Che cos'è l'ingegneria sociale

Il quarto punto spiega perché queste chiamate sembrano vere. I dettagli per costruire la storia arrivano da fonti pubbliche: il sito dell'azienda, i social delle persone che ci lavorano, gli annunci di lavoro. Raccogliere un dossier su un'organizzazione è possibile in una sera.

Uno scenario classico è una chiamata all'assistenza tecnica da parte di chi finge di essere una persona dipendente che ha perso l'accesso. L'insistenza e la conoscenza di un paio di dettagli interni spesso risultano più convincenti di qualsiasi procedura di verifica.

Ogni misura di sicurezza presuppone che una persona autorizzata possa accedere. L'ingegneria sociale sfrutta proprio questa via: non forza la serratura, ma ottiene la chiave da chi la possiede.

Ed è qui il problema: rafforzare le misure tecniche serve a poco e a volte peggiora le cose. Più le procedure sono complicate, più spesso il personale cerca scorciatoie, che diventano proprio il punto d'ingresso.

L'ultimo punto conta più delle misure tecniche. Se una persona dipendente teme di essere punita per un errore, resterà in silenzio e l'organizzazione potrebbe venire a conoscenza dell'attacco solo dopo settimane. Una cultura della segnalazione degli incidenti protegge più delle istruzioni.

Vale anche la pena ricordare che l'obiettivo non è sempre una password. Spesso viene chiesta una piccola cosa: confermare il ruolo di una collega o di un collega, fornire un numero interno, inoltrare un file. Sono questi piccoli dettagli a permettere di costruire la storia successiva, ormai convincente.