Che cos’è un attacco pretesto e come puoi proteggerti?

Chiunque abbia un telefono e possa ricevere chiamate è suscettibile di un attacco di pretesto. Gli aggressori pretestuosi possono chiamarti con false pretese, come fingere di provenire dall’ufficio tecnico di un’azienda o da un altro team con accesso alle password, per manipolarti e ottenere informazioni. Questi aggressori possono vendere o utilizzare in modo improprio questi dati, quindi dovresti salvaguardare attivamente le tue informazioni.

Quindi cosa sta fingendo? Come puoi proteggerti?

Cos’è il pretesto?

Il pretexting, una forma di ingegneria sociale, si verifica quando un hacker utilizza mezzi ingannevoli per cercare di ottenere l’accesso a un sistema, una rete o qualsiasi informazione. L’attaccante evoca uno scenario falso, noto come pretesto, fingendo di essere qualcuno esperto, come un personale IT, un responsabile delle risorse umane o persino un agente governativo. Questo attacco può avvenire online e di persona.

Il pretexting è iniziato nel Regno Unito all’inizio degli anni 2000, quando i giornalisti alla ricerca di succosi scoop sulle celebrità hanno usato misure estreme per spiarle. La competizione tra le testate giornalistiche è stata feroce, portando i giornalisti a inventare nuovi modi per ottenere informazioni private.

Innanzitutto, era semplice come ficcare il naso nel messaggio vocale della celebrità bersaglio. I messaggi vocali arrivavano con un PIN predefinito che molti utenti non si preoccupavano di cambiare, e i giornalisti lo sfruttavano. Se il PIN predefinito era stato modificato, alcuni si spingevano fino a chiamare i loro bersagli fingendosi tecnici della compagnia telefonica. Otterrebbero i PIN della segreteria telefonica e otterrebbero l’accesso alle informazioni nascoste lì.

In generale, gli scenari pretestuosi di solito sembrano richiedere molta urgenza o simpatia da parte dell’aspirante vittima. Gli aggressori possono utilizzare e-mail, telefonate o messaggi di testo per entrare in contatto con i loro obiettivi.

Elementi di un attacco pretestuoso

In uno scenario pretestuoso, ci sono due elementi principali: il “personaggio” interpretato dal truffatore e la “situazione plausibile” intesa a ingannare il bersaglio facendogli credere che il personaggio abbia diritto alle informazioni che sta cercando.

Immagina di provare a elaborare una transazione e non va a buon fine. Non ricevi la pizza che hai ordinato e il negozio online è chiuso. Che schifo! Ma non è tutto. Pochi minuti dopo, per un errore inspiegabile, scopri che il tuo conto è stato addebitato.

Subito dopo, l’aggressore chiama e si presenta, fingendo di essere un agente dell’assistenza clienti della tua banca. Poiché stai aspettando una chiamata, cadi in questa situazione plausibile e fornisci i dati della tua carta di credito.

Come funziona il pretesto?

Il pretesto sfrutta i punti deboli nella verifica dell’identità. Durante le transazioni vocali, l’identificazione fisica è quasi impossibile, quindi le istituzioni ricorrono ad altri metodi per identificare i propri clienti.

Questi metodi includono la richiesta di verifica della data di nascita, del parente prossimo, del numero di figli, dell’indirizzo di contatto, del cognome da nubile della madre o del numero di conto. La maggior parte di queste informazioni può essere ottenuta online dagli account dei social media del bersaglio. I pretexters usano queste informazioni per “provare” l’autenticità del loro carattere.

I truffatori utilizzano le tue informazioni personali per farti rivelare informazioni più sensibili che possono utilizzare. Ottenere queste informazioni personali richiede un’attenta ricerca perché più specifici sono i dati ottenuti, più sarai costretto a rinunciare a informazioni ancora più preziose.

I truffatori hanno anche fonti dirette di informazioni diverse dai social media. Possono falsificare il numero di telefono o il nome di dominio e-mail dell’organizzazione che stanno impersonando per aggiungere più credibilità alla situazione plausibile che viene venduta all’obiettivo.

3 notevoli tecniche di pretesto

Esistono varie tecniche di pretesto utilizzate da truffatori e hacker per ottenere l’accesso a informazioni sensibili.

1. Vishing e smishing

Queste tecniche sono molto simili. Gli attacchi di vishing comportano l’uso di chiamate vocali per convincere una vittima a fornire le informazioni necessarie al truffatore. Le truffe smishing, d’altra parte, utilizzano SMS o messaggi di testo.

Vishing ha maggiori possibilità di successo perché è più probabile che i bersagli ignorino i messaggi di testo rispetto alle chiamate dirette di personale apparentemente essenziale.

2. Esca

L’esca implica l’utilizzo di una grande ricompensa per raccogliere informazioni e potrebbe anche includere la falsificazione di una fonte attendibile.

Il truffatore potrebbe fingere di essere un avvocato sostenendo che hai un’eredità da un lontano parente e avrebbe bisogno dei tuoi dettagli finanziari per elaborare la transazione. Anche il personale di alto rango di un’organizzazione bersaglio potrebbe essere vittima.

Un’altra manovra comune è lasciare una busta contenente una chiavetta USB con il logo dell’azienda e un messaggio per lavorare su un progetto urgente. L’unità flash sarebbe carica di malware che gli hacker userebbero per ottenere l’accesso ai server dell’azienda.

3. Spaventapasseri

In questo metodo, gli hacker usano la paura come tattica. Un esempio notevole è un pop-up su un sito non sicuro, che ti dice che c’è un virus sul tuo dispositivo e poi ti chiede di scaricare un programma antivirus che è in realtà un malware. Lo scareware può anche essere distribuito utilizzando e-mail e collegamenti nei messaggi di testo.

Come proteggersi dagli attacchi pretestuosi

Gli attacchi pretestuosi sono così diffusi che non c’è quasi modo di fermarli completamente. Tuttavia, è possibile adottare misure per frenarli in modo significativo.

Un passo è l’analisi della posta elettronica. Guardare il nome di dominio di un’e-mail può dare un’idea se è contraffatto o autentico. Tuttavia, gli attacchi con pretesto possono falsificare i domini di posta elettronica in modo da sembrare quasi identici all’originale, rendendo estremamente difficile individuare questi pretesti.

Ma con il progresso della complessa tecnologia di intelligenza artificiale, l’analisi della posta elettronica è diventata più accessibile. L’intelligenza artificiale ora può individuare modelli di phishing e cercare segni di pretesti. È in grado di identificare anomalie nel traffico e nei nomi visualizzati delle e-mail contraffatte, nonché frasi e testo comuni agli attacchi con pretesto.

L’educazione degli utenti è, ovviamente, essenziale. Nessuno dovrebbe chiedere la password della banca, il pin della carta di credito o il numero di serie. È necessario segnalare immediatamente una richiesta per uno qualsiasi di questi alle autorità competenti. Inoltre, ricordare a familiari, amici e dipendenti di non fare clic su collegamenti sconosciuti e di evitare di visitare siti Web non sicuri potrebbe essere sufficiente per impedire l’ingresso di malware nei server della tua azienda.

Non lasciarti ingannare dalle truffe pretestuose

Scovare un’operazione di pretesto potrebbe non essere facile, ma ci sono semplici passaggi che puoi adottare per evitare di cadere vittima. Non fare clic sui collegamenti su siti Web non sicuri e non rivelare a nessuno i tuoi dati di accesso. Ci sono linee di assistenza clienti verificate sulla piattaforma online della tua banca. Quando un agente dell’assistenza clienti ti contatta, assicurati che i numeri corrispondano alla linea ufficiale.