Passa ai contenuti principali

Metti al sicuro la tua vita digitale dal social engineering


L'attuale pandemia provocata da Sars Cov 2 ha accentuato le vulnerabilità insite nel fattore umano: siamo più fragili e ansiosi, isolati nelle nostre attività in smart working. Mai come in questo anno siamo stati oggetto di manipolazione attraverso praticamente tutti i mezzi di comunicazione: email, telefono, social media, fake news, teorie del complotto.

I criminali informatici lo sanno e per questo sfruttano le tecniche della persuasione per condurci a commettere errori abbassando il nostro livello di consapevolezza del rischio informatico allo scopo di carpire i nostri account, le nostre informazioni, dati personali, informazioni sensibili.

Esistono due tipi di criminale informatico. Il primo agisce col metodo della pesca a strascico inviando e-mail di phishing in modo automatizzato, lavorando sulle nostre ansie derivanti dalla pandemia: commercio di dpi, farmaci, cure, test fai da te, prodotti per la sanificazione. Il secondo segue un altro schema e agisce come un pescatore a mosca. Il suo obbiettivo siamo proprio noi e per questo cercherà di preparare l'esca più adatta a noi allo scopo di prendere il controllo dei nostri asset digitali. Sotto molti aspetti questo secondo tipo è ben più pericoloso perché non può essere fermato da un firewall, un antivirus, un anti malware. Infatti potrebbe raggiungere il suo scopo senza neppure contattarci direttamente, agendo sui dati che ci lasciamo dietro nella nostra vita in rete.

Nel social engineering un ruolo molto importante è dato dalla persuasione, infatti anche una persona assolutamente equilibrata in certe occasioni e sotto certi stimoli può cedere alle tecniche della persuasione, questo è nella natura umana. E noi, anche i più esperti di noi, ci caschiamo e ci cascheremo, c’è sempre un momento in cui si abbassa la guardia quando usciamo dalle nostre consuetudini comportamentali magari sotto lo stimolo della fretta, della fiducia, dell'autorità.

Ecco perché la maggior parte degli attacchi informatici fa leva sulla parte non patchabile del nostro sistema informatico: noi stessi. 

Uno dei modi per evitare questo tipo di minacce è quello di imparare ad agire su noi stessi. per esempio facendo threat modeling. In realtà noi spesso facciamo threat modeling in modo inconscio. Per esempio uno sciatore esperto sa evitare i percorsi più accidentati e pericolosi, usando un coltello affilato adottiamo inconsciamente delle contromisure per evitare di ferirci, e così via in molte delle nostre attività giornaliere. Purtroppo oggi non siamo ancora abituati a fare threat modeling sulla nostra vita digitale. Eppure imparare a farlo aiuta molto di più della solita lista di consigli, che finiscono con l’essere indicazioni generiche e inascoltate. Il threat modeling invece è alla base di una cultura della sicurezza, anche individuale.

Si tratta di ragionare in modo inverso, mettiamoci nei panni di un attaccante. Che cosa farebbe per violare un nostro account? In questo modo partendo dai nostri asset cerchiamo di identificare le minacce. Poi dalle minacce cerchiamo di mitigare il rischio che qualcosa possa andare storto adottando delle contromisure adeguate. Occorre avere quella che si chiama una mentalità proattiva.

Se vuoi sapere come mettere in sicurezza la tua vita digitale attivando un firewall nella tua testa in grado di neutralizzare i rischi derivanti dalle tecniche di persuasione utilizzate dai criminali informatici, tengo, anche in modalità remota (Skype, G-meet, etc.), corsi di formazione sulla consapevolezza informatica. Per qualsiasi informazione potete contattarmi alla mail info@webstaff.it oppure anche telefonicamente al 3488130020. Vedi anche il seguente post: Formazione sulla consapevolezza informatica.

Commenti

Post popolari in questo blog

Cancellazione sicura: la sanificazione dei dati informatici

La sanificazione è un punto importante del ciclo di vita del dato: quando il dato giunge al termine del suo ciclo vitale ovvero quando è diventato inutile, obsoleto o ridondante è essenziale poterlo dismettere in modo sicuro facendo in modo che non sia possibile per nessuno poterlo ricostruire in alcun modo. Formattare i dischi da smaltire non basta, è come buttare nel cassonetto un libro strappando solo la pagina dell'indice, il primo che passa potrebbe recuperarlo e leggerlo. I vostri dati sono tutti al loro posto pronti per essere ripristinati. Secondo un'indagine condotta da uno dei maggiori produttori mondiali di HD sulla vendita online di supporti di memorizzazione usati è stato possibile recuperare integralmente il contenuto di questi hard disk ben 7 volte su 10. Molti dati personali vengono recuperati da supporti digitali smaltiti in modo superficiale. In cosa consiste la sanificazione dei dati? Si definisce sanificazione dei dati quel processo attraverso il qua...

CISO e DPO: interazione e compatibilità tra due figure strategiche nella difesa dei dati

Col recepimento della NIS2 in attuazione della direttiva (UE) 2022/2555, relativa a misure per un livello comune elevato di sicurezza informatica nell'Unione, sentiremo sempre più spesso parlare della figura professionale del CISO che è l'acronimo inglese di Chief Information Security Officer. In questo articolo esaminiamo il rapporto tra questa figura attinente alla sicurezza informatica e quella del Responsabile della protezione dei dati RPD conosciuto anche con l'acronimo di DPO (Data Protection Officer) come disciplinato dal Regolamento europeo sulla protezione dei dati personali (UE) 2016/679. Diciamo subito che entrambe sono figure che operano nell'ambito della sicurezza dei dati, con ruoli distinti ma complementari. Ecco una panoramica di ciascun ruolo e delle loro possibili interazioni. Ruolo del CISO: Il CISO è responsabile della sicurezza delle informazioni e dei sistemi aziendali. Si occupa della gestione dei rischi legati alla sicurezza informatica, della...

Chiamate vocali a prova di intercettazione con Signal

Di tanto in tanto mi capita di scorrere la lista di coloro tra  miei contatti che sono iscritti a Signal, l'applicazione voip gratuita e open source basata sulla crittografia end-to-end lanciata nel 2014 dall'organizzazione no profit Open Whisper Systems, e mi dolgo davvero di quanto pochi essi siano soprattutto se paragonati con quelli iscritti alla più popolare app di messagistica di Meta, ovvero la maggior parte di loro. Anarchico, hacker, crittografo, maestro d'ascia, skipper, Moxie Marlinspike, il fondatore del servizio Signal, è convinto che il progresso tecnologico debba andare di pari passo con la sicurezza degli utenti. Così intorno alla sua "creatura" è nata una community di persone che mettono la privacy al primo posto. Tra questi anche Edward Snowden il whistleblower ex consulente dell'NSA, l'agenzia per la sicurezza nazionale degli Stati Uniti, che nella primavera del 2013 divulgò una serie di informazioni classificate sui piani di sorveglian...