Che cos’è l’Ingegneria Sociale? Informazioni di Base

E se parlasse con un gergo familiare all’azienda, presentandosi col nome del dirigente di una vostra associata e chiedendovi formalmente un’informazione all’apparenza non fondamentale? Se una richiesta simile avvenisse via fax, la vostra segretaria realmente farebbe caso al numero diverso? O si limiterebbe a leggere l’intestazione, magari presa da altri compiti “più urgenti”? Azioni tali sono attualmente possibili dopo aver raccolto informazioni apparentemente futili tramite semplici telefonate al call center.

Quando si parla di tecniche che garantiscono l’accesso al social engineer, spesso viene tirata in causa la “disponibilità dovuta”. In realtà, non c’è poi così tanta la disponibilità in una persona.

Questo pensiero causa la reazione: no disponibilità=no pericolo. Totalmente Sbagliato…

A parte il fatto che la disponibilità viene spesso guadagnata dall’ingegnere sociale, ciò che ne facilita i compiti è la disattenzione. Quando facciamo un qualsiasi lavoro, le nostri principali priorità sono: il portare a compimento quel lavoro stesso e cosa fare dopo il lavoro. Se qualcuno s’infila tra queste nostre priorità, viene trattato con sufficienza e si cerca di accontentarlo pur di levarselo di torno. Altre volte il lavoro ci annoia e tendiamo a prolungare il discorso con una persona a noi estranea ma che risulta piacevole. Nessuno pensa al passaggio di quell’estraneo come qualcosa di “non casuale”. Nessuno vede in lui un pericolo.

Immaginate allora che quell’estraneo non sia tale, ma vedetelo come un fattorino, un dipendente in prova, uno stagista o un dipendente vero e proprio. Se prima l’avvisaglia di pericolo era nulla, ora c’è addirittura fiducia. E il fattore sicurezza dov’è andato a finire?

Gli scenari che vi ho appena esposto possono riguardarci tutti e possono essere portati avanti da chiunque abbia un atteggiamento spregiudicato e possegga qualche competenza relazionale di base. Sono strategie applicabili anche senza esperienza, che tuttavia possono sfuggire anche a misure di sicurezza elettroniche sofisticate, le stesse che vi fanno dormire tranquilli e “al sicuro” la notte. Questo perchè dietro anche alla più sofisticata tecnologia c’è sempre un essere umano.

In risposta a questa domanda, riporto un breve racconto che è facile reperire sul web:

Ho sempre letto racconti di hacker famosi che, tramite le tecniche di social engineering, riuscivano a impossessarsi di password o racconti di spionaggio in generale. E mi sono sempre chiesto cosa farei io al loro posto. Sono uno studente al quarto anno e spesso sono stato tentato dal pensiero d’ infilarmi in qualche posto di nascosto, magari per leggere una relazione o per falsare qualsiasi cosa, ma non l’ho mai fatto per paura di compromettere la mia carriera universitaria. Oltre a fare lo studente, mi diverto a scrivere recensioni di videogiochi per un magazine online, questo mi garantisce giochi gratis e posso spendere i miei soldi per divertirmi con gli amici. Un giorno mi venne chiesto di partecipare ad una conferenza stampa di una famosa società di software che produce anche videogiochi. Sinceramente non mi attirava molto, ma il responsabile non aveva altro personale vicino e aveva bisogno di una relazione. Così decisi di accettare. Durante il viaggio in treno mi balenò in mente l’idea di scoprire qualche segreto, senza idee maliziose, solo per sfidare me stesso. Quando fui di fronte al complesso della software house ne rimasi affascinato. Avevo visto dei palazzi così solo nei filmati sulla Silicon Valley. Mentre m’incamminavo verso i locali in cui era stata organizzata la conferenza, notai subito varie telecamere, porte a vetri azionate dall’interno e porte chiuse che necessitavano, credo, di un pass. La tentazione di entrare in quelle porte era irresistibile. Così quando la conferenza ebbe termine, nella confusione tra l’organizzazione dello spuntino e chi voleva provare i nuovi giochi, vidi la mia occasione poggiata sulla scrivania, era il pass di uno dei dirigenti addetti alla presentazione. Approfittai del fatto che era di spalle per seguire l’evolversi di una partita sul maxi schermo e misi il pass nella mia cartella. Ce l’avevo fatta! Ero nella sede di una grande software house e avevo un pass da dirigente! Già in precedenza avevo notato che i corridoi erano semi deserti, così iniziai ad andare a zonzo alla ricerca del mio target. Fossi stato una spia avrei potuto prender nota della piantina. Passando davanti ad una porta a vetri, controllata elettronicamente, notai che l’impiegata era occupata a discutere con tre persone, sicuramente non mi avrebbe chiesto chi ero e volli provare. Così bussai, mostrando semplicemente il pass, lei mi aprì e non s’insospettì minimamente vedendomi imboccare con sicurezza il corridoio che portava ad altri uffici, era davvero troppo presa dalla discussione e dovevo avere l’aspetto di uno che sapeva bene dove andare. Le porte erano tutte chiuse, provai ad origliare accanto ad una di queste e non sentendo rumori provai ad entrare. Fatto! Ero dentro! Ora dovevo raccogliere più informazioni possibili e potevo agire con una discreta calma, sulla scrivania erano infatti appuntati gli impegni, e quel giorno l’impiegato non sarebbe rientrato in ufficio. Iniziai a ficcare il naso tra le cose sulla scrivania e tra le cartelle, c’era anche un pc ma non m’interessava. In una cartella trovai un comunicato post-datato di sei mesi che pubblicizzava un nuovo servizio alle aziende. Mi ritenni soddisfatto, in meno di un’ora avevo acquisito un’informazione privata di una grande azienda ed ero alla mia prima esperienza! Scattai una foto al documento, rimisi tutto a posto e tornai al banchetto. Presi una tartina e feci finta d’uscire sul terrazzino per una sigaretta. Al rientro diedi nuovamente il pass al dirigente sbadato, spiegando d’averlo trovato fuori. Lui, visibilmente imbarazzato, mi ringraziò e mi chiese l’indirizzo per omaggiarmi con una sorpresa. Dopo due settimane ricevetti la sorpresa, che su ebay mi fruttò circa 500 euro. Niente male come prima esperienza, e complimenti alla software house!