Metti al sicuro la tua vita digitale dal social engineering

L'attuale pandemia provocata da Sars Cov 2 ha accentuato le vulnerabilità insite nel fattore umano: siamo più fragili e ansiosi, isolati nelle nostre attività in smart working. Mai come in questo anno siamo stati oggetto di manipolazione attraverso praticamente tutti i mezzi di comunicazione: email, telefono, social media, fake news, teorie del complotto.

I criminali informatici lo sanno e per questo sfruttano le tecniche della persuasione per condurci a commettere errori abbassando il nostro livello di consapevolezza del rischio informatico allo scopo di carpire i nostri account, le nostre informazioni, dati personali, informazioni sensibili.

Esistono due tipi di criminale informatico. Il primo agisce col metodo della pesca a strascico inviando e-mail di phishing in modo automatizzato, lavorando sulle nostre ansie derivanti dalla pandemia: commercio di dpi, farmaci, cure, test fai da te, prodotti per la sanificazione. Il secondo segue un altro schema e agisce come un pescatore a mosca. Il suo obbiettivo siamo proprio noi e per questo cercherà di preparare l'esca più adatta a noi allo scopo di prendere il controllo dei nostri asset digitali. Sotto molti aspetti questo secondo tipo è ben più pericoloso perché non può essere fermato da un firewall, un antivirus, un anti malware. Infatti potrebbe raggiungere il suo scopo senza neppure contattarci direttamente, agendo sui dati che ci lasciamo dietro nella nostra vita in rete.

Nel social engineering un ruolo molto importante è dato dalla persuasione, infatti anche una persona assolutamente equilibrata in certe occasioni e sotto certi stimoli può cedere alle tecniche della persuasione, questo è nella natura umana. E noi, anche i più esperti di noi, ci caschiamo e ci cascheremo, c’è sempre un momento in cui si abbassa la guardia quando usciamo dalle nostre consuetudini comportamentali magari sotto lo stimolo della fretta, della fiducia, dell'autorità.

Ecco perché la maggior parte degli attacchi informatici fa leva sulla parte non patchabile del nostro sistema informatico: noi stessi. 

Uno dei modi per evitare questo tipo di minacce è quello di imparare ad agire su noi stessi. per esempio facendo threat modeling. In realtà noi spesso facciamo threat modeling in modo inconscio. Per esempio uno sciatore esperto sa evitare i percorsi più accidentati e pericolosi, usando un coltello affilato adottiamo inconsciamente delle contromisure per evitare di ferirci, e così via in molte delle nostre attività giornaliere. Purtroppo oggi non siamo ancora abituati a fare threat modeling sulla nostra vita digitale. Eppure imparare a farlo aiuta molto di più della solita lista di consigli, che finiscono con l’essere indicazioni generiche e inascoltate. Il threat modeling invece è alla base di una cultura della sicurezza, anche individuale.

Si tratta di ragionare in modo inverso, mettiamoci nei panni di un attaccante. Che cosa farebbe per violare un nostro account? In questo modo partendo dai nostri asset cerchiamo di identificare le minacce. Poi dalle minacce cerchiamo di mitigare il rischio che qualcosa possa andare storto adottando delle contromisure adeguate. Occorre avere quella che si chiama una mentalità proattiva.

Se vuoi sapere come mettere in sicurezza la tua vita digitale attivando un firewall nella tua testa in grado di neutralizzare i rischi derivanti dalle tecniche di persuasione utilizzate dai criminali informatici, tengo, anche in modalità remota (Skype, G-meet, etc.), corsi di formazione sulla consapevolezza informatica. Per qualsiasi informazione potete contattarmi alla mail info@webstaff.it. Vedi anche il seguente post: Formazione sulla consapevolezza informatica.