Social Engineering 2023: le tecniche che preoccupano gli esperti

Nel 2023 le tecniche utilizzate dai cybercriminali per mietere vittime sono sempre più raffinate e complesse.

Per spingere un utente a scaricare un file e avviarlo oppure a rilasciare informazioni sensibili su un form, è necessario raggirarlo attraverso una sottile manipolazione psicologica, che fa leva su alcuni principi mentali che vanno ben oltre il contesto informatico.

Secondo gli esperti di sicurezza informatica, chi attua queste strategie sono molto più complesse e strutturate di quanto si possa pensare. Tutto comincia con una sorta di massiccia raccolta di informazioni, che può avvenire tramite ricerche sul Dark Web, telefonate, social network o altri canali.

Nella seconda fase delle strategie di social engineering, i cybercriminali si spacciano per una figura fittizia, come un dirigente, un potenziale cliente o quant’altro. Una volta che la potenziale vittima ha abbassato le difese, i criminali informatici chiedono e ottengono informazioni sensibili: questi possono essere dettagli di un conto bancario, password e credenziali di vario tipo.

Arrivati a questo punto, come è facile intuire, i cybercriminali spariscono nel nulla.

Al di là del suddetto modus operandi generico, sono diverse le vie percorse dai cybercriminali per ottenere i dati di una vittima.

Il più comune, almeno nel 2023, è la strategia nota come phishing. I truffatori utilizzano questo approccio per guadagnarsi la fiducia della potenziale vittima, utilizzando spesso un’e-mail che, sfruttando il senso d’urgenza, dirigono gli utenti verso siti molto simili a piattaforme reali, spingendo gli stessi ad inserire dati sensibili per poi derubarli degli stessi.

La seconda strategia è nota come baiting, ovvero l’utilizzo di false promesse utilizzate dai cybercriminali per ottenere le tanto ambite informazioni personali. Le famose vincite di presunti smartphone attraverso fantomatiche lotterie rientrano in questa categoria.

Una tecnica meno nota ma, proprio per questo, ancora più temibile è quella nota come tailgating. Questo tipo di operazione non prevede solo il furto dei dati, ma anche l’esclusione della vittima dalle sue piattaforme e dalle informazioni contenute in esse. Spesso, questo tipo di attacco è riconducibile all’ambiente aziendale.

Ancora più infida è la strategie legata al fenomeno del social engineering nota come pretexting. Si tratta di una tecnica di manipolazione della vittima, che viene lentamente convinta a cedere le proprie credenziali al cybercriminale. Gli aggressori fingono di essere qualcuno conosciuto dalla vittima come un amico, un familiare, un capo o un collega per guadagnarsi la fiducia. Fatto ciò, chiedono e ottengono i preziosi dati.

Altra minaccia da non sottovalutare è quella nota come scareware. Questa tecnica fa leva su emozioni forti come ansia e paura, causando shock nella vittima. Pop-up o false segnalazioni di malware, per esempio, possono spingere un utente verso l’acquisto di un potenziale antivirus. Questo, in realtà, può poi rivelarsi proprio un agente malevolo.

Quanto appena elencato, ovviamente, rappresenta solo la proverbiale “punta dell’iceberg”. Così come il contesto dei pericoli informatici è in continua evoluzione, anche l’ambito del social engineering viene costantemente sviluppato e raffinato dai cybercriminali più incalliti.

In questo contesto, oltre alle adeguate protezioni software, è importante mantenersi sempre aggiornati rispetto ai nuovi pericoli emergenti per non farsi prendere alla sprovvista.