Secondo il report “Hacking the Human Operating System” i due terzi della posta elettronica a livello mondiale sono costituiti da spam che mira a estorcere informazioni e denaro. Intel Security incoraggia le imprese ad affrontare questa problematica e a educare i dipendenti sulle leve psicologiche oggi utilizzate nel mondo digitale da parte degli hacker
Intel Security pubblica il white paper “Hacking the Human Operating System” redatto da Raj Samani, CTO della società, e Charles McFarland, Senior Research Engineer del MTIS, e patrocinato dall’European Cybercrime Centre dell’Europol, che ha l’obiettivo di analizzare l’anello più debole della catena della sicurezza informatica, troppo spesso trascurato da chi si concentra sugli aspetti tecnologici: l’elemento umano, che ormai sta assumendo il ruolo di vettore inconsapevole degli attacchi oltre che di bersaglio.
Molti attacchi informatici utilizzano tecniche di social engineering, e molti criminali informatici utilizzano metodi sempre più complessi per bypassare il ‘firewall umano’, con l’obiettivo di convincere un individuo specificamente selezionato ad eseguire un’azione che provoca un’infezione o la divulgazione di informazioni preziose.
Il report rivela la portata e la gravità delle tecniche di social engineering, in uno scenario in cui McAfee Labs identifica un enorme aumento dell’uso di URL malevoli con più di 30 milioni di URL sospetti individuati verso la fine del 2014. L’incremento è attribuibile all’uso di nuovi URL brevi, che spesso nascondono siti Web dannosi, parallelamente a un forte aumento degli URL di phishing. Questi URL sono spesso ‘contraffatti’ per nascondere la vera destinazione del collegamento e sono spesso utilizzati dai criminali informatici nelle email di phishing per ingannare i dipendenti. E di fronte a un 18% di utenti che cadono vittima del phishing e cliccano sul link maligno, la tendenza ad utilizzare sempre più queste tecniche è motivo di preoccupazione.
“Il tema più ricorrente che vediamo quando si studiano le violazioni dei dati di oggi, è l’uso dell’ingegneria sociale per costringere l’utente a un’azione che facilita e favorisce le infezioni di malware,” commenta Ferdinando Torazzi, regional director enterprise endpoint & Italy & Greece Intel Security. “Anche se l’obiettivo delle azioni di bonifica post attacco è una correzione tecnica, dobbiamo tenere presente anche l’aspetto umano di un attacco, capire le motivazioni che ne hanno favorito la riuscita e il modo in cui il bersaglio umano è stato sfruttato e soprattutto predisporre un piano per evitare in futuro altri casi e ridurre il rischio di ulteriori attacchi”.
All’interno del report, inoltre, vengono evidenziate le varie tipologie di un attacco di social engineering: nel tipo “caccia” l’aggressore carpisce le informazioni con il minimo contatto con il bersaglio, mentre nel tipo “allevamento” l’aggressore stabilisce un legame con la vittima e “si nutre” delle informazioni per un lungo periodo di tempo e ne evidenzia casi e tecniche specifiche, approfondendone gli aspetti psicologici sfruttati da questo tipo di criminali informatici, tra cui il desiderio di corrispondere a un favore, o di lamentarsi per un errore compiuto a proprio scapito, l’attitudine a osservare le indicazioni delle autorità o di essere accettati nella società. Infine, lo studio offre alcuni importanti suggerimenti per potersi difendere dal social engineering dal punto di vista delle persone, dei processi e delle tecnologie.
“Per contrastare meglio il problema, dobbiamo comprendere la natura degli attacchi di ingegneria sociale,” conclude Torazzi. “Ciò significa definire un profilo dei possibili attori, conoscere i loro metodi di attacco e le loro risorse e applicare i relativi controlli per ridurre il rischio di successo di un attacco adottando un approccio basato appunto su persone, processi e tecnologie”.
