Phishing e ingegneria sociale: ecco come riconoscere le tecniche più usate

Email che richiedono di cambiare le password, SMS che ti avvertono di una transazione sospetta sulla tua carta, chiamate da fantomatici call center per gli investimenti online, messaggi sui social di tipo romantico: alzi la mano chi ha ricevuto almeno una di queste comunicazioni molto ambigue, chiara spia di una potenziale truffa.

Il mondo di Internet nasconde molte insidie e tutti noi siamo ormai esposti a varie tipe di fregature che girano per il web. Per esempio, solo nel corso del 2020, il 75% delle società in tutto il mondo ha subito dei tentativi di phishing, uno degli attacchi più subdoli. Quando il phishing avviene via SMS si chiama smishing, mentre se avviene via chiamata telefonica si chiama vishing: queste due tipologie di attacchi hanno causato circa 250.000 vittime solo negli USA lo scorso anno.

Lo studio del comportamento individuale di una o più persone per capire come sottrargli informazioni sensibili: questa è la definizione di ingegneria sociale. Tutte le principali truffe sul web avvengono per via dell’ingegneria sociale, che può essere più o meno usata a seconda dell’obiettivo che hanno in mente i malintenzionati (si può trattare di un individuo, così come di un’azienda o anche un governo).

Di norma, il bottino che cercano gli hacker è sempre il solito: i nostri dati personali. Proteggere i propri dati è di fondamentale importanza al giorno d’oggi, proprio come dice Harold Li, vicepresidente di ExpressVPN, la rete VPN più veloce in Italia:

“Data breach, hacker, malware, phishing: ogni giorno ci sono sempre più rischi che dobbiamo affrontare per salvaguardare la nostra identità online. Il furto dei nostri dati è sempre un problema: permette ai malintenzionati di accedere alle nostre password, account online, conti correnti e carte (nei casi peggiore può venire rubata anche la nostra identità).”

Qui di seguito elenchiamo le tecniche di ingegneria sociale più usate dagli hacker e come possiamo riconoscerle, così da tenere sempre al sicuro le nostre informazioni sensibili.

Autorevolezza: bisogna sempre accertarsi del mittente

Quando navighiamo in rete, sappiamo bene che dobbiamo sempre tenere alta la guardia: visitiamo solo siti sicuri, teniamo attivo l’antivirus e in certi casi usiamo anche una rete VPN. Ma un servizio VPN cos’è? ExpressVPN è un esempio di rete privata virtuale: scaricando le loro app di VPN su PC o telefono, si potrà navigare con una connessione protetta grazie alla crittografia e verrà garantito anche l’anonimato della nostra connessione.

Ma pure se prendiamo tutte queste precauzioni, dobbiamo sempre usare il buonsenso. L’autorevolezza è una tecnica molto usata per gli attacchi phishing, come quando ricevete un email dalla vostra banca che vi ordina di cambiare le vostre credenziali di accesso. Gli attaccanti simulano di essere una figura di cui voi vi fidate (come la vostra banca), per chiedervi di compiere subito una determinata azione.

Questa tipologia di attacco colpisce anche molte aziende: gli hacker possono spacciarsi per un ente governativo che contatta un’azienda per fare un controllo, così come possono impersonare una società che fornisce dei materiali o servizi all’azienda che viene attaccata. In casi del genere, dovete sempre accertarvi del mittente (controllate che l’email non sia sconosciuta) e magari anche contattare chi vi ha scritto con una richiesta strana, usando però un altro canale.

Continuando l’esempio iniziale, se avete ricevuto un’email sospetta dalla banca, chiamate il servizio clienti della banca e parlate con un operatore per accertarvi della bontà della comunicazione. In ambito aziendale, vale la stessa regola: basta fare una chiamata alla società che ci ha contattato oppure al relativo ente governativo.

Sensi di colpa: ovvero la pressione psicologica

Alcune tipologie di attacchi fanno leva sui sensi di colpa che determinate comunicazioni possono scaturire in chi legge. In questa categoria ricadono le truffe di tipo romantico: si può venire contattati da persone che vogliono conoscerci e frequentarci sentimentalmente. Spesso viene chiesto di fare delle chat, anche con webcam, di tipo intimo. Quando i truffatori hanno fra le loro mani dei video compromettenti, minacciano la vittima di inoltrare tali video a tutti i loro contatti.

E per evitarlo, l’unica cosa è pagare un riscatto. Molto simile è anche il seguente caso di phishing: ricevete un’email da un contatto sconosciuto, che afferma di avervi registrato (tramite la webcam del vostro PC) mentre giravate su siti per adulti. E anche qui vi viene richiesto di pagare un riscatto, altrimenti tali registrazioni saranno spediti a tutti i vostri contatti. Si tratta di una tipologia di truffe sempre più comuni, che possono però essere smascherate con un po’ di buonsenso.

Panico, una delle tecniche più insidiose

Quando c’è un’urgenza, il tempo è poco per pensare e spesso si finisce con il reagire con emotività, prendendo scelte sbagliate. Il phishing di questo tipo è il più comune ed è responsabile dei tanti attacchi informatici avvenuti in Italia. I malintenzionati creano delle comunicazioni urgenti, dove vogliono farci reagire immediatamente a una loro fantomatica richiesta.

Transazioni sospette sul proprio conto, problemi con la pensione, acquisti mai effettuati su dei siti di e-commerce: tante sono le comunicazioni inviate di questo genere, dove gli attaccanti cercano semplicemente di farci prendere dal panico. Paradossalmente però, smascherare questi tipi di attacchi è molto semplice: da un lato nelle loro comunicazioni è sempre presente un senso d’urgenza, dall’altro lo scopo di queste comunicazioni è farci cliccare su un link o scaricare un documento.

Ignoranza: chi non sa usare Internet è doppiamente più esposto

In Italia il tasso di analfabetismo digitale è molto alto rispetto alla media europea: viene stimato che circa un italiano su tre non utilizza Internet e secondo l’OCSE, solo il 37% degli italiani sarebbe in grado di usare Internet correttamente in tutte le sue funzioni. Le fasce più deboli vengono così sempre prese di mira dagli hacker, perché è molto più probabile che diventano vittime del phishing e altri attacchi simili.

Ecco perché molti attacchi di phishing riguardano l’INPS o le Poste: in questi casi, l’obiettivo sono le persone più anziane, che molto probabilmente sono meno coscienti dei rischi legati a Internet. Ma attenzione, chiunque può rimanere vittima di phishing: una persona giovane magari saprà meglio come muoversi su Internet, ma potrebbe cadere in una truffa di tipo lavorativo (dove un’azienda ci contatta per chiederci CV e dati personali, quando in realtà si tratta di malintenzionati che vogliono solamente rubare i nostri dati).

Avidità: quando è troppo bello per essere vero

Vi piacerebbe comprare l’ultimo modello di smartphone a un prezzo speciale e super scontato? Vorreste ricevere una vacanza in crociera come premio regalo per un sondaggio? Oppure preferireste vedere in streaming gratuito degli eventi sportivi senza dover pagare? Tante ipotesi diverse, accomunate dallo stesso denominatore: il desiderio di avere un qualcosa, aggirando però le regole.

Proprio come il recente caso di phishing legato alla Formula 1, dove dei truffatori avevano creato dei siti per vedere in streaming gratuito il campionato senza dover pagare. Più spesso però, questa tecnica viene usata per inviare comunicazioni dove ci viene detto che possiamo acquistare prodotti a prezzi fortemente scontati per un breve periodo. Oppure, molto comuni sono anche le email che ci avvertono di aver vinto a una fantomatica lotteria (dove non abbiamo però mai partecipato).

Via telefono invece potrebbero arrivarvi SMS che vi avvertono di una consegna in arrivo, quando in realtà non avete mai acquistato niente (ma sarebbe bello ricevere qualcosa gratuitamente, per via di un errore). Mentre potreste ricevere delle chiamate telefoniche da persone che vi propongono di investire online nel trading, per guadagnare un extra ogni mese con un minimo sforzo. Per evitare di rimanere vittima di queste fregature basta davvero solo il buonsenso: quando è troppo bello per essere vero, molto probabilmente vi trovate davanti a una truffa.

Compassione e gentilezza: occhio all’ingenuità

Tra le varie tecniche di ingegneria sociale, una molto particolare è quella che fa leva sui cosiddetti animi buoni: ovvero persone pronte ad aiutare il prossimo, per un motivo o per l’altro. Si tratta di una tecnica molto insidiosa, proprio perché le nostre difese sono abbassate quando riceviamo comunicazioni positive o richieste di aiuto.

Si può tratta di un’email che chiede il nostro aiuto per una onlus o una campagna di beneficenza, così come possono essere comunicazioni più dirette (magari inviate sui social) dove vengono girati dei messaggi di raccolta fondi. In casi del genere, l’unica cosa che possiamo fare per evitare di cadere in queste truffe di phishing è solo una: usare sempre canali ufficiali in caso di donazioni e non donare soldi cliccando su link presenti in messaggi o e-mail che si ricevono.