Social Engineering: l’attacco hacker che si fonda sulla manipolazione psicologica

I più recenti attacchi informatici di cui si hanno tracce degli ultimi anni evidenziano una certa tendenza a far leva sui sentimenti umani, cioè a sfruttare tecniche di manipolazione psicologica. Si tratta di “social engineering”, letteralmente, ingegneria sociale, ovvero una tecnica di attacco che fonda la sua efficacia sull’azione indotta presso lo stesso utente che verrà violato.

Si tratta di un modo di agire davvero subdolo, a causa del quale sono già tantissimi i reati che si sono consumati nel nostro Paese, come riporta anche l’articolo di ExpressVPN sulle minacce informatiche in Italia. Questo tipo di minaccia rappresenta un ulteriore grado di complessità di cui le istituzioni e le aziende devono farsi carico, dal momento che solo la Giurisprudenza sembra aver chiarito l’indirizzo da intraprendere: responsabilizzare chi immette o gestisce dati in rete.

A chi è imputato il danno in caso di violazione?

Come si individua il responsabile di una violazione informatica commessa ai danni di un utente il quale, ingenuamente e tratto in inganno, ha ceduto informazioni sensibili al malintenzionato? La risposta a questa domanda è molto complessa perché da un lato vi è l’obiettiva mancanza di cautela dell’utente mentre, dall’altro, vi è una precisa tecnica di hackeraggio che punta proprio ad agire alle spalle del malcapitato.

Secondo la suprema corte di Cassazione ci sono gli estremi per poter individuare il livello di colpa tra il gestore della piattaforma violata e l’utilizzatore finale. In una recente sentenza, per esempio, dinanzi alla richiesta di risarcimento da parte di due correntisti, la Corte si è espressa a favore della Banca. La motivazione riguarda il modo in cui, dinanzi a un tentativo di estorsione di dati tramite phishing, gli utenti si siano dimostrati poco attenti.

La questione, tuttavia, rimane aperta proprio a causa dell’essenza stessa dell’attacco hacker fondato sulla manipolazione psicologica. Come si può incolpare una vittima dinanzi a una truffa architettata proprio per ottenere il preciso effetto di estorcere dati di accesso con l’inganno?

Principali tipologie di attacchi basati su Social Engineering

Come evidenziato poc’anzi, gli attacchi hacker che fanno ricorso all’Ingegneria Sociale sanno di poter contare su una leva in più, cioè quella delle emozioni umane. Per definizione le emozioni sono inquadrate come qualcosa difficile da controllare e che, quindi, può allontanare le persone dal pensiero razionale.

È proprio da tale principio che nascono tutte le truffe effettuate attraverso la manipolazione psicologica e di cui, qui di seguito, vedremo alcune delle più conosciute e diffuse.

Phishing: il più diffuso inganno digitale

Il phishing rimane uno degli attacchi più diffusi e insidiosi basati su Social Engineering. Il suo funzionamento è davvero molto semplice. I malintenzionati, infatti, mirano a ottenere informazioni sensibili, come password e dati finanziari, inducendo le vittime a rivelarli attraverso comunicazioni ingannevoli. Queste possono assumere la forma di e-mail, messaggi di testo o persino chiamate telefoniche, apparentemente provenienti da fonti affidabili. Solitamente le vittime sono prese alla sprovvista da comunicazioni urgenti e avvisi che, in qualche modo, spingono ad agire alla svelta, senza pensarci troppo.

Pretesti ingannevoli: creare credibilità fittizia

È il pretesto a rendere credibile il tentativo di phishing. Quando è ben orchestrato, infatti, consente di aprire le porte di qualsiasi account o profilo online. Gli aggressori si presentano come figure di fiducia, come tecnici del supporto informatico o rappresentanti aziendali, per convincere le vittime a rivelare informazioni riservate o ad eseguire azioni compromettenti. È la veridicità di tali pretesti a rendere difficile il discernimento tra truffa e realtà.

Empatia distorta per suscitare emozioni

Un attacco di ingegneria sociale può anche sfruttare le emozioni umane, come la paura, la gioia o la curiosità, per manipolare il processo decisionale delle vittime. Gli hacker possono utilizzare storie commoventi, minacce o persino simulare situazioni di emergenza per indurre le persone a compiere azioni contro la propria volontà, rivelando così dati sensibili o aprendo la porta a malware.

Quiz e trappole sociali: la tentazione di condividere troppo

Infine ci sono attacchi che si celano dietro app o giochi apparentemente innocui, specialmente sui social media. Questi strumenti permettono agli utenti di prendere confidenza attraverso un tipo di intrattenimento leggero grazie al quale avviene la violazione.

Di solito assumo la forma di quiz con risultati da condividere, in modo tale che gli altri utenti, spinti dalla curiosità o dal desiderio di partecipare, siano attirati dritti nella trappola. Sono app di terze parti dall’aspetto giocoso che, tuttavia, possono installare virus nei dispositivi o diffondere link spam presso le proprie cerchie.