Sempre di più i cyber criminali aggirano gli utenti con tecniche di social engineering per penetrare le difese informatiche

Qual è l’anello più debole della catena della sicurezza informatica? L’uomo. A dichiararlo sono stati Raj Samani, CTO di Intel Secuity, e Charles McFarland, Senior Research Engineer del MTIS che hanno realizzato un with paper secondo cui è proprio l’essere umano, oltre che rappresentare il bersaglio, è anche il vettore inconsapevole degli attacchi informatici.

Molti attacchi informatici utilizzano infatti tecniche di social engineering e numerosi cyber criminali adottano metodi sempre più complessi per bypassare il ‘firewall umano’, con l’obiettivo di convincere un individuo specificamente selezionato ad eseguire un’azione che provoca un’infezione o la divulgazione di informazioni preziose.

Il report rivela la portata e la gravità delle tecniche di social engineering, in uno scenario in cui McAfee Labs identifica un enorme aumento dell’uso di URL malevoli con più di 30 milioni di URL sospetti individuati verso la fine del 2014. L’incremento è attribuibile all’uso di nuovi URL brevi, che spesso nascondono siti Web dannosi, parallelamente a un forte aumento degli URL di phishing. Questi URL sono spesso ‘contraffatti’ per nascondere la vera destinazione del collegamento e sono spesso utilizzati dai criminali informatici nelle email di phishing per ingannare i dipendenti. E di fronte a un 18% di utenti che cadono vittima del phishing e cliccano sul link maligno, la tendenza ad utilizzare sempre più queste tecniche è motivo di preoccupazione.

“Il tema più ricorrente che vediamo quando si studiano le violazioni dei dati di oggi, è l’uso dell’ingegneria sociale per costringere l’utente a un’azione che facilita e favorisce le infezioni di malware – commenta Ferdinando Torazzi, regional director enterprise endpoint & Italy & Greece Intel Security.  – Anche se l’obiettivo delle azioni di bonifica post attacco è una correzione tecnica, dobbiamo tenere presente anche l’aspetto umano di un attacco, capire le motivazioni che ne hanno favorito la riuscita e il modo in cui il bersaglio umano è stato sfruttato e soprattutto predisporre un piano per evitare in futuro altri casi e ridurre il rischio di ulteriori attacchi”.

Tecniche di social enginnering

social engeeniring

All’interno del report, inoltre, vengono evidenziate le varie tipologie di un attacco di social engineering: nel tipo “caccia” l’aggressore carpisce le informazioni con il minimo contatto con il bersaglio, mentre nel tipo “allevamento” l’aggressore stabilisce un legame con la vittima e “si nutre” delle informazioni per un lungo periodo di tempo e ne evidenzia casi e tecniche specifiche, approfondendone gli aspetti psicologici  sfruttati da questo tipo di criminali informatici, tra cui il desiderio di corrispondere a un favore, o di lamentarsi per un errore compiuto a proprio scapito, l’attitudine a osservare le indicazioni delle autorità o di essere accettati nella società. Infine, lo studio offre alcuni importanti suggerimenti per potersi difendere dal social engineering dal punto di vista delle persone, dei processi e delle tecnologie.

“Per contrastare meglio il problema, dobbiamo comprendere la natura degli attacchi di ingegneria sociale – conclude Torazzi. – Ciò significa definire un profilo dei possibili attori, conoscere i loro metodi di attacco e le loro risorse e applicare i relativi controlli per ridurre il rischio di successo di un attacco adottando un approccio basato appunto su persone, processi e tecnologie”.