questi casi è di fondamentale importanza essersi documentati su quali siano le corrette azioni da compiere di fronte a complessi messaggi, onde evitare di agire in modo sconsiderato, ma al contrario essere preparati all’evenienza.
È necessario sottolineare, che il tempo impiegato per condurre le necessarie verifiche, non deve essere considerato perso, ma che nella realtà dei fatti è il miglior investimento che si possa fare per non cadere sistematicamente nelle trappole della rete e dei ladri d'identità.
Il desiderio, altro strumento psicologico utilizzato dagli ingegneri sociali, porta molto spesso a navigare in parti di Internet che sono appetibili per l'utente.
Particolarmente per gli utenti di genere maschile è molto facile far presa con contenuti di tipo pornografico.
Un noto esempio si è presentato nella popolarissima piattaforma di Facebook, dove nel 2015 sono comparsi collegamenti a finti video pornografici sulla bacheca virtuale di alcuni utenti, su cui venivano citati anche alcuni amici dei malcapitati.
Il collegamento riconduceva ad un malware che si insinuava nei dispositivi e rubava dati riservati delle persone attaccate.
Il tutto è stato reso noto anche dalla Polizia di Stato italiana in un comunicato del 16/02/2015 di cui viene riportato un breve estratto: "Si tratta di un programma "malevolo" che ha la capacità di sottrarre i dati sensibili.
Questo virus può essere inoltre, trasmesso da un contatto all’altro, ad esempio si può insinuare nella chat, quindi se chattaste con un amico “infetto” potreste essere infettati anche voi."
L’avidità è un altro aspetto sfruttato da questi professionisti per arrivare allo scopo.
L'utente può trovare delle offerte che sembrano imperdibili per acquisire un oggetto in particolare.
Generalmente se si trova un prodotto a basso mercato quindi facilmente accessibile, può rivelarsi in svariate casistiche solamente una manovra per far abboccare qualche malcapitato, che in realtà ha la convinzione di trovarsi di fronte ad un acquisto facile ed eccezionale.
Anche in questo caso si è presentato un attacco, comparso per la prima volta nel 2012, all'interno della rete sociale Facebook.
In quell’anno fu diffuso sulla piattaforma un evento riguardante l'azienda Ray-Ban che avrebbe messo in vendita degli occhiali a basso costo in un giorno casuale, facendola apparire un'opportunità imperdibile per gli acquirenti per risparmiare facilmente.
L'evento si è rivelato essere un falso in cui ovviamente non era coinvolto il famoso produttore di occhiali, e conteneva un collegamento che portava a scaricare un malware in grado di accedere ai dati personali.
L'attacco è stato attuato anche in diverse maniere, sempre mantenendo il sistema di tagging a scopo di diffondere il malware.
L’ultimo strumento psicologico qui citato sarà il sentimento di fiducia e gratitudine; in questo caso, l'ingegnere sociale può falsamente offrire un aiuto o un servizio ad una ad un qualunque individuo all’interno di un’azienda (per esempio simulando un "help desk").
In questo modo il malcapitato percepirà una sensazione di sicurezza, di conseguenza farà esattamente ciò che gli viene richiesto rivelando informazioni utili per l'attaccante.
Viceversa, se l'ingegnere sociale facesse finta di essere un collega e di trovarsi in difficoltà, la vittima potrebbe mostrare compassione e fornire le informazioni necessarie pur di aiutarlo.
Facendo leva sui buoni sentimenti si può giungere a condurre alcune persone a fare donazioni o a scaricare applicazioni particolari.
Mentre nel genere maschile si fa affidamento alla tecnica del desiderio, in questo caso è molto più semplice fare breccia sull'altro sesso attraverso finte organizzazioni benefiche o siti e applicazioni riguardanti l'amore e la vita di coppia.
Un esempio famoso di tale tipologia di attacco è il virus ILOVEYOU diffusosi nel 2000, in cui si utilizzava un allegato all'interno di una mail il quale sembrava essere un semplice file di testo con titolo "LOVE-LETTER-FOR-YOU.TXT", ma in realtà era un comune file eseguibile.
Lo strumento utilizzato maggiormente dagli ingegneri social è il telefono, dato che l’uso di questo ausilio permette di utilizzare senza difficoltà il linguaggio e l’approccio desiderato al fine di raggirare la propria vittima.
Anche email e siti web vengono utilizzati nell'attacco, creando un contesto in cui le immagini e i messaggi possono portare il malintenzionato a ottenere dati riservati con l'utilizzo di web form o applicazioni vere e proprie.
L’espansione delle reti sociali negli ultimi anni, la branchia dell'ingegneria sociale ha ricominciato il proprio sviluppo, prendendo vantaggio anche di sistemi semantici o crawler di informazioni.
Strumenti non meno importanti sono banalmente la voce e il vocabolario dell'ingegnere sociale, che attraverso lo studio del sistema da attaccare riesce ad adattarsi alla situazione in cui deve lavorare a scopo di non destare sospetti.
Le metodologie di attacco sfruttano principalmente tali tecnologie, avvantaggiandosi di tecniche psicologiche.
Il pretexting ("creazione di un pretesto") consiste nel creare una falsa ambientazione con lo scopo di spingere un utente a divulgare delle informazioni o a commettere azioni che non sarebbero consuete nel contesto in cui opera.
L'attaccante si immedesima in una certa entità, sfruttando alcuni dati acquisiti in precedenza (data di nascita, identificativo della carta d'identità,...), per penetrare maggiormente nella mente della vittima.
In determinate casistiche, al fine di poter ottenere risposte ad ogni domanda gli ingegneri sociali potrebbero emulare il l’atteggiamento e il comportamento di un ufficiale delle forze dell’ordine, in questo modo la vittima sarebbe costretta a rispondere senza esitazioni.
Quando il tutto viene fatto attraverso il telefono, l'utilizzo di un tono autoritario crea uno scenario ancora più realistico per la vittima.
Il phishing è una tecnica per ottenere informazioni in maniera fraudolenta.
Generalmente viene inoltrata una mail alla vittima, rendendola il più simile possibile ad un messaggio inviato da una qualunque compagnia.
La persona viene spinta a scaricare un allegato che presenta un malware o a cliccare su un collegamento interno alla mail che porta ad una pagina web molto simile a quella originale del fornitore del servizio, presentando un form da compilare dove in genere sono presenti campi come codice PIN bancario o password.
Nell'ambito dell'ingegneria sociale è di uso frequente il phishing telefonico, anche chiamato vishing, nel quale viene simulato un contesto particolare come un centro chiamate, attraverso il quale è possibile ricevere maggiore fiducia da parte della persona coinvolta nell'attacco.
Della tecnica appena descritta è stato un grosso esponente Kevin Mitnick durante le sue scorrerie informatiche, tanto da scrivere un libro proprio su questo tema, L'arte dell'inganno.
Altro mezzo diffuso è il baiting che consiste, come si può intuire dal nome, nell'utilizzare un'esca per una persona in grado di accedere ad un determinato sistema (una sorta di cavallo di Troia).
In pratica viene lasciato incustodito in un luogo comune (ingresso dell'azienda, bagno pubblico) un supporto di memorizzazione come una chiavetta USB o un disco rigido in modo da stimolare la curiosità della vittima che con una certa probabilità prenderà l'oggetto (facendo leva dunque su desiderio e avidità).
In seguito lo strumento potrà essere utilizzato nel sistema nel quale lavora l'attore coinvolto, accedendo così molto più facilmente ai dati personali o aziendali essendo già all'interno della rete locale (LAN).
Altro metodo utile per ottenere informazioni sulle persone, è attraverso la spazzatura.
Molto spesso l'hardware viene buttato senza curarsi del fatto che i dati possano essere ancora presenti nel dispositivo e dunque ricavabili da altri.
Per esempio, per cancellare i dati da un disco rigido non basta fare una formattazione completa, ma è necessario applicare azioni fisiche sul dispositivo, come creare dei veri e propri buchi sui dischi.
Bisogna ricorrere a queste misure drastiche poiché esistono software di ricostruzione dati particolarmente avanzati, in grado di riuscire a ricavare i dati eliminati anche in seguito a più formattazioni.
Sfruttando il metodo del quid pro quo, l'ingegnere sociale fa alcune chiamate casuali a diverse compagnie fingendo di garantire un supporto tecnico.
Nel caso in cui la vittima sia a conoscenza di un problema che può aver provocato all'interno del contesto in cui lavora, sarà maggiormente possibile fargli seguire tutti i passaggi che portano all'acquisizione di dati utili.
Si può notare che il senso di colpa in questo caso, spinge la persona coinvolta a fare tutto quello che gli viene detto dall'attaccante.
Un esperimento a riguardo è stato condotto nel 2003 dalla Information Security ed è stato constatato che il 90% delle persone coinvolte (con lavoro da ufficio) era disposto a comunicare la password del proprio PC in cambio di una penna economica.
Un caso interessante si presentò anche nel 2007 nella filiale ABN Amro ad Anversa, quando un truffatore riuscì ad impadronirsi di diamanti e gemme dal valore di 120000 carati, non attraverso strumenti tecnologici, ma acquistando cioccolatini per il personale e presentandosi come una persona gentile e disponibile.
In questo modo ottenne la fiducia dei dipendenti e le chiavi del posto dove erano custoditi i gioielli.
Per contrastare i tentativi di ingegneria sociale non si può fare affidamento sulle tecnologie fisiche adottate per la sicurezza informatica come firewall o antivirus.
Poiché infatti in questo caso l'anello debole è l'essere umano, la consapevolezza e la diffidenza diventano armi importanti nella difesa contro l'ingegneria sociale.
Per limitare gli attacchi di questo tipo, in ambito aziendale, si possono seguire alcuni accorgimenti quali:
· Creare un'infrastruttura di fiducia per gli impiegati e il resto del personale (specificare dove, come, quando e da chi devono essere trattati i dati).
· Capire quali informazioni sono sensibili e valutare il loro livello di esposizione verso l'esterno.
· Stabilire protocolli di sicurezza, politiche e procedure per i dati sensibili.
· Allenare il personale di interesse nelle procedure di sicurezza di interesse.
· Testare casualmente, senza riferirlo, tale infrastruttura.
· Manipolare e revisionare tutti i passaggi.
· Utilizzare un servizio di gestione dei rifiuti con depositi chiusi con lucchetti apribili solamente dal personale di pulizia autorizzato (i rifiuti informatici possono essere utili per i possibili attaccanti).
A livello personale, sono consigliate inoltre tali contromisure:
· Diffidare da mail o telefonate non solleccitate, specialmente se da parte di persone che chiedono informazioni su dipendenti o riguardo l'azienda (anche finanziarie). Documentarsi prima su chi richiede tali dati (autorità).
· Non diffondere informazioni sensibili in rete senza verificare il livello di sicurezza e attendibilità del sito.
· Controllare sempre la URL del sito web, poiché potrebbe contenere alcune lievi differenze rispetto all'originale.
· Documentarsi meglio sul mittente del messaggio, senza far riferimento solamente alle informazioni di contatto, ma andando a ricercare i possibili attacchi nelle liste di phishing trovabili tramite motore di ricerca.
· Evitare di aprire allegati o file eseguibili di dubbia provenienza.
Se si è a conoscenza di essere stati vittima di un attacco di ingegneria sociale:
· In ambito aziendale è importante comunicare il tutto agli amministratori di rete e ai responsabili della sicurezza interna.
· Nel caso siano stati coinvolti dei conti bancari, è necessario contattare la banca di interesse mettendo sotto controllo il saldo e i movimenti.
· Se sono state comunicate delle password, bisogna cambiarle anche negli altri siti dove le medesime erano utilizzate.
· Considerare anche la comunicazione verso un'autorità competente (es: Polizia postale).
Nel caso in cui un attaccante voglia accedere fisicamente ad un luogo sicuro, può essere necessario avere una chiave particolare o una sorta di riconoscimento come una carta RFID.
In queste casistiche può rivelarsi utile il pedinaggio, ergo seguire la persona che accede a tale locazione per provare a fare irruzione all’interno del luogo fingendosi un individuo che ha smarrito la chiave oppure chiedendo semplicemente una cortesia.
In alcuni casi, l'attaccante può anche essere munito di un identificativo falso.
Il furto di materiale o informazioni può avvenire anche per dirottamento (diversion theft).
Il metodo viene anche chiamato "Corner Game" ed è originario della parte Est di Londra.
Consiste semplicemente nel variare la destinazione del corriere senza che lui possa accorgersene, ricavandone in questo modo il materiale di interesse.
Allo stesso modo il tutto è applicabile anche su Internet, variando il destinatario di un determinato messaggio.
