#141. SOCIAL ENGINEERING
Il più famoso hacker dello scorso decennio, Kevin Mitnick, condannato a imprigionato per aver craccato un’infinità di sistemi, nel 2000 ha rilasciato una testimonianza. Mitnick ha detto: “ho avuto così tanto successo [con il social engineering] che solo raramente mi sono dovuto servire di artifici tecnologici…le aziende spendono milioni di dollari per salvaguardare i propri strumenti, ma sono tutto soldi buttati al vento se poi uno può tranquillamente chiamare una persona col telefono e convincerla a fare qualcosa per abbassare il livello di sicurezza dei computer o, meglio ancora, rivelare le informazioni che vuole”
Il social engineering, o ingegneria sociale, è una disciplina che studia il comportamento di una persona al fine di carpire informazioni utili. Utilizzata soprattutto in campo informatico, l’ingegneria sociale si è sviluppata mano mano che gli strumenti tecnologici si facevano sempre più complessi e difficili da “bucare”. Una tecnica infinitamente più comoda e, apparentemente sicura, rispetto a quella di violare un sistema informatico lasciando, inevitabilmente, qualche traccia. Anche i virus più famosi e dannosi, come quelli definiti “ransomware” – che prendono in ostaggio i nostri dati – si propagano, in fondo, grazie a questo principio. Arriva una mail da una persona conosciuta (ma non sempre!), arriva un allegato apparentemente innocuo e, soprattutto, che ci fa gola. Di solito una consegna, un ordine, e così via. L’utente distratto e, qualche volta, ingordo, clicca e…SBAM! Sei fottuto. 🙂
Lo so, è scioccante e questa maledetta tecnologia ci rovinerà e tutto il resto, ma così è. Non bisogna MAI sottovalutare la potenza della stupidità umana. Fishing, truffe on line, click random, sono solo alcuni dei mezzi usati per carpire informazioni, normalmente user name (di solito una mail) e password. Spesso basta fingersi un “esperto” di informatica e il gioco è fatto…troveremo migliaia di poveri ignari che crederanno che nessuno userà mai le loro credenziali. Già…
Il social engineering è piuttosto complesso da sconfiggere con il solo aiuto della tecnologia e, nonostante la sicurezza informatica sia uno degli argomenti più importanti degli ultimi 10 anni, pochissime imprese italiane, piccole e medie, prende la cosa seriamente. Come indicato da Mitnick, qualche soldo – non certo milioni di dollari – viene speso, apparati, firewall, antispam, antivirus e compagnia bella, ma una vera campagna di educazione e formazione al personale non viene praticamente mai fatta. Ci sono utenti – che amo chiamare utonti, ma con tenerezza – che non hanno idea nemmeno di quello che stanno pigiando quando cliccano su un link o su un programma eseguibile. La sicurezza è un complesso ecosistema, una strategia fatta di tantissimi passaggi.
Keypoint: senza un’adeguata formazione non saremo governati dalla tecnologia, ma di chi se la inventa.
