Una notizia recente mi ha fatto capire come le emozioni e i pensieri umani possono essere (o sono) usati a beneficio degli altri. Quasi tutti voi conoscete Edward Snowden , l'informatore della NSA che curiosa in tutto il mondo. Reuters ha riferito di aver convinto circa 20-25 persone dell'NSA^(NSA) a consegnargli le password per il recupero di alcuni dati trapelati in seguito [1]. Immagina^(Imagine) quanto può essere fragile la tua rete aziendale, anche con il software di sicurezza più potente e migliore!

Cos'è l'Ingegneria Sociale

La debolezza umana^(Human) , la curiosità, le emozioni e altre caratteristiche sono state spesso utilizzate per estrarre dati illegalmente, indipendentemente dal settore. L' industria IT^{(IT Industry)} , tuttavia, le ha dato il nome di ingegneria sociale. Definisco ingegneria sociale come:

“The method whereby an external person gains control over one or more employees of any organization by any means with intention to obtain the organization’s data illegally”

Ecco un'altra riga della stessa notizia [1] che voglio citare: " Le agenzie di sicurezza stanno attraversando un periodo difficile con l'idea che il ragazzo nel cubicolo accanto potrebbe non essere affidabile^{(Security agencies are having a hard time with the idea that the guy in the next cubicle may not be reliable)} ". Ho modificato un po' la dichiarazione per adattarla al contesto qui. Puoi leggere la notizia completa utilizzando il link nella sezione Riferimenti^(References) .

In altre parole, non hai il controllo completo sulla sicurezza delle tue organizzazioni con l'ingegneria sociale che si evolve molto più velocemente delle tecniche per farvi fronte. L'ingegneria sociale^(Social) può essere qualcosa come chiamare qualcuno che dice che sei il supporto tecnico e chiedere loro le credenziali di accesso. Devi aver ricevuto e-mail di phishing su lotterie, persone ricche del Medio Oriente^{(Mid East)} e dell'Africa^(Africa) che volevano partner commerciali e offerte di lavoro che ti chiedevano i tuoi dettagli.

A differenza degli attacchi di phishing, l'ingegneria sociale è in gran parte un'interazione diretta da persona a persona. Il primo (phishing) utilizza un'esca, ovvero la gente che "pesca" ti offre qualcosa sperando che tu ci caschi. L'ingegneria sociale^(Social) consiste più nel conquistare la fiducia dei dipendenti interni in modo che divulghino i dettagli aziendali di cui hai bisogno.

Leggi: ^(Read:) Metodi popolari di ingegneria sociale .

Tecniche di ingegneria sociale conosciute

Ce ne sono molti e tutti usano le tendenze umane di base per entrare nel database di qualsiasi organizzazione. La tecnica di ingegneria sociale più utilizzata (probabilmente obsoleta) è chiamare e incontrare persone e far credere loro che provengano dal supporto tecnico che ha bisogno di controllare il tuo computer. Possono anche creare carte d'identità false per stabilire la fiducia. In alcuni casi, i colpevoli si atteggiano a funzionari statali.

Un'altra tecnica famosa è quella di assumere la tua persona come dipendente nell'organizzazione target. Ora, dal momento che questo truffatore è un tuo collega, potresti fidarti di lui con i dettagli dell'azienda. Il dipendente esterno potrebbe aiutarti con qualcosa, quindi ti senti obbligato, ed è allora che possono distinguere il massimo.

Ho anche letto alcuni rapporti su persone che usano regali elettronici. Una chiavetta USB^(USB) di fantasia consegnata all'indirizzo della tua azienda o una pen drive che giace nella tua auto può rivelarsi un disastro. In un caso, qualcuno ha lasciato deliberatamente alcune unità USB nel parcheggio come esche [2].

Se la tua rete aziendale ha buone misure di sicurezza su ogni nodo, sei fortunato. Altrimenti, questi nodi forniscono un facile passaggio per il malware - in quel regalo o pen drive "dimenticati" - ai sistemi centrali.

Pertanto, non possiamo fornire un elenco completo di metodi di ingegneria sociale. È una scienza al centro, combinata con l'arte in alto. E sai che nessuno dei due ha confini. I ragazzi dell'ingegneria sociale^(Social) continuano a essere creativi mentre sviluppano software che possono anche utilizzare in modo improprio i dispositivi wireless che ottengono l'accesso al Wi-Fi aziendale .

Leggi: ^(Read:) Cos'è il malware socialmente ingegnerizzato .

Prevenire l'ingegneria sociale

Personalmente, non credo che ci sia alcun teorema che gli amministratori possano utilizzare per prevenire gli hack di ingegneria sociale. Le tecniche di ingegneria sociale continuano a cambiare e quindi diventa difficile per gli amministratori IT tenere traccia di ciò che sta accadendo.

Naturalmente, è necessario tenere d'occhio le notizie di ingegneria sociale in modo da essere sufficientemente informati da adottare le misure di sicurezza appropriate. Ad esempio, nel caso dei dispositivi USB , gli amministratori possono bloccare le unità USB sui singoli nodi consentendole solo sul server che dispone di un sistema di sicurezza migliore. Allo stesso modo^(Likewise) , il Wi-Fi^(Wi-Fi) avrebbe bisogno di una crittografia migliore rispetto a quella fornita dalla maggior parte degli ISP^(ISPs) locali .

La formazione dei dipendenti e l'esecuzione di test casuali su diversi gruppi di dipendenti possono aiutare a identificare i punti deboli dell'organizzazione. Sarebbe facile addestrare e mettere in guardia gli individui più deboli. La prontezza^(Alertness) è la migliore difesa. Lo stress dovrebbe essere che le informazioni di accesso non dovrebbero essere condivise nemmeno con i team leader, indipendentemente dalla pressione. Se un team leader ha bisogno di accedere al login di un membro, può utilizzare una password principale. Questo è solo un suggerimento per stare al sicuro ed evitare gli hack di ingegneria sociale.

La conclusione è che, a parte il malware e gli hacker online, il personale IT deve occuparsi anche dell'ingegneria sociale. Mentre identificano i metodi di violazione dei dati (come annotare le password, ecc.), gli amministratori dovrebbero anche assicurarsi che il proprio personale sia abbastanza intelligente da identificare una tecnica di ingegneria sociale per evitarlo del tutto. Quali pensi siano i metodi migliori per prevenire l'ingegneria sociale? Se ti sei imbattuto in qualche caso interessante, condividilo con noi.

Scarica questo ebook sugli attacchi di ingegneria sociale rilasciato da Microsoft e scopri come rilevare e prevenire tali attacchi nella tua organizzazione.^{(Download this ebook on Social Engineering Attacks released by Microsoft and learn how you can detect and prevent such attacks in your organization.)}

Riferimenti^(References)

[1] Reuters , Snowden ha convinto i dipendenti della NSA a^{(NSA Employees Into)} ottenere le loro informazioni di accesso^(Info)

[2] Boing Net , Pen Drive utilizzate per diffondere malware^{(Spread Malware)} .

Understand Social Engineering - Protection against Human Hacking

A piecе of recent news made me realize how human еmotions and thoughts can be (or, are) used for others’ benefit. Almost every one of you knows Edward Snowden, the whistleblower of NSA snooping the world oνer. Reuterѕ reportеd that he got aroυnd 20-25 NSA people to hand over their pasѕwords to him for recovering some data he leaked later [1]. Imagine how fragile your corporate network can be, even with the strongest аnd best of security sоftwаre!

What is Social Engineering

Human weakness, curiosity, emotions, and other characteristics have often been used in extracting data illegally – be it any industry. The IT Industry has, however, given it the name of social engineering. I define social engineering as:

“The method whereby an external person gains control over one or more employees of any organization by any means with intention to obtain the organization’s data illegally”

Here is another line from the same news story [1] that I want to quote – “Security agencies are having a hard time with the idea that the guy in the next cubicle may not be reliable“. I modified the statement a bit to fit it into the context here. You can read the full news piece using the link in the References section.

In other words, you do not have complete control over the security of your organizations with social engineering evolving much faster than techniques to cope with it. Social engineering can be anything like calling up someone saying you are tech support and ask them for their login credentials. You must have been receiving phishing emails about lotteries, rich people in Mid East and Africa wanting business partners, and job offers to ask you your details.

Unlike phishing attacks, social engineering is much of direct person-to-person interaction. The former (phishing) employs a bait – that is, the people “fishing” is offering you something hoping that you will fall for it. Social engineering is more about winning the confidence of internal employees so that they divulge the company details you need.

Read: Popular methods of Social Engineering.

Known Social Engineering Techniques

There are many, and all of them use basic human tendencies for getting into the database of any organization. The most used (probably outdated) social engineering technique is to call and meet people and making them believe they are from technical support who need to check your computer. They can also create fake ID cards to establish confidence. In some cases, the culprits pose as state officials.

Another famous technique is to employ your person as an employee in the target organization. Now, since this con is your colleague, you might trust him with company details. The external employee might help you with something, so you feel obliged, and that is when they can make out the maximum.

I also read some reports about people using electronic gifts. A fancy USB stick delivered to you at your company address or a pen drive lying in your car can prove disasters. In a case, someone left some USB drives deliberately in the parking lot as baits [2].

If your company network has good security measures at each node, you are blessed. Otherwise, these nodes provide an easy passage for malware – in that gift or “forgotten” pen drives – to the central systems.

As such we cannot provide a comprehensive list of social engineering methods. It is a science at the core, combined with art on the top. And you know that neither of them has any boundaries. Social engineering guys keep on getting creative while developing software that can also misuse wireless devices gaining access to company Wi-Fi.

Read: What is Socially Engineered Malware.

Prevent Social Engineering

Personally, I do not think there is any theorem that admins can use to prevent social engineering hacks. The social engineering techniques keep on changing, and hence it becomes difficult for IT admins to keep track on what is happens.

Of course, there is a need to keep a tab on social engineering news so that one is informed enough to take appropriate security measures. For example, in the case of USB devices, admins can block USB drives on individual nodes allowing them only on the server that has a better security system. Likewise, Wi-Fi would need better encryption than most of the local ISPs provide.

Training employees and conducting random tests on different employee groups can help identify weak points in the organization. It would be easy to train and caution the weaker individuals. Alertness is the best defense. The stress should be that login information should not be shared even with the team leaders – irrespective of the pressure. If a team leader needs to access a member’s login, s/he can use a master password. That is just one suggestion to stay safe and avoid social engineering hacks.

The bottom line is, apart from the malware and online hackers, the IT people need to take care of social engineering too. While identifying methods of a data breach (like writing down passwords etc.), the admins should also ensure their staff is smart enough to identify a social engineering technique to avoid it altogether. What do you think are the best methods to prevent social engineering? If you have come across any interesting case, please share with us.

Download this ebook on Social Engineering Attacks released by Microsoft and learn how you can detect and prevent such attacks in your organization.

References

[1] Reuters, Snowden Persuaded NSA Employees Into Obtaining Their Login Info

[2] Boing Net, Pen Drives Used to Spread Malware.

Related posts

• Internet and Social Networking Sites addiction

• Siti di fake news: un problema crescente e cosa significa nel mondo di oggi

• Come configurare, registrare, modificare, pubblicare Instagram Reels

• Come abilitare l'autenticazione a due fattori per Reddit account

• Connettiti con lo Windows Club

• Come scaricare le canzoni da SoundCloud

• Che cosa sta phurbing e cosa significa per le relazioni personali

• Come creare un Group in Telegram e utilizzare Voice Chat feature

• Come si esegue una ricerca su messaggi Instagram?

• StalkFace and StalkScan ti aiuta a capire meglio Facebook migliori amici

• Come ottenere Instagram o Snapchat su un PC Windows 10

• UniShare ti consente di condividere Facebook, Twitter e LinkedIn contemporaneamente

• Come eliminare definitivamente o disabilitare temporaneamente lo Instagram account

• Come aggiungere Music, Effects, Enhancements a Instagram Reels

• 10 Instagram Tips and Tricks Devi sapere

• Rimuovere l'accesso di terze parti da Instagram, LinkedIn, Dropbox

• 5 migliori alternative di Facebook che vuoi controllare

• Come disattivare, riattivare l'audio, e limitare Instagram utenti su Windows PC

• Revoke accesso di terzi da Facebook, Google, Microsoft, Twitter

• Cold Turkey Distraction Blocker Blocchi Online Distractions