Pretexting

Il pretexting è un tipo di attacco di ingegneria sociale che sfrutta una situazione creata ad arte dall'aggressore per attirare la vittima in una situazione vulnerabile, così da indurla con l'inganno a fornire informazioni private, in particolare informazioni che la vittima in genere non fornirebbe al di fuori del contesto del pretesto.^[1] Nella sua storia, il pretexting è descritto come la prima fase dell'ingegneria sociale ed è stato utilizzato dall'FBI nel corso delle indagini.^[2] Un esempio specifico di pretexting è l'ingegneria sociale inversa, in cui l'aggressore inganna la vittima inducendola a contattare per prima l'aggressore.

La prevalenza del pretexting tra gli attacchi di ingegneria sociale è dovuta al fatto che si basa sulla manipolazione della mente umana per ottenere l'accesso alle informazioni desiderate dall'aggressore, invece di dover hackerare un sistema tecnologico. Nel cercare le vittime, gli aggressori possono prestare attenzione a numerose caratteristiche, come la capacità di fidarsi, la bassa percezione della minaccia, la reazione all'autorità e la predisposizione a reagire con paura o eccitazione in differenti contesti.^[3][4] Nel corso della sua storia, gli attacchi di pretexting sono diventati via, via sempre più complessi, passando dalla semplice manipolazione degli operatori al telefono durante il secolo scorso, fino allo scandalo della HP, che ha interessato numeri di previdenza sociale, telefoni e banche.^[5] Attualmente, nelle organizzazioni vengono utilizzati quadri didattici sull'ingegneria sociale, anche se i ricercatori del mondo accademico hanno suggerito possibili miglioramenti a tali contesti.^[6]

L'ingegneria sociale è una tattica di manipolazione psicologica che porta alla risposta involontaria o inconsapevole del bersaglio/vittima.^[7] Si tratta di una delle principali minacce alla sicurezza informatica nel mondo odierno: colpisce le organizzazioni, la gestione aziendale e le industrie.^[7] Gli attacchi di ingegneria sociale sono considerati difficili da prevenire a causa della loro radice nella manipolazione psicologica.^[8] Questi attacchi possono anche raggiungere una dimensione più ampia. In caso di attacchi di sicurezza di altro tipo, potrebbe essere violata un'azienda che detiene i dati dei clienti. Con gli attacchi di ingegneria sociale, sia l'azienda (in particolare i lavoratori all'interno dell'azienda), sia il cliente sono direttamente suscettibili a essere presi di mira.^[8]

Un esempio è dato dal settore bancario, dove possono essere attaccati non solo i dipendenti della banca, ma anche i clienti. Gli aggressori legati all'ingegneria sociale si rivolgono direttamente ai clienti e/o ai dipendenti per aggirare il tentativo di hackerare un sistema puramente tecnologico e sfruttano le vulnerabilità umane.^[8]

Anche se la sua definizione in relazione alla sicurezza informatica sia stata distorta da diverse pubblicazioni, un elemento comune è che l'ingegneria sociale (nella cybersecurity) sfrutta le vulnerabilità umane per violare entità come computer e tecnologie dell'informazione.^[2]

Al momento, la letteratura e la ricerca sull'ingegneria sociale sono scarse. Tuttavia, una parte importante della metodologia di ricerca sull'ingegneria sociale consiste nel creare un pretesto artificioso. Quando si valuta quali sono gli attacchi di ingegneria sociale più pericolosi o dannosi (come il phishing, vishing e water-hole), la tipologia di pretesto è un fattore largamente insignificante, dato che alcuni attacchi possono avere più pretesti. Pertanto, il pretexting stesso è ampiamente utilizzato, non solo come attacco a sé stante, ma come componente di altri.^[9]

Nell'ambito della cybersecurity, il pretexting può essere considerato uno dei primi stadi evolutivi dell'ingegneria sociale. Per esempio, mentre l'attacco di ingegneria sociale noto come phishing si basa su oggetti moderni come le carte di credito e avviene principalmente nel contesto elettronico, il pretexting era, e può, essere attuato senza la tecnologia.^[10]

Il pretesto è stato uno dei primi esempi di ingegneria sociale. Coniato dall'FBI nel 1974, il concetto di pretexting veniva spesso utilizzato come ausilio nelle indagini. In questa fase, il pretexting consisteva in un aggressore che chiamava la vittima chiedendo semplicemente informazioni.^[2] Gli attacchi di pretexting consistono solitamente in tattiche di persuasione. Dopo questa fase iniziale dell'evoluzione dell'ingegneria sociale (1974-1983), il pretexting si è trasformato non solo in tattiche di persuasione, ma anche in tattiche di inganno. Con lo sviluppo della tecnologia, i metodi di pretexting si sono sviluppati di pari passo. Ben presto gli hacker hanno avuto accesso a un pubblico più ampio di vittime grazie alla diffusione dei social media.^[2]

L'ingegneria sociale inversa è un esempio più specifico di pretexting.^[1] Si tratta di una forma non elettronica di ingegneria sociale in cui l'aggressore crea un pretesto con cui l'utente viene manipolato per contattare l'aggressore per primo, anziché il contrario.

Generalmente, gli attacchi di ingegneria inversa prevedono che l'aggressore pubblicizzi i propri servizi come una sorta di aiuto tecnico, garantendo la propria credibilità. In seguito, la vittima viene indotta a contattare l'aggressore dopo aver visto la pubblicità, senza che l'aggressore contatti direttamente la vittima. Una volta che un aggressore è riuscito a portare a termine un attacco di ingegneria sociale inversa, è possibile sferrare un'ampia gamma di attacchi di ingegneria sociale grazie al falso senso di fiducia creato tra l'aggressore e vittima (per esempio, l'aggressore può fornire alla vittima un link malevolo sostenendo che si tratta di una soluzione al problema della vittima. Grazie al legame tra l'aggressore e la vittima, quest'ultima sarà portata a credere all'aggressore e a cliccare sul link dannoso).^[11]

Il pretexting è stato e continua a essere considerato una tattica utile negli attacchi di ingegneria sociale. Secondo i ricercatori, ciò è legato al fatto che non si basa sulla tecnologia (come l'hacking nei sistemi informatici o la violazione della tecnologia). Il pretexting può avvenire online, ma si basa maggiormente sull'utente e sugli aspetti della sua personalità che l'aggressore può utilizzare a proprio vantaggio.^[12] Gli attacchi che dipendono maggiormente dall'utente sono più difficili da tracciare e controllare, poiché ogni persona risponde in modo differente agli attacchi di ingegneria sociale e di pretexting. L'attacco diretto a un computer, invece, può richiedere meno sforzi per essere gestito, poiché i computer funzionano in maniera relativamente simile.^[12] Esistono alcune caratteristiche degli utenti che gli aggressori individuano e prendono di mira. Nel mondo accademico, alcune caratteristiche comuni^[13] sono:

Se la vittima è "premiata", significa che ha qualche tipo di informazione che l'ingegnere sociale desidera.^[3]

L'affidabilità va di pari passo con la simpatia, poiché in genere più una persona è simpatica, più è affidabile.^[13] Allo stesso modo, quando si instaura un rapporto di fiducia tra l'ingegnere sociale (l'aggressore) e la vittima, si stabilisce anche un rapporto di credibilità. Pertanto, è più facile che la vittima divulghi informazioni personali all'aggressore se è disposta a confidarsi con maggiore facilità.^[4]

Quanto facilmente una persona reagisce agli eventi e in che misura può essere usata a favore di un ingegnere sociale? In particolare, emozioni come l'eccitazione e la paura vengono spesso utilizzate per convincere le persone a divulgare informazioni. Per esempio, si può creare un pretesto in cui l'ingegnere sociale prospetta un premio eccitante per la vittima se questa accetta di fornire all'ingegnere sociale le proprie coordinate bancarie. La sensazione di eccitazione può essere utilizzata per attirare la vittima nel pretesto e convincerla a fornire all'aggressore le informazioni ricercate.^[13]

Nonostante la consapevolezza dell'esistenza di minacce, quando si compie un'azione online, la maggior parte delle persone compie azioni contrarie, come cliccare su link casuali o accettare richieste di amicizia sconosciute.^[13] Questo perché una persona percepisce l'azione come una bassa minaccia o una conseguenza negativa. Questa mancanza di paura/pericolo, nonostante la consapevolezza della sua presenza, è un altro motivo per cui gli attacchi di ingegneria sociale, in particolare il pretexting, sono molto diffusi.^[14]

Se la vittima è sottomessa e compiacente, è più probabile che l'aggressore riesca a portare a termine l'attacco. In particolare se viene creato un pretesto in cui la vittima ritiene che l'aggressore sia un'autorità.^[13]

L'articolo dell'ottobre 1984 Switching centres and Operators descriveva un attacco pretestuoso comune all'epoca. Gli aggressori erano soliti contattare gli operatori che operavano specificamente per le persone non udenti che utilizzavano le telescriventi. La filosofia era che questi operatori fossero spesso più pazienti degli altri, per cui fosse più facile manipolarli e convincerli a fornire le informazioni che l'aggressore desiderava.^[2]

Uno dei più importanti è lo scandalo Hewlett Packard. L'azienda Hewlett Packard voleva sapere chi stava facendo trapelare informazioni ai giornalisti. Per farlo, ha fornito agli investigatori privati le informazioni personali dei dipendenti (come i numeri di previdenza sociale) e gli investigatori privati hanno a loro volta chiamato le compagnie telefoniche spacciandosi per quei dipendenti nella speranza di ottenere i tabulati delle chiamate. Quando lo scandalo è stato scoperto, l'amministratore delegato si è dimesso.^[15]

In generale, i socialbot sono falsi profili di social media gestiti da macchine e utilizzati dagli aggressori di ingegneria sociale. Su siti di social media come Facebook, i socialbot possono essere utilizzati per inviare richieste di amicizia di massa al fine di trovare il maggior numero possibile di potenziali vittime.^[5] Utilizzando tecniche di ingegneria sociale inversa, gli aggressori possono usare i socialbot per ottenere quantità massicce di informazioni private su molti utenti dei social media.^[16]

Gli attuali quadri educativi sul tema dell'ingegneria sociale si dividono in due categorie: consapevolezza e formazione. La consapevolezza è quando le informazioni sull'ingegneria sociale vengono presentate ai destinatari per informarli sull'argomento. La formazione consiste nell'insegnare le competenze necessarie che le persone impareranno e utilizzeranno nel caso in cui subiscano o possano subire un attacco di ingegneria sociale.^[6] La sensibilizzazione e la formazione possono essere combinate in un unico processo intensivo quando si costruiscono strutture educative.

Sebbene siano state condotte ricerche sul successo e sulla necessità dei programmi di formazione nel contesto dell'educazione alla cybersecurity,^[17] fino al 70% delle informazioni possono andare perdute quando si tratta di formazione sull'ingegneria sociale.^[7] Da una ricerca sulla formazione in materia di ingegneria sociale nelle banche dell'Asia Pacifica, è emerso che la maggior parte dei programmi si limitava a trattare la sensibilizzazione o la formazione. Inoltre, l'unico tipo di attacco di ingegneria sociale insegnato era il phishing. Osservando e confrontando le politiche di sicurezza sui siti web di queste banche, le politiche contengono un linguaggio generalizzato come "malware" e "truffe", mentre mancano i dettagli dei diversi tipi di attacchi di ingegneria sociale e gli esempi di ciascuno di essi.^[6]

Questa generalizzazione non giova agli utenti che vengono istruiti da questi programmi, poiché manca una notevole conoscenza quando l'utente viene istruito solo su termini generali come gli esempi sopra citati. Inoltre, i metodi puramente tecnici per combattere gli attacchi di social engineering e pretexting, come i firewall e gli antivirus, sono inefficaci. Questo perché gli attacchi di ingegneria sociale implicano tipicamente lo sfruttamento delle caratteristiche sociali della natura umana, per cui la lotta puramente tecnologica è inefficace.^[18]

• Ingegneria sociale
• Phishing
• FBI