Social Engineering: come difendersi dagli attacchi online di hackers

Social Engineering: di cosa si tratta esattamente?

Tra tutte le tecniche di hacking, questa è forse quella più invisibile e pericolosa poiché riesce a fare leva sui lati umani, come le emozioni.

Il social engineering è lo studio del comportamento umano in funzione alle pressioni di un hacker.
Questa scienza comprende tutte le tecniche che spingono un utente a rilasciare i suoi dati personali, come anche quelli bancari, direttamente all’hacker.
Come riesce un efficace attacco di social engineering? Attraverso la creazione di un legame di fiducia tra attaccante e vittima ingenua, che porta quest’ultima a fornire dati riservati oppure a installare in autonomia un malware.

Tipologie di social engineering

Tutti gli attacchi di social engineering rientrano in 3 macro-categorie:

1. Mobile: qui abbiamo tutti gli attacchi di ingegneria sociale che si diffondono tramite mobile (tablet, smartphone) e che in genere veicolano malware.
2. Computer: questa tecnica coinvolge strumenti informatici più complessi e competenze più alte
3. Human: queste campagne di social engineering sono basate sul contatto diretto tra attaccante e vittima;

Esempi di social engineering

Abbiamo visto come il social engineering è in grado di fare leva sulle emozioni e debolezze dell’essere umano per riuscire a sottrarre dati e informazioni sensibili.

Se vi è mai capitato di ricevere un’email e pensare: è troppo bello per essere vero, ecco che avete avuto la consapevolezza di accorgervi di un’ottima tecnica di hacking, quella che sfrutta la curiosità e il desiderio di ricchezza degli utenti.

Vediamo alcuni esempi principali:

Messaggi o e-mail che provengono da banche o istituti di credito

Sfruttare la paura: in questo caso l’hacker manda una mail o un SMS proveniente da una banca, specificando che il vostro conto corrente è bloccato e di effettuare il prima possibile l’accesso per confermare i vostri dati (ad un link specifico)

E-mail che provengono da aziende di Consegne e Spedizioni

Sfruttare l’urgenza di ricevere qualcosa: in questo caso l’hacker andrà a sollecitare la vostra curiosità e fretta di ricevere per esempio una spedizione. L’esempio migliore è ricevere un messaggio o mail in cui si richiede di cliccare al link inviato per sbloccare un pacco in un centro spedizioni.

Messaggi provenienti dalla Polizia postale

Vi è mai capitato di navigare su un sito web e di veder apparire un pop-up che dice: Stai navigando illegalmente, clicchi qui per pagare la sanzione! Ecco un altro caso di criminali informatici che tentano di ingannarvi.

Come riconoscere un attacco di social engineering

Il social engineering è un mondo davvero vasto, che può presentare diverse forme di attacco alle sue vittime. Per fortuna riconoscere il social engineering è possibile con un buon spirito critico e attenzione.

Vediamo allora come identificare e prendere le distanze da questa minaccia.

L’attacco informatico contenente la classica minaccia social engineering è il messaggio phishing.
Questo metodo di ingegneria sociale è quello più evidente, in cui l’attaccante cerca di entrare in contatto con la vittima attraverso l’invio di messaggi SMS, e-mail o chiamate che possano in qualche modo attirare l’attenzione e fare leva su emozioni come: paura, rabbia, senso di colpa, curiosità, fretta, apprensione.

Ecco i messaggi su cui prestare attenzione:

• il mittente chiede di effettuare l’accesso ad un’area riservata;
• la persona con cui state dialogando insiste sull’urgenza di effettuare una determinata azione;
• il messaggio va contro i regolamenti o le consuetudini previste rispetto le azioni che fate di solito (soprattutto bancarie)

Gli hackers sfruttano anche loghi e brand famosi per nascondersi e convincere le vittime a compiere determinate azioni.

Come possiamo proteggerci?

È possibile difendersi da questi attacchi e proteggere meglio se stessi, la propria azienda e le informazioni dei propri clienti seguendo alcune regole di buon senso e la diffusione in azienda di una cultura sulla sicurezza informatica.

Ecco alcuni suggerimenti:

1. non comunicare mai le proprie password e mai lasciarle esposte in modo da essere accessibili a chiunque;
2. proteggere i documenti cartacei: utilizzare un trituratore per scartare i documenti indesiderati.
3. aumentare l’informazione e la preparazione all’interno delle aziende e delle istituzioni in fatto di cyber security

Sicurezza informatica e cyber security in azienda

Vostro compito è quello di fare il meglio per rimanere attenti e rendere l’ambiente di lavoro sicuro dal punto di vista tecnico e rafforzare i vostri lati vulnerabili con una maggior consapevolezza di ciò che può succedere.

Quando pensiamo alla sicurezza informatica solitamente pensiamo alla sicurezza dei dati personali e a come proteggere i nostri dispositivi. Ma questa include anche tutto il mondo aziendale.

Per stabilire il confine entro cui finisce la sicurezza informatica e inizia la cyber security, possiamo partire dal tipo di dati che dovranno essere protetti.

La cyber security si occupa infatti della protezione dei dati da accessi non autorizzati mentre la sicurezza informatica, si occupa di proteggere i dati più in generale e dunque anche da accessi legali e autorizzati.

Se sei un’azienda, ricordati che queste due forme di sicurezza, informatica e cyber security sono egualmente importanti. Difatti, circa un terzo di tutte le aziende di tutte le dimensioni ha subito violazioni negli ultimi anni.

Proteggi la tua azienda e i tuoi collaboratori!

Continua a leggere il nostro blog per rimanere aggiornato e conoscere tutti i segreti del web!