50 Tattiche di Social Engineering che non devi ignorare

Il social engineering è l’arte di manipolare le persone per ottenere informazioni confidenziali o accedere a sistemi informatici protetti. Piuttosto che sfruttare vulnerabilità tecniche, gli attacchi di social engineering si concentrano sul più debole anello della catena di sicurezza: gli esseri umani.

Questo articolo esplorerà 50 diverse tattiche di social engineering, offrendo una panoramica completa di queste minacce e come prevenirle. Ma prima cerchiamo di capire in cosa consiste il Social Engineering.

Cos’è Social Engineering

Il social engineering è una tecnica di manipolazione psicologica utilizzata per indurre le persone a divulgare informazioni confidenziali o a compiere azioni che mettono in pericolo la sicurezza delle informazioni. Gli aggressori di social engineering sfruttano le debolezze umane, come la fiducia, la paura o la curiosità, piuttosto che cercare di violare direttamente le protezioni tecniche dei sistemi informatici.

Questi attacchi possono assumere molte forme, dall’invio di e-mail di phishing e messaggi di testo ingannevoli, all’uso di pretesti elaborati per ottenere l’accesso fisico a edifici protetti o a informazioni personali. L’obiettivo finale è ottenere accesso non autorizzato ai dati o alle risorse di un’organizzazione o di un individuo, spesso per scopi fraudolenti o malevoli. La sensibilizzazione e l’educazione sono fondamentali per riconoscere e prevenire le tattiche di social engineering.

Leggi anche: Cos’è la cybersecurity

50 Tattiche di Social Engineering

1. Phishing : E-mail fraudolente che inducono le vittime a rivelare informazioni sensibili cliccando su link o aprendo allegati malevoli.
2. Spear Phishing : Una variante del phishing mirata a una persona specifica, spesso utilizzando informazioni personali per rendere l’attacco più credibile.
3. Vishing : Frodi telefoniche in cui l’aggressore si spaccia per un’autorità o un’azienda fidata per ottenere informazioni confidenziali.
4. Pretexting: Creazione di un finto pretesto per indurre le vittime a divulgare informazioni sensibili.
5. Baiting : Offerta di incentivi alle vittime per attirarle a eseguire azioni specifiche come scaricare malware.
6. Tailgating : Guadagnare l’accesso fisico a una struttura seguendo qualcuno autorizzato senza avere il permesso.
7. Water Holing : Compromettere siti web che sono noti per essere frequentati dal target per infettarli con malware.
8. Quid Pro Quo : Offrire qualcosa alla vittima in cambio di informazioni o accessi, spesso sotto forma di assistenza tecnica gratuita.
9. Shoulder Surfing : Osservare direttamente le informazioni sensibili altrui, come password o PIN, guardando sopra le spalle.
10. Dumpster Diving ️: Ricerca di informazioni utili tra i rifiuti, come documenti cartacei o dispositivi elettronici non distrutti.
11. Impersonation ️: Fingere di essere qualcun altro, come un dipendente o un tecnico, per ottenere accesso a informazioni o aree riservate.
12. Tech Support Scams ️: Simulare assistenza tecnica per indurre le vittime a installare malware o a rivelare informazioni sensibili.
13. Trojan Horses : Software che sembra legittimo ma contiene un codice malevolo nascosto.
14. Smishing : Attacco simile al phishing ma condotto tramite SMS o altri messaggi di testo.
15. Pharming : Reindirizzamento delle vittime verso siti web fraudolenti attraverso la manipolazione di DNS o vulnerabilità simili.
16. Eavesdropping ️‍: Intercettazione delle comunicazioni altrui, sia verbali che digitali, per carpire informazioni sensibili.
17. Man-in-the-Middle Attacks : Intercettazione e possibile alterazione delle comunicazioni tra due parti senza la loro consapevolezza.
18. Insider Threats : Minacce provenienti dall’interno dell’organizzazione, spesso da dipendenti attuali o ex dipendenti.
19. Reverse Social Engineering : Indurre le vittime a contattare l’aggressore chiedendo assistenza, ottenendo così informazioni o installando malware.
20. Physical Security Bypass : Eludere le misure di sicurezza fisiche per accedere a dati o sistemi protetti.
21. Romance Scams : Frodi sentimentali in cui l’aggressore finge una relazione romantica per ottenere denaro o informazioni.
22. Lottery Scams : Falsi annunci di vincita alla lotteria che richiedono ulteriori dettagli o pagamenti dalla vittima.
23. Fake Charities : Fingere di rappresentare un’organizzazione benefica per ottenere donazioni o informazioni personali.
24. CEO Fraud ‍: Fingere di essere un dirigente aziendale per indurre altri dipendenti a trasferire denaro o divulgare informazioni aziendali.
25. Business Email Compromise (BEC) : Compromissione delle email aziendali per eseguire frodi che coinvolgono trasferimenti di fondi.
26. Clickjacking ️: Sovrapposizione di contenuti illegittimi su pulsanti autentici di un sito web per ingannare le vittime a eseguire azioni non desiderate.
27. Website Cloning : Creazione di falsi siti web che imitano quelli legittimi per rubare informazioni di login o altre informazioni sensibili.
28. Identity Theft : Uso delle informazioni personali rubate per impersonare qualcun altro, spesso per commettere altre frodi.
29. Brand Spoofing ️: Uso illegittimo di marchi noti per ingannare le vittime a fidarsi di una falsa rappresentazione online o offline.
30. Ransomware Attacks : Blocco dei dati della vittima con richiesta di riscatto per la loro liberazione.
31. Malvertising : Creazione di pubblicità online con intenzioni malevole che possono insegnare malware.
32. URL Obfuscation : Uso di URL confusi o mascherati per ingannare le vittime a credere che stiano visitando un sito web legittimo.
33. DNS Spoofing : Manipolazione delle tabelle DNS per reindirizzare il traffico web a siti fraudolenti.
34. Social Media Impersonation : Creazione di profili falsi sui social media per ingannare o spiare gli utenti.
35. Sextortion : Manipolazione delle vittime tramite l’uso di contenuti espliciti per estorcere denaro o altre concessioni.
36. Fake Job Offers : Offre di lavoro fasulle utilizzate per ottenere informazioni personali o denaro dalle vittime.
37. Credential Stuffing ️: Uso di credenziali rubate per accedere a vari account sfruttando password comuni o riutilizzate.
38. Invoice Manipulation : Alterazione delle fatture per indurre le vittime a pagare su conti bancari controllati dagli aggressori.
39. Data Diddling : Alterazione dei dati prima o durante l’immissione nel sistema per commettere frodi.
40. Influence Operations : Campagne organizzate per manipolare l’opinione pubblica o i comportamenti attraverso disinformazione o altre tattiche.
41. Psychological Manipulation : Uso di tecniche psicologiche per influenzare le decisioni e il comportamento delle vittime.
42. Phishing Kits : Kit preconfezionati venduti agli aggressori per facilitare gli attacchi di phishing.
43. Trojan Malware ️: Software che sembra legittimo ma contiene codice malevolo progettato per rubare informazioni o danneggiare i sistemi.
44. Remote Access Trojans (RATs) : Malware che consente agli aggressori di ottenere il controllo remoto del computer della vittima.
45. Keyloggers ⌨️: Software o hardware che registra ogni pressione dei tasti per rubare informazioni come password e altri dati sensibili.
46. Browser Hijacking : Compromissione del browser web della vittima per reindirizzare il traffico a siti web malevoli o per visualizzare pubblicità indesiderata.
47. Wi-Fi Hacking : Compromettere reti Wi-Fi per intercettare comunicazioni o accedere a sistemi protetti.
48. Bluetooth Hacking : Sfruttamento di vulnerabilità nei dispositivi Bluetooth per ottenere accesso non autorizzato o rubare dati.
49. USB Drop Attacks ️: Distribuzione di unità USB infette in aree pubbliche sperando che qualcuno le raccolga e le inserisca nei propri computer, installando così malware.
50. QR Code Spoofing : Creazione di codici QR fasulli che reindirizzano le vittime a siti web malevoli per rubare informazioni o distribuire malware.

Qui puoi verificare se un link è malevole: https://nordvpn.com/it/link-checker/

Conclusione

La natura umana è spesso il punto debole nelle reti di sicurezza. Comprendere le varie tattiche di social engineering è essenziale per difendersi dagli attacchi. Educazione, consapevolezza e l’uso di pratiche di sicurezza solide possono contribuire enormemente a proteggere individui e organizzazioni da queste minacce sempre più sofisticate.

Ricorda sempre di essere vigile e di dubitare di richieste sospette, poiché la sicurezza inizia da te.

Scopri come possiamo aiutarti con il nostro servizio: Informatica Forense