Social engineering: come funziona

Social engineering, di solito tradotto come “ingegneria sociale”, è il termine sotto il quale vengono raccolte diverse tecniche, che hanno in comune uno stesso obbiettivo: raccogliere informazioni da una persona e/o ottenere che una persona faccia ciò che noi vogliamo, senza che questa persona se ne renda conto. Detta in parole semplici, è l’arte di imbrogliare e manipolare le persone.

In ambito informatico, il social engineering è utilizzato molto spesso per colpire il più grande punto debole di ogni sistema computerizzato: l’utente. Chi usa un computer, infatti, è anche la più grave minaccia per la sicurezza del computer stesso e questo è un punto chiave, da tenere sempre presente. Il più potente impianto di sicurezza al mondo diventa inutile, se poi sei tu stesso ad aprire la porta al primo che suona al citofono, presentandosi come “il postino”; per quanto sia aggiornato ed efficace il tuo antivirus, per quanto solido e inattaccabile sia il tuo firewall, saranno completamente inutili se poi sei tu stesso a far entrare il nemico. Vi dice niente la storia del Cavallo di Troia? Per certi versi, lo possiamo considerare un esempio di social engineering, attuato dai greci ai danni dei troiani.

Il social engineering funziona proprio così: far credere alla vittima che noi siamo un’altra persona, una persona di cui si fida o di cui si può fidare. In questo modo, la vittima abbasserà le difese e, pian piano, si lascerà imbrogliare da noi: potrebbe così svelarci informazioni importanti, oppure accettare di scaricare un file che noi le inviamo e così via. Di solito, lo scopo del social engineering è proprio quello di raccogliere informazioni (password, numeri di telefono, indirizzi, numero di carta di credito e quant’altro), ma in certi casi può anche essere utilizzato per far installare alla vittima un trojan sul proprio computer; in ogni caso, si tratta di aggirare le difese del computer e attaccare direttamente chi lo usa, senza che la vittima si accorga dell’attacco.

Una tecnica per imbroglioni, insomma.

Possiamo distinguere due diversi tipi di vulnerabilità da sfruttare attraverso il social engineering:

• vulnerabilità generali;
• vulnerabilità individuali.

Sfruttare i difetti comuni

Questa è la forma più semplice e banale di social engineering: si limita a sfruttare in modo generico due grandi punti deboli degli utenti: la pigrizia e l’inesperienza. Invece di attaccare sulla base di uno studio accurato della vittima, in questo caso si cerca di attaccare sulla base di statistiche, considerazioni generali e tendenze degli utenti. Assomiglia agli attacchi da dizionario, utilizzati per scoprire una password.

Molti utenti, infatti, si preoccupano poco della solidità delle proprie password: alcuni ne utilizzano una sola, riciclandola ogni volta che si devono iscrivere a qualcosa; altri utilizzano password standard, lasciando spesso quelle che sono proposte in automatico dal sito; altri ancora premono qualche tasto di fila e creano password come 12345, oppure qwerty. In questi casi, non c’è bisogno di grande fatica per entrare nell’account di una persona, oppure per aprire un file protetto. Un altro caso tipico è quello della password creata usando la propria data di nascita: basta un giro su Google o su Facebook e la scopriremo subito.

Come vediamo, non si tratta di raccogliere informazioni su un utente specifico per poi imbrogliarlo, ma di sfruttare le vulnerabilità che sono presente di default nella maggior parte degli utenti, ossia tutti quelli troppo pigri per cambiare la password (e NON lasciare la password di base, nel caso di un router o di un sito), utilizzare password diverse o anche solo pensare a qualcosa di più complicato, per rafforzare le difese. Per difendersi da questi attacchi generici, la soluzione è usare password diverse e che, possibilmente, non siano facili da ricostruire. Mischiare lettere maiuscole, minuscole e numeri può servire a rafforzare la password (sì, lo so che è molto triste, ma tanto è una cosa che resterà segreta), ma soprattutto sarà utile non utilizzare parole normali, soprattutto non se le lasciamo così come sono.

In questo campo rientra anche il phishing, molto spesso, nella misura in cui il suo obbiettivo non è una persona specifica, ma il maggior numero possibile di vittime. E col phishing generalmente è proprio così: nelle varie e-mail cambia soltanto il nome della vittima, ma il loro contenuto è uguale e cercano tutte di sfruttare la credulità delle vittime nello stesso modo.

Attacchi mirati

Sfruttare le vulnerabilità specifiche di una persona è l’essenza del social engineering. Abbiamo visto come sia possibile farlo su Facebook, parlando dei furti di identità: basta assumere l’identità di un amico o di un conoscente della vittima e ingannarla ottenendo la sua fiducia. Questo è anche il metodo che richiede maggior lavoro, perché prima di un attacco sarà necessario raccogliere molte informazioni sulla vittima e preparare con cura il piano di azione: social network e Google, però, di recente hanno semplificato molto le cose, rendendo più facile e veloce trovare le informazioni personali che servono (luogo di residenza, data di nascita, nome completo, situazione familiare e lavorativa, scuole frequentante, nomi di familiari e amici, eccetera).

In certi casi, potrebbero già essere sufficienti queste informazioni, a seconda dell’obbiettivo che si ha; in altri casi, la maggioranza, queste informazioni saranno solo la prima parte del lavoro, prima di contattare la vittima stessa. Dopo la raccolta preliminare, l’attacco vero e proprio avrà luogo con una telefonata, una e-mail, o anche una richiesta di amicizia, a seconda degli obbiettivi: il contatto diretto sarà sempre giustificato da un qualche pretesto, variabile a seconda del ruolo che il “nemico”  avrà deciso di interpretare. Potrebbe essere un vecchio compagno che non sentite da molti anni, un collega di lavoro trasferito, un parete di un vostro amico, un consulente della vostra banca, qualsiasi maschera abbia deciso di utilizzare. Lo scopo sarà comunque di ottenere la vostra fiducia e le informazioni che interessano a lui, di qualunque tipo esse siano.

Per quanto riguarda i rischi che si possono correre su social network come Facebook, ne abbiamo già parlato occupandoci appunto di furti di identità e stalking, per cui non mi ripeterò. Il mondo della Rete è alquanto vulnerabile a questo tipo di attacchi, proprio perché la distanza e l’impersonalità dei computer tendono ad abbassare le difese degli utenti, i quali si sentono più sicuri, protetti dalla distanza fisica e dall’essere dietro a uno schermo... e non si accorgono di quante loro informazioni private stiano svelando, informazioni di cui chiunque potrà approfittare.

Il sistema per proteggersi da questi attacchi ve lo ha spiegato vostra madre quando eravate bambini: mai parlare con gli sconosciuti, mai accettare niente dagli sconosciuti. Sono attacchi che puntano proprio sulle vulnerabilità degli utenti, per cui non esistono programmi in grado di proteggerci: ci può proteggere però il buonsenso, unito a una certa dose di diffidenza. E poi, naturalmente, una più attenta protezione dei nostri dati personali, ma questo è un altro paio di maniche.

Le funzioni di ricerca di Google

Google è uno strumento che ormai utilizziamo tutti, quotidianamente, per ricerche testuali di ogni tipo, ossia per cercare parole e argomenti che ci interessano tra miliardi di pagine della Rete. Bisogna dire, però, che anche se Google fa il possibile per aiutarci, attraverso i suoi suggerimenti mentre digitiamo le parole da cercare (suggerimenti non sempre pertinenti e corretti, ma questo è un altro paio di maniche), trovare esattamente quello che cerchiamo può non essere un compito facile. Esistono però dei sistemi per migliorare e perfezionare la ricerca, aumentando così le probabilità di avere successo e ottenere risultati che rispondano alle nostre domande. Vediamo in breve quali sono.

site: serve a limitare la ricerca ai contenuti interni a un determinato sito. Per esempio, se stiamo cercando tutti gli articoli online della Gazzetta dello Sport che parlano della Juventus, possiamo scrivere su Google juventus site:gazzetta.it e nei risultati saranno presenti soltanto le pagine dal sito della Gazzetta dello Sport. Se invece lo utilizziamo assieme a un dominio, ci restituirà tutti i risultati presenti nei siti che fanno capo a quel dominio. Per esempio, juventus site:.it ci permetterà di ottenere, come  risultati, soltanto le pagine del siti italiani.

“” Le virgolette di apertura e chiusura, usate in una ricerca, servono a limitare la ricerca solo a una frase esatta, oppure solo alle pagine in cui le parole tra virgolette compaiono in quell’ordine preciso. Le possiamo inoltre utilizzare per cercare una parola scritta in modo insolito e impedire che Google ci rifili il solito “Forse volevi cercare: ”, per correggere la nostra ricerca. Basta racchiudere tra virgolette le parole che vogliamo e Google le cercherà così come sono e nell’ordine in cui sono. C’è da tenere presente, però, che Google presta già attenzione all’ordine in cui abbiamo inserito le parole da cercare e tenterà di darci risultati in base a quella logica: le virgolette servono a rafforzare questo aspetto, oppure a segnalare che una o più parole (quelle tra virgolette) vanno cercare così come sono, anche se sono sbagliate.

- Se invece inseriamo il “meno” prima di una parola, diremo a Google di escludere quella parola da risultati della nostra ricerca. Ovviamente, questo strumento ci serve per eliminare possibili ambiguità nell’argomento che cerchiamo: possiamo usarlo, ad esempio, dopo aver inserito il titolo di un’opera che esiste sia come libro che come film, per eliminare tutte le voci che si riferiscono a quello che non ci interessa. Se cerchiamo harry potter –film, dai risultati della nostra ricerca saranno escluse le pagine che parlano del film. Se lo utilizziamo in combinazione con site:, possiamo escludere tutte le pagine che appartengono a un determinato sito: recuperando l’esempio precedente, la ricerca di juventus –site:gazzetta.it escluderà dai risultati tutte le pagine del sito della Gazzetta dello Sport.

+ ha la funzione opposta rispetto a -, che abbiamo appena visto. Se l’operatore – serve a escludere una parola dalla nostra ricerca, utilizzando + possiamo chiedere a Google di darci tutti i risultati che includono quella parola. Per esempio, se cerchiamo harry potter +film, i risultati che otterremo saranno quelli relativi al film, non al libro (o almeno non solo al libro). L’operatore + può essere usato al posto delle virgolette se stiamo cercando una parola sola, ma con una grafia insolita o errata. Per esempio, se cerchiamo soccuadro, Google sicuramente ci risponderà “Forse volevi cercare: soqquadro” e poi ci rifilerà tutti i risultati per la parola corretta. Per costringerlo a cercare la parola sbagliata, invece, dovremo scrivere +soccuadro, oppure racchiuderlo tra virgolette.

* ha una funzione di jolly, in una ricerca. Se lo utilizziamo all’interno di una frase, per sostituire una parola, Google cercherà di completare la frase inserendo, al posto dell’asterisco, le parole che ritiene più pertinenti alla nostra ricerca. Per esempio, può essere molto utile quando non sappiamo quale parola inserire e speriamo che San Google faccia per noi il miracolo: se non ci ricordiamo cosa abbia scoperto Newton, possiamo scrivere Isaac Newton ha scoperto * e lasciare che sia Google a completare la frase, dicendoci nei risultati che cosa abbia scoperto Newton.

Ci sono poi altri sistemi per ottenere risultati più vicini a quello che stiamo cercando e che non richiedono l’uso di operatori di Gooogle o altri simboli strani, ma solo del nostro cervello. Se ci interessa trovare (e magari scaricare) la versione e-book di un determinato libro, otterremo risultati migliori scrivendo come ricerca il titolo dell’opera, seguita dalla parola pdf, per esempio: scrivendo il signore degli anelli pdf sarà molto più facile ottenere, tra i primi risultati, un pdf scaricabile con il libro in questione. Allo stesso modo, scrivendo il titolo di una canzone seguito dalla parola mp3, ci sarà più facile trovare la canzone che cerchiamo in un formato scaricabile. Nel caso di un album, invece, dovremo utilizzare rar oppure zip dopo il suo nome, perché sono i formati compressi in cui normalmente gli album sono caricati. Per queste ricerche, però, spesso è più conveniente utilizzare FilesTube, invece di Google.

In linea generale, nelle nostre ricerche Google cerca di capire cosa sia che ci interessa davvero e, di conseguenza, cerca di restituirci un risultato il più possibile vicino alle nostre richieste. Non sempre ci riesce, ovvio, ed è quindi importante dargli una mano, rendendo il più chiare possibili le nostre ricerche. Piuttosto che limitarci a buttare una parola e sperare in bene, è utile scrivere una domanda, o una frase, che descriva in sintesi quello che ci serve sapere. Cercando pdf ci uscirà di tutto; se ci passiamo a come convertire pdf, anche il risultato sarà più preciso; se poi scriviamo come convertire pdf online, allora siamo quasi certi che, già nella prima pagina dei risultati, ci sarà qualcosa di utile per noi.

Tutto questo si riferisce alle ricerche per parole. Come abbiamo visto, però, di recente è stato anche introdotto uno strumento di ricerca per immagini, il che aumenterà il campo e la complessità delle nostre ricerche... ma questo è un altro discorso.