ingegneria sociale

Il termine « ingegneria sociale » (in inglese « social engineering ») definisce l'arte di manipolare delle persone al fine di aggirare dei dispositivi di sicurezza. Si tratta di una tecnica che consiste nell'ottenere delle informazioni da parte degli utilizzatori per telefono, posta elettronica e tradizionale o per contatto diretto.

L'ingegneria sociale è basata sull'utilizzazione della forza di persuasione e sullo sfruttamento dell'ingenuità degli utilizzatori facendosi passare per qualcuno di conosciuto, un tecnico, un amministratore, etc.

In maniera generale i metodi di ingegneria sociale si svolgono secondo lo schema seguente :

• una fase di approccio per guadagnare la fiducia dell'utilizzatore, facendosi passare per una persona del suo gruppo, società, ambiente o per un cliente, un fornitore, ecc.
• Un'allerta, per destabilizzare ed assicurarsi della rapidità della sua reazione. Si tratta ad esempio di un pretesto di sicurezza o di una situazione di emergenza ;
• Una diversione, cioè una frase o una situazione che permetta di rassicurare l'utilizzatore evitando che si focalizzi sull'allerta. Può essere ad esempio un ringraziamento che annunci che tutto è rientrato nella norma, una frase anodina o, nel caso di una mail o di un sito web, di un rindirizzamento verso il sito web della società.

L'ingegneria sociale può presentarsi sotto diverse forme :

• Per telefono,
• tramite posta elettronica,
• posta scritta,
• messaggio istantaneo,
• ecc.

Come proteggersi?

Il miglior modo di proteggersi dalle tecniche di ingegneria sociale è di utilizzare il buon senso nel non divulgare a chiunque delle informazioni che possano nuocere alla sicurezza della società. Si consiglia quindi, qualunque sia il tipo di informazione richiesta :

• di informarsi sull'identità del proprio interlocutore chiedendogli delle informazioni precise (nome e cognome, società, numero di telefono) ;
• di verificare eventualmente le informazioni fornite ;
• di interrogarsi rispetto alla criticità delle informazioni richieste.

In questo caso, può risultare necessaria una formazione e una sensibilizzazione degli utilizzatori a queste problematiche.

Ulteriori informazioni

• CERT® Incident Note IN-2002-03 - Social Engineering Attacks via IRC and Instant Messaging
• Social Engineering Fundamentals, Part I: Hacker Tactics