GARR News - n.20 - estate 2019

CYBERSECURITY
Come
divento
te
di Simona Venuti
Fingersi qualcun altro, nella rete, è più
facile di quello che ci piace pensare: e
l’umana tendenza alla fiducia diventa l’arma
peggiore nelle mani dei malintenzionati
È stato ampiamente dimostrato che l’anello debole di qualsiasi sistema
di sicurezza è rappresentato dagli esseri umani. Il social engineering,
che cerca di sfruttare queste debolezze, viene definito come l’atto di
manipolare le persone affinché compiano specifiche azioni a vantaggio
di un attaccante.
I metodi dell’ingegneria sociale sono stati i migliori
per ottenere vantaggi fin dall’antichità: il più antico e famoso
tentativo di social engineering riuscito della storia è stato sicuramente il
cavallo di Troia: con una bella confezione regalo, completamente gratis,
viene abbandonato vicino alle porte della città un bel cavallo di legno. È
bello, è gratis, lo prendiamo! E, come avviene oggi, dentro al cavallo era
installato un malware, in questo caso composto da esseri umani, che appena
possibile hanno iniziato a compiere operazioni malevole. Talmente
famoso che i virus di questo tipo si chiamano proprio “trojan”. Un altro
breach antico e famoso, poiché era ritenuto impossibile da realizzare, è
stato quello della Grande Muraglia Cinese, la quale era rimasta inespugnabile
per circa 2000 anni, dal VII secolo AC fino ai primi anni del 1200.
Gengis Khan il Conquistatore sapeva perfettamente che nessun attacco
diretto avrebbe potuto portare alla vittoria. Adottò la tecnica del phishing:
fece uscire i difensori cinesi all’esterno con un “link appetitoso”, un piccolo
manipolo di giovani guerrieri falsamente inesperti che tentavano di
forzare un ponticello, e poté entrare dai cancelli che erano rimasti aperti.
Scrivere questo articolo per me è difficile, perché mi vengono in mente
moltissimi esempi eclatanti di grandi breach (di dati e
di denaro) dovuti a piccoli errori di social engineering,
per non contare i casi quotidiani di phishing generico, a cui ormai siamo
abituati e che cancelliamo subito, a parte qualcuno ancora sprovveduto. Ci
sarebbe da scrivere un’enciclopedia!
Qualcuno però lo voglio elencare, a partire dalla mia esperienza personale:
quando studiavo per preparare il concorso di assunzione a GARR, ormai 14
anni fa, sono stata 4 giorni a studiare a Pescara, da un mio amico che aveva
un’azienda di sicurezza. Durante l’ultimo giorno della mia permanenza
aveva pianificato di fare un pen-test reale verso un cliente e mi ha portato
con sé per farmi imparare. Il pen-test è riuscito:
è entrato nei server semplicemente
telefonando alla segretaria del CEO e facendosi
dare tutte le informazioni necessarie
e le password!
Venendo ad eventi più recenti, conosciamo
tutti la storia delle PEC compromesse,
argomento di un articolo sul precedente
numero di questa rivista. Spesso
le credenziali vengono indovinate, perché
troppo facili, ma ancora più spesso si mandano
mail di phishing dove si induce l’utente
della PEC a inserire la propria mail
e password in siti controllati da altri. Esistono
elenchi di coppie utenti/password di
PEC pubblicati su “notepad pubblici”, tipo
pastebin, dove vengono periodicamente
immessi e scambiati o venduti.
Tuttavia il nuovo trend del social
engineering non è più l’invio automatico
di mail “urbi et orbi” sperando
che qualcuno ci caschi, ma si
è fatto molto più sofisticato, si è
specializzato in particolari tipi di utenti
di aziende o enti pubblici, che garantisce ai
malviventi maggior sicurezza di una risposta
(positiva), quindi maggiori guadagni. Si
parla in questo caso di “spare phishing”,
cioè phishing indirizzato ad uno specifico
target, e di BEC (Business Email Compromise),
che ne è uno dei maggiori vettori.
Per esempio il grande breach in Confindustria
alla fine del 2017: il Direttore della delegazione
di Confindustria presso l’Unione
Europea riceve una mail (contraffatta) dal
Direttore Generale Panucci in cui gli viene
chiesto di effettuare prima possibile un
bonifico di circa 500.000 euro su un certo
conto. Lui legge la mail dal telefonino e fa il
bonifico. Pwned.
In questo caso, come succede sempre
26
GARR
NEWS