{"id":1111,"date":"2025-04-30T14:59:20","date_gmt":"2025-04-30T12:59:20","guid":{"rendered":"https:\/\/www.shot-europe.com\/2025\/04\/30\/social-engineering-comedifendersi\/"},"modified":"2026-03-17T10:32:14","modified_gmt":"2026-03-17T09:32:14","slug":"social-engineering-comedifendersi","status":"publish","type":"post","link":"https:\/\/www.shot-europe.com\/it\/2025\/04\/30\/social-engineering-comedifendersi\/","title":{"rendered":"Social Engineering: le tecniche, i rischi che comporta e come difendersi."},"content":{"rendered":"\n

di <\/em>Andrea Baldi<\/em><\/strong><\/a>, Cybersecurity Awareness Ambassador SHOT<\/em> su LinkedIn<\/a><\/p>\n\n\n\n

In questo articolo vi parler\u00f2 del Social Engineering<\/strong>, una tecnica che a differenza degli attacchi informatici, che sfruttano le vulnerabilit\u00e0 dei sistemi informativi, punta sulle persone, cercando di ingannarci per ottenere informazioni sensibili, riservate, credenziali per accessi ai sistemi o di ottenere transazioni in denaro.<\/p>\n\n\n\n

Social Engineering, che cos\u2019\u00e8 ?<\/h3>\n\n\n\n

Cos\u2019\u00e8 il Social Engineering? Il Social Engineering \u00e8 la tecnica usata dai criminali informatici per ingannare le persone, le vittime  e fargli rivelare  informazioni sensibili quali credenziali aziendali o dati importanti necessari per poter portare a termine un attacco informatico. Attraverso un attacco di social engineering si spinge la vittima ad eseguire azioni che porteranno in molti casi a conseguenze serie per l\u2019azienda sotto attacco. Potremo chiamare il social engineering come il dominio dell’inganno digitale.<\/em><\/p>\n\n\n\n

Un attacco di social engineering non si improvvisa, ma al contrario si pianifica e si costruisce al tavolino seguendo uno schema ben preciso che vi illustrer\u00f2 in dettaglio.<\/p>\n\n\n\n

Di importanza fondamentale \u00e8 la raccolta di informazioni preliminari necessarie per identificare una vittima, preferibilmente un soggetto vulnerabile e la parte psicologica che \u00e8 il fulcro di questo attacco. E\u2019 chiaro quindi che il mezzo principale dell\u2019attacco non e\u2019 un virus, un malware o un link malevolo, ma bens\u00ec le  tecniche di convinzione che possono indurre una persona a fare un errore ed a compiere azioni pericolose. La parte tecnologica in questo caso risulta complementare ed utilizzata se necessaria per raggiungere lo scopo prefisso, ad esempio accedere ad un sistema<\/strong> dell\u2019azienda sotto attacco, per poi procedere magari con altre tecniche (e.g. movimento laterale) puntando ad un sistema specifico.<\/strong><\/p>\n\n\n\n

Il classico esempio<\/h3>\n\n\n\n

Un esempio tipico \u00e8 quello di un criminale che, fingendosi un dipendente dell\u2019azienda, telefona a un collega presentandosi come un tecnico informatico e gli chiede la password di accesso con la scusa di dover risolvere un problema urgente<\/strong>. Intrattiene con lui una conversazione amichevole, cercando di guadagnare in primis la sua fiducia per poi estorcergli le informazioni di cui ha bisogno con tecniche ben codificate.<\/p>\n\n\n\n

\n

Criminale<\/strong>: \u201cBuongiorno sono il tecnico IT di turno e ti chiamo perch\u00e9 abbiamo rilevato un problema sul tuo PC e dobbiamo intervenire subito. Hai notato rallentamenti o errori di accesso?<\/em>\u201c<\/p>\n<\/blockquote>\n\n\n\n

[Il criminale mira a guadagnare la fiducia presentandosi come tecnico IT, che deve risolvere un problema per l\u2019utente urgentemente]<\/p>\n\n\n\n

\n

Utente<\/strong>:\u201d In effetti s\u00ec, mi sembra che la posta oggi sia pi\u00f9 lenta del solito\u2026<\/em>\u201d<\/p>\n<\/blockquote>\n\n\n\n

[l\u2019utente inizialmente non ha motivi di non fidarsi del presunto tecnico e si mette in ascolto]<\/p>\n\n\n\n

\n

Criminale<\/strong>: \u201cEcco, mi confermi il problema! Abbiamo ricevuto una segnalazione dal sistema e dobbiamo fare un reset delle impostazioni di rete, ma per farlo devo poter accedere direttamente con il tuo account<\/em>.\u201d<\/p>\n<\/blockquote>\n\n\n\n

[Fin qui tutto bene, il criminale motiva il razionale dell\u2019intervento, e la prende alla larga stando sul generico]<\/p>\n\n\n\n

\n

Utente<\/strong>:\u201d OK, dimmi cosa devo fare\u201d<\/em><\/p>\n<\/blockquote>\n\n\n\n

[l\u2019utente e\u2019 ancora nella fase di ascolto e si fida]<\/p>\n\n\n\n

\n

Criminale<\/strong>: \u201cEcco,mi servirebbe la tua password per accedere e risolvere il problema. Facciamo subito e immediatamente dopo potrai cambiarla\u201d<\/em><\/p>\n<\/blockquote>\n\n\n\n

[Il Criminale verifica se ha veramente ottenuto la fiducia dell\u2019utente e chiarisce che l\u2019 operazione e\u2019 veloce e senza rischio]<\/p>\n\n\n\n

\n

Utente<\/em><\/strong>:\u201d La Mia password? Non so se posso\u2026\u201d<\/em><\/p>\n<\/blockquote>\n\n\n\n

[l\u2019utente e\u2019  indeciso e non sa cosa fare, e si pone il dubbio ad alta voce]<\/p>\n\n\n\n

\n

Criminale<\/em><\/strong>: Capisco, ma \u00e8 urgente. Se non lo facciamo ora, la posta potrebbe poi inchiodarsi”<\/em><\/p>\n<\/blockquote>\n\n\n\n

[Qui il Criminale si gioca le sue carte, diagnosticando uno scenario problematico con l\u2019utente attraverso una leggera pressione, che lascia la scelta all\u2019 utente, che magari e\u2019 sotto maggiore pressione per il lavoro e si convince. Nel caso l\u2019 utente non si convincesse, il criminale potr\u00e0 mettere in campo altre tattiche, oppure lascer\u00e0 perdere, provando a chiamare la vittima di backup per il suo attacco]<\/p>\n\n\n\n

\n

Utente<\/em><\/strong>:\u201d Ok\u2026 La password e\u2019 Sd34jH721″<\/em><\/p>\n<\/blockquote>\n\n\n\n

[l\u2019utente indeciso alla fine si fa convincere, perche\u2019 magari la sua mente e\u2019 altrove e vuole e deve tornare a fare il suo lavoro. Rivela quindi la password al criminale in buona fede.]<\/p>\n\n\n\n

\n

Criminale<\/em><\/strong>:\u201d Perfetto procedo con il <\/em>reset<\/em><\/strong>, e quando finito ti informo. Grazie\u201d<\/em><\/p>\n<\/blockquote>\n\n\n\n

[Il Criminale ha centrato il suo obiettivo ed e\u2019 in grado di sferrare l\u2019attacco].<\/p>\n\n\n\n

L\u2019analisi della scena<\/h3>\n\n\n\n

L\u2019analisi di questa scena, che potrebbe essere stata disegnata in modi e sfumature diverse porta ad identificare i seguenti punti: <\/p>\n\n\n\n

    \n
  1. L\u2019 attaccante si presenta come una persona credibile<\/strong>, in questo caso un tecnico IT.<\/li>\n\n\n\n
  2. Pone un problema che potrebbe bloccare l\u2019 utente creandogli pressione<\/strong>.<\/li>\n\n\n\n
  3. Lo rassicura ma gli presenta uno scenario a dir poco fastidioso.<\/strong><\/li>\n\n\n\n
  4. L\u2019 utente si fida<\/strong> e sceglie la soluzione facile, ma ha esposto le sue credenziali all\u2019 attaccante.<\/li>\n<\/ol>\n\n\n\n

    Scenari come questo si costruiscono a tavolino, di solito sfruttando informazioni disponibili on line che riguardano il personale o l\u2019azienda che si intende attaccare. <\/p>\n\n\n\n

    Facciamo un passo indietro e cerchiamo di capire come l\u2019attaccante abbia potuto reperire informazioni su una potenziale vittima a cui sferrare un attacco.<\/p>\n\n\n\n

    Oggi e\u2019 fin troppo semplice accedere tramite Internet<\/strong> ed i social media <\/strong>ad informazioni di una potenziale vittima, o ai suoi colleghi\/amici e quindi sfruttando queste informazioni farsi un profilo dettagliato della vittima e\/o magari spacciarsi per un suo conoscente. On line e\u2019 possibile acquisire dettagli che risultano utilissimi (e.g. abitudini, debolezze, interessi, frequentazioni) per indurre la vittima a fidarsi<\/strong>. Ricordiamo che un attacco di social engineering \u00e8 una truffa basata sulla manipolazione psicologica. L’attaccante non usa la tecnologia, ma sfrutta la fiducia<\/strong> e le emozioni<\/strong> della vittima per indurlo a fare qualche cosa a suo vantaggio. Ottenuta la fiducia il resto e\u2019 un gioco da ragazzi.<\/p>\n\n\n\n

    Sviluppo dell\u2019attacco<\/h3>\n\n\n\n

    Prima di tutto, l\u2019attaccante sceglie una persona che potrebbe avere accesso a informazioni utili. Spesso si tratta di un dipendente aziendale, magari qualcuno che lavora in IT, in amministrazione o nel servizio clienti.  Tutto questo si pu\u00f2 cercare abbastanza facilmente sui social come Linkedin<\/strong>. Da qui si capiscono anche le competenze di una persona, per cui l\u2019attaccante gi\u00e0 pu\u00f2 evitare alcuni argomenti che potrebbero essere scomodi o troppo pericolosi.<\/p>\n\n\n\n

    Con Facebook<\/strong>, o nei gruppi di discussione o nei siti aziendali dove troppo spesso sono pubblicati ruoli, responsabilit\u00e0, nomi di colleghi, o semplicemente eventi a cui la vittima ha partecipato, si trovano altre informazioni utili, tramite cui l\u2019 attaccante pu\u00f2 definire un profilo preciso della vittima <\/strong>che includa dettagli sul suo lavoro, sui suoi colleghi, sulla sua gerarchia, o semplicemente sugli strumenti che utilizza nel suo lavoro. <\/p>\n\n\n\n

    A tal proposito il framework OSINT<\/a> (Open Source Intelligence) fornisce strumenti incredibili per la raccolta e analisi di informazioni da fonti pubbliche, come siti web, social media, database e forum pubblici, utilizzati durante la fase di profilazione sia di individui che di aziende.<\/p>\n\n\n\n

    Tramite il profilo l\u2019attaccante pu\u00f2 costruire una storia <\/strong>in cui cerca di ingannare la vittima e fingendosi un collega, un fornitore, un addetto di servizi aziendali cerca di raggiungere il suo obiettivo.<\/p>\n\n\n\n

    Storie di comuni attacchi quali cambio urgente di password, falso collega in difficolta\u2019, falso supporto tecnico, modifica urgente da effettuare, minaccia di blocco account o revoca di servizio<\/em>, devono sempre far riflettere e mai correre all\u2019azione precipitosa!<\/strong><\/p>\n\n\n\n

    L\u2019uso del senso di urgenza <\/strong>nella richiesta, <\/strong>integrato <\/strong>con i<\/strong>nformazioni reali raccolte durante la fase di proliferazione, aumenta drasticamente la probabilit\u00e0 di successo dell\u2019attacco.<\/p>\n\n\n\n

    Come difendersi<\/h3>\n\n\n\n

    Per difendersi \u00e8 sempre opportuno verificare le richieste urgenti con un canale di comunicazione  indipendente <\/strong>(chiamata diretta, chat aziendale interna, etc.) e diffidare di messaggi e telefonate con toni di pressione e fretta. Seguire sempre le procedure aziendali codificate per pagamenti, operazioni privilegiate e gestione delle credenziali e permessi.<\/p>\n\n\n\n

    Ricordiamoci sempre che il senso di urgenza<\/strong> \u00e8 una delle leve pi\u00f9 potenti nel social engineering, perch\u00e9 induce la vittima a reagire subito impulsivamente senza analizzare attentamente la richiesta. Questo metodo si basa su un principio psicologico che sotto pressione, le persone tendono a ridurre il pensiero critico e a eseguire azioni rapidamente e meccanicamente pur di risolvere il problema. Poi se ne pagano le conseguenze, spesso irrimediabili.<\/p>\n\n\n\n

    Attraverso questo tipo di attacco si possono ottenere password, codici di accesso,  documenti riservati, dati personali, dati bancari, utilizzabili direttamente per entrare nei sistemi aziendali o che hanno un valore nel dark web per essere utilizzate in attacchi di natura pi\u00f9 grande.<\/p>\n\n\n\n

    Morale della favola, un attacco di social engineering in generale non sfrutta direttamente la tecnologia, ma la psicologia. Gli attaccanti non necessitano di violare i sistemi informatici quando possono farti consegnare le chiavi di accesso nelle loro mani dagli utenti stessi.<\/p>\n\n\n\n

    Ecco alcune buone abitudini per proteggersi da questo tipo di attacchi:<\/p>\n\n\n\n