Nasci, cresi e poi scopri l’ingegneria sociale o meglio scopri ad un certo punto della tua vita sei portato a guardare il mondo da più punti di vista, cercando di capire tutte le sue sfaccettature. Niente, mentre sono in viaggio verso Rimini ho davanti ai miei occhi e alle mie questo notebook, quindi mi sembrava così triste che non lo consideravo e che lo usavo come una mega power back. Poverino, in realtà questa poca considerazione non se la merita, visti i viaggi, i chilometri e le ore trascorse insieme, quindi eccomi qui a riempire le pagine di questo diario con una piccola riflessione e un piccolo racconto. Bene come avete capito dal titolo, oggi la mia riflessione e il mio racconto si è soffermato su un argomento che io considero molto particolare e che forse a qualcuno interesserà sicuramente, insomma proverò a parlare dell’ingegneria sociale. Come al solito, per raccontare queste cose così particolari inizierò il mio racconto partendo proprio da che cos’è questa cosa che spesso spaventa le persone che si chiama ingegneria sociale. Infatti hanno ragione nel spaventarsi e nel stare in guardia dagli ingegneri sociali. Cioè per capirci, sono meno rompi scatole degli ingegneri quelli veri, ma sono altrettanto due scatole quando si mettono in gioco e decidono che è arrivato il momento di capire le sfaccettature del mondo intorno a loro. Quindi, che cos’è l’ingegneria sociale? Nel mondo dell’informatica e principalmente nel campo della sicurezza informatica, l’ingegneria sociale è lo studio del comportamento di una persona al fine di carpire informazioni utili. In parole più semplice e dirette, l’ingegnere sociale è quella persona che cerca di capire chi ha davanti per poter ottenere più informazioni utili. Esempio semplice: Vorrei ottenere da te il numero di telefono, ma non voglio usare frasi fatte o di circostanza. Quindi quello che faccio, provo a parlare con te e trovare un problema che posso risolvere, ovvio in questo caso parliamo di un problema informatico. Tu mi racconti il tuo problema e io provo a spiegarti come si risolve, ma se non sei capace ti chiedo il numero così ti chiamo per risolvere insieme l’inghippo e farti funzionare il computer. Chi può essere un ingegnere sociale? Tutte le persone sono predisposte a diventare un ingegnere sociale, ma non tutti lo fanno e non tutti prendono questa strada. Meno male direi io. Non è una battuta, è sorprendente e allo stesso tempo molto vero che tutti possono diventare un ingegnere sociale, questo perché nella vita di tutti i giorni, tutti noi almeno una volta abbiamo utilizzato le tecniche che, quotidianamente, un ingegnere sociale utilizza. Basta vedere l’esempio appena fatto oppure quando siamo curiosi di sapere che cosa ha combinato un nostro amico. Quindi io sono un ingegnere sociale, tu sei un ingegnere social, essi sono ingegneri sociali e da qui continua te la declinazione verbale. Cosa fa l’ingegnere sociale? Quando viene applicata la tecnica dell’ingegneria sociale nell’ambito della sicurezza informatica, lo scopo principale dell’ingegnere sociale è uno solo: ottenere più informazioni e dati confidenziali possibili sulla vittima. Lo scopo principale è quello di creare fiducia nella vittima, in questo modo il cybercriminale potrà ottenere dati riservati oppure portare la vittima ad installare da solo un malware. Cosa deve studiare una persona per diventare un’ingegnere sociale? Tutto e nulla. In realtà per affrontare questo mondo le competenze informatiche e tecnologiche devono essere diverse, inoltre si deve essere portati ad interagire con le persone, non solo scrivendo dei semplici messaggi, ma essere capaci di intrattenere la persona facendogli abbassare il più possibile le sue barriere difensive. L’ingegnere sociale più famoso al mondo? Per me, il sommo maestro in questo campo è Kevin David Mitnick, detto Condor. Per qualcun altro sicuramente l’ingegnere sociale più famoso al mondo è qualche altra persona (lascia un commento qui sotto con il tuo maestro). Il signore in questione è un programmatore, ma anche un’ex phreaker e cracker, che oggi ha scelto di fare l’imprenditore mettendo a disposizione delle aziende le sue capacità con lo scopo di aumentare la loro sicurezza. Peccato che alcune volete persone come Mitnick vengono chiamate quanto il danno ormai è stato già fatto. Kevin Mitnick nella sua carriera si è distinto per avere introdotto la tecnica dell’IP spoofing (denominazione con la quale si indica, in una rete di computer, una tecnica di attacco informatico che utilizza un pacchetto IP nel quale viene falsificato l’indirizzo IP del mittente) e per le sue notevoli capacità nel campo dell’ingegneria sociale, avendo eseguito alcune tra le più ardite incursioni nei computer del governo degli Stati Uniti, preso qualche soldo dalle banche mentre pranzava con il padre e utilizzando semplicemente un telefono. Ovviamente per tutte queste misfatte ha pagato a caro prezzo il tutto, visto che ha visitato alcuni carceri per svariati anni, ma oggi è libero ed è diventato un bravo ragazzo e come dicevo prima ha messo a disposizione del mondo le sue capacità, aiutando chi ne ha bisogno di proteggere la sicurezza informatica della propria azienda. Attacchi informatici utilizzando l’ingegneria sociale, come funzionano? Per mettere in pratica questa particola tecnica di attacco informatico, quello che l’ingegnere sociale fa non è altro che convincere qualcuno a divulgare informazioni o a concedere l’accesso a reti di dati semplicemente parlando. Esempio: Un malintenzionato, il nostro cybercriminale, potrebbe fingersi un tecnico del servizio di assistenza ai clienti per farsi dare informazioni come nome utente o password. Potrebbe chiamare e chiedere se ci sono stati disservizi con l’app per accedere al conto corrente della banca, controllando insieme alla vittima il nome utente, la password e il codice di autorizzazione per l’accesso. Il tutto facendo due chiacchiere in amicizia e con lo scopo di risolve un problema. Citando Kevin Mitnick: “Si possono investire milioni di dollari per i propri software, per l’hardware delle proprie macchine e per dispositivi di sicurezza all’avanguardia, ma se c’è anche solo un unico dipendente della nostra azienda che può essere manipolato con un attacco di ingegneria sociale, tutti i soldi investiti saranno stati inutili.” Si ma
Mese: Agosto 2021
Un attacco hacker “annunciato”, ma ignorato! Parliamo di quello che è successo in questo fine settimana e che ha visto coinvolgere i sistemi informatici della Regione Lazio. Insomma sto parlando dell’attacco informatico che ha mandato in tilt il sistema di prenotazione del vaccino in questa regione e che a quanto pare ha appena messo in pericolo i dati sensibili del 70% degli abitanti di Roma e della regione. Per qualcuno questa cosa potrebbe essere una cosa estremamente pericolosa, invece per altri potrebbe essere vista come una cosa di poco conto. Per iniziare a parlare quanto successo in questo fine settimana, partiamo dalle decide di articoli con titoli del tipo: “L’attacco hacker che non ha precedenti in Italia“. Anzi il titolo più giusto per quanto successo sarebbe stato molto azzeccato se fosse: “L’attacco hacker annunciato che ha colpito Italia e ha messo in ginocchio i sistemi informatici di una regione“. Perché questo era un attacco hacker “annunciato”? Semplicemente perché bastava leggere il report Cost of a Data Breach 2020, richiesto da IBM Security e condotto da Ponemon Institute, per capire come i cambiamenti imposti dall’evoluzione della tecnologia e nell’ultimo periodo dalla pandemia mondiale, hanno spinto all’utilizzo di tecnologie che garantissero continuità operativa dei governi e delle aziende, ma che ha provocato una breccia nella sicurezza informatica delle aziende e della stessa Pubblica Amministrazione. Anzi non serviva neanche leggere un report come questo, perché tanto negli ultimi due anni abbiamo visto come i vari click day per prenotare i vaccini, per prenotare per delle visite mediche, per fare i tamponi, per richiedere i soldi all’INAL e mi fermo qui perché la lista è lunghissima, hanno dimostrato i limiti e la poca preparazione tecnologica, ma anche amministrativa di questi sistemi informatici. Insomma, si può dire che in tutti questi casi abbiamo visto come i sistemi informatici regionali e governativi facevano acqua da tutte le parti, senza che nessuno se ne prendesse le responsabilità. A questo, per rincarare la dose vi sblocco un ricordo e vorrei ricordarvi uno degli attacchi ransomware subiti dal sistema sanitario nazionale di un Paese ex-UE: L’attacco ransomware di questo ricordo riguarda il sistema sanitario britannico. Per non lo sapesse oppure per chi se lo fosse dimenticato, nel 2017 il sistema sanitario britannico (NHS) ha subito uno dei più grandi e grossi attacchi hacker della sua storia, mandandolo completamento in tilt tutto quello che si poteva mandare in tilt. Stiamo parlando di un attacco hacker che nel giro di poche decine di minuti, ha messo KO la quasi totalità dei computer degli ospedali e dei centri sanitari a livello nazionale, non regionale o provinciale. Attenzione l’attacco ransomware in questione non ha messo solo KO tutta la rete informatica del sistema sanitario britannico, ha reso inutilizzabile anche le reti telefoniche. Situazione che ha costretto di fatto l’NHS ha invitare i cittadini a non recarsi negli ospedali e nei pronti soccorso se non ci fossero situazioni di emergenza grave o gravissima. Non solo le varie direzioni sanitarie sono entrare in emergenza e hanno scelto di rinviare tutte quelle che erano le operazioni di routine. Bellissimo questo ricordo vero? Bene, però dal 2017 ad oggi a livello nazionale (Italia) e internazionale (Spagna, Francia, Germania, USA, Ucraina, Russia) gli attacchi ransomware sono quasi diventati all’ordine del giorno e in alcuni casi hanno fatto danni molto pesanti, mettendo in ginocchio moltissimi sistemi informatici governativi e mettendo a rischio la salute dei cittadini. Vi sblocco un secondo ricordo: Questa volta parliamo, dell’attacco informatico ha manomesso un impianto per l’acqua potabile in Florida agli inizi di quest’anno. In questa occasione c’è stato un tentativo di aumentare i livelli di soda caustica infiltrandosi nel sistema di gestione da remoto. Per fortuna che in questo caso l’attacco è stato bloccato prima che potesse causare dei danni alla popolazione. Insomma se nel primo esempio abbiamo avuto un attacco hacker che ha fatto i danni, nel secondo caso abbiamo un esempio di un pronto intervento prima che la situazione diventasse gravissima. Però nonostante questo sembra quasi che tutti questi attacchi, dal 2017 ad oggi, siano stati ignorati indipendentemente che questi attacchi abbiano o no recato dei danni. Dico sembra che siano stati ignorati questi attacchi e la loro pericolosità, perché vedendo quello che è successo in questo fine settimana e pensando all’attacco del primo esempio, mi viene in mente e mi ricordo benissimo che ai tempi furono coinvolte negli stessi giorni e dallo stesso tipo di attacco anche alcune regioni italiane (Lombardia, Lazio e Pimonte), però da all’ora sembra che nulla sia stato fatto. Un attacco hacker che mette a repentaglio non solo la sicurezza dei cittadini Mi fermo nel raccontare tutti gli esempi di attacchi hacker e attacchi ransomware, non perché non ne avrei altri esempi o ricordi da sbloccare, ma perché questo attacco poteva essere prevedibile in quanto i dati che la Regione Lazio aveva nelle sue mani dovevano far capire a chi di dovere, che un attacco hacker del genere sarebbe avvenuto prima o poi. Infatti il pericolo non riguarda solamente i comuni cittadini ma anche le personalità istituzionali come il Presidente Sergio Mattarella, il premier Mario Draghi e diversi Ministri e Onorevoli della Repubblica Italia che si sono vaccinate nella città di Roma e nella Regione. Rincaro la dose, stando alle varie notizie il pericolo riguarda anche figure come i vertici delle forze armate e dei servizi segreti, grandi dirigenti, banchieri e diplomatici. Se chi gestisce i sistemi informatici della Regione Lazio non ha messo in conto che prima o poi sarebbe arrivato un attacco informatico del genere per la tipologia di dati sensibili che stavano raccogliendo e gestendo, per me dovrebbe darsi all’agricoltura. Perché le prime cose che studi quando fai un percorso di studio in informatica e quando ti offrono quel pezzo di carta con cui ti vanti in giro che sei dottore nella tua materia informatica, riguardano proprio la criticità nella gestione dei dati. Infatti, le persone che gestiscono oggi i sistemi informatici governativi dovrebbero ricordarsi che più i dati raccolti e gestiti sono