Il modo più rapido per superare una difesa tecnica è convincere una persona ad aprirti la porta. Il social engineering, o ingegneria sociale, è l'insieme delle tecniche con cui un attaccante manipola qualcuno affinché riveli informazioni, conceda un accesso o compia un'azione che non dovrebbe. Non sfrutta difetti del software, ma meccanismi normalissimi del comportamento umano.
Nel mio lavoro, che unisce l'informatica a una formazione in psicologia, vedo spesso che chi cade in queste trappole non è ingenuo: è semplicemente una persona disponibile, impegnata o sotto pressione. Proprio per questo la difesa non è "stare più attenti" in generale, ma riconoscere schemi precisi.
Le leve psicologiche più usate
Quasi ogni attacco di ingegneria sociale combina alcune di queste leve:
- Autorità: chi chiede si presenta come un dirigente, un tecnico, un funzionario. Tendiamo a obbedire a chi sembra avere un ruolo.
- Urgenza: "deve essere fatto entro un'ora", "altrimenti il servizio si blocca". La fretta riduce il pensiero critico.
- Reciprocità: un piccolo favore o un regalo crea il desiderio di ricambiare.
- Simpatia e familiarità: è più facile dire sì a chi ci sembra cordiale o conosce dettagli della nostra vita.
- Riprova sociale: "i suoi colleghi l'hanno già fatto".
- Paura: una multa, un problema legale, un account compromesso.
Riconoscere la leva in azione è già metà della difesa. Quando senti di dover agire subito per compiacere o per evitare un guaio, fermati.
Le tecniche principali
Pretexting
L'attaccante costruisce una storia credibile, il pretesto, e la usa per ottenere informazioni. Per esempio telefona fingendosi il nuovo fornitore del software gestionale e chiede "per un controllo" il nome dell'amministratore di sistema e l'orario in cui l'ufficio è chiuso. Ogni singola informazione sembra innocua; messe insieme preparano un attacco.
Baiting
Si offre un'esca: una chiavetta USB lasciata nel parcheggio con l'etichetta "stipendi", un download gratuito, un premio. La curiosità o l'interesse fanno il resto.
Quid pro quo
Uno scambio: "Sono dell'assistenza tecnica, stiamo risolvendo un problema sulla rete, mi conferma la sua password per verificare?" In cambio di un aiuto apparente, si ottiene un'informazione preziosa.
Accesso fisico al seguito
Qualcuno con le mani piene di scatole chiede di tenere aperta la porta dell'ufficio, o si accoda a un dipendente al tornello. Per gentilezza, nessuno chiede chi sia. In inglese si chiama tailgating.
Raccolta di informazioni dai social
Prima di contattare la vittima, l'attaccante studia ciò che è pubblico: ruoli aziendali, nomi dei colleghi, viaggi in corso, fornitori abituali. Un messaggio che cita il nome del tuo responsabile e il progetto su cui lavori sembra immediatamente autentico.
Come difendersi: regole semplici e applicabili
Verifica con un canale diverso
Se qualcuno chiede un'azione insolita, verifica usando un contatto che conosci già, non quello fornito da chi ti ha contattato. Richiama il numero presente in rubrica o sul sito ufficiale, scrivi all'indirizzo che usi abitualmente.
Nessuna eccezione alle procedure
Le procedure esistono proprio per i momenti di pressione. Se la regola dice che le password non si comunicano a nessuno, vale anche per chi dice di essere il direttore. Un'azienda che premia il rispetto delle regole, anche quando rallenta il lavoro, è molto più difficile da manipolare.
Il diritto di dire "la richiamo io"
Rendi normale, per te e per i colleghi, chiudere una telefonata dicendo "la richiamo tra cinque minuti". Un interlocutore legittimo non avrà problemi; un truffatore insisterà, e l'insistenza è un segnale.
Limita ciò che pubblichi sul lavoro
Organigrammi dettagliati, foto dei badge, post sul viaggio del titolare "fuori sede tutta la settimana": sono materiale prezioso per chi prepara un pretesto. Condividi con consapevolezza.
Controlla gli accessi fisici
In ufficio, chi non ha un badge viene accompagnato. Gli ospiti si registrano. Non è sfiducia, è una regola che protegge tutti, e si può applicare con cortesia.
Un esempio in un piccolo ufficio
Una mattina arriva una telefonata: "Buongiorno, sono Luca del supporto del gestionale, stiamo facendo un aggiornamento urgente e devo collegarmi al suo PC. Le mando un link per installare il programma di assistenza remota". La voce è cordiale, il tono sicuro, e il nome del gestionale è corretto. L'impiegata, invece di procedere, dice che richiamerà il numero dell'assistenza indicato nel contratto. Scopre che nessun intervento era previsto. Bastava un minuto.
In sintesi
- L'ingegneria sociale sfrutta autorità, urgenza, reciprocità, simpatia e paura.
- Le tecniche più comuni sono pretesti, esche, scambi di favori, accessi al seguito e studio dei social.
- Verifica sempre le richieste insolite con un canale che conosci già.
- Le procedure valgono anche, e soprattutto, sotto pressione.
- Rendi normale dire "la richiamo io" e accompagnare chi non ha un badge.