Perché l’ingegneria sociale funziona
Il social engineering non attacca i sistemi: attacca le persone. Sfrutta leve psicologiche universali — autorità, urgenza, paura, curiosità, cortesia e reciprocità — per convincere la vittima a compiere un’azione che aggira ogni controllo tecnico. Un firewall, un IPS o Cisco ISE non fermano un utente che volontariamente consegna le proprie credenziali. Per questo l’esame CCST insiste su un concetto: contro l’ingegneria sociale la contromisura primaria è la formazione e consapevolezza degli utenti (security awareness), affiancata da difese tecniche di supporto (MFA, filtri anti-spam, DMARC/SPF/DKIM).
Le famiglie di phishing
Il phishing è la consegna di un messaggio ingannevole per rubare dati o installare malware. Le varianti si distinguono per canale e per grado di targettizzazione.
| Termine | Canale | Bersaglio | Segno distintivo |
|---|---|---|---|
| Phishing (di massa) | Migliaia di destinatari generici | Messaggi impersonali (“Gentile cliente”), errori, dominio simile ma falso | |
| Spear phishing | Persona/reparto specifico | Dettagli personalizzati (nome, ruolo, progetto reale) | |
| Whaling | Dirigenti / C-level | Finge comunicazioni legali o finanziarie ad alto valore | |
| Vishing | Voce (telefono/VoIP) | Individuo | Chiamata che finge help desk o banca, spesso con Caller ID falsificato |
| Smishing | SMS | Individuo | Link brevi, falsi avvisi di consegna/pacco o blocco conto |
| Pharming | DNS/host | Chiunque | Reindirizza a un sito clone senza clic su link |
Il phishing di massa punta sul volume: basta una piccola percentuale di vittime. Lo spear phishing è chirurgico: l’attaccante fa OSINT su LinkedIn e sui social, cita un collega reale o un progetto in corso, e per questo ha un tasso di successo molto più alto. Ricordare la regola: generico → phishing di massa; personalizzato e mirato → spear phishing.
Vishing (voice phishing) sposta l’attacco sulla voce. L’esempio classico: qualcuno chiama fingendosi il supporto IT e chiede la password “per un aggiornamento urgente”, oppure un finto operatore bancario che chiede il codice OTP appena ricevuto. Smishing (SMS phishing) usa i messaggi di testo: “Il tuo pacco è in giacenza, paga 1,99 € qui”, con un link accorciato che porta a una pagina di raccolta credenziali.
Indicatori di riconoscimento
Gli red flag che l’esame si aspetta tu sappia riconoscere:
- Urgenza e minaccia: “il tuo account sarà chiuso entro 24 ore”.
- Mittente sospetto: dominio con typosquatting (es.
micros0ft-style, lettere sostituite) o indirizzo che non corrisponde al nome visualizzato. - Link ingannevoli: passare il mouse sopra rivela un URL diverso dal testo; uso di URL accorciati.
- Allegati inattesi: file
.zip,.html, macro in documenti Office. - Richieste anomale: password, OTP, bonifici urgenti, cambi di IBAN.
- Saluto generico ed errori grammaticali (tipici del phishing di massa, non dello spear phishing).
Attacchi fisici e psicologici
Non tutta l’ingegneria sociale passa dallo schermo.
- Pretexting: l’attaccante costruisce uno scenario credibile (il “pretesto”) per ottenere fiducia — si spaccia per tecnico dell’antincendio, auditor o nuovo collega. È spesso la base narrativa che precede vishing o tailgating.
- Tailgating (piggybacking): seguire fisicamente una persona autorizzata attraverso una porta con badge, ad esempio con le mani occupate da scatole per indurre qualcuno a “tenere la porta”. Contromisura: mantrap/tornelli, badge individuali e cultura del “non far entrare sconosciuti”.
- Baiting: lasciare una chiavetta USB infetta in un parcheggio contando sulla curiosità.
- Dumpster diving e shoulder surfing: recupero di informazioni da rifiuti o osservando la digitazione.
Il filo conduttore: nessun controllo di rete blocca chi entra dalla porta d’ingresso. Servono policy fisiche e utenti addestrati a segnalare comportamenti anomali.
Trappole tipiche d’esame
- Scenario: “Un dipendente riceve una telefonata dal presunto help desk che chiede la password” → Vishing (canale = voce). Non confonderlo con lo smishing (SMS).
- Scenario: “Email personalizzata a un singolo responsabile finanziario che cita un fornitore reale” → Spear phishing; se il bersaglio è il CEO/CFO, è whaling. Se il messaggio è generico e di massa, è phishing semplice.
- Scenario: “Un estraneo entra seguendo un dipendente che passa il badge” → Tailgating; l’invenzione della storia usata per giustificarsi è pretexting.
- Trappola sulla contromisura: la difesa primaria contro il social engineering è la user awareness training, non il firewall né l’antivirus. MFA e filtri anti-phishing riducono l’impatto ma non sostituiscono la formazione.
- Trappola sul canale vs bersaglio: il termine giusto dipende da come arriva il messaggio (email/voce/SMS) e da quanto è mirato — analizza sempre entrambe le dimensioni prima di rispondere.