Servizi di ingegneria sociale e phishing
In Tarlogic aiutiamo i nostri clienti a proteggersi dagli attacchi di social engineering attraverso simulazioni completamente personalizzate in base alle loro esigenze
Richiedere maggiori informazioni:
Obiettivi dell'ingegneria sociale
Una delle tecniche più utilizzate dai criminali informatici per ottenere il primo accesso ai sistemi interni delle aziende è attraverso l'ingegneria sociale. Questo perché in molti casi è più facile, più economico e più veloce trovare un utente vulnerabile a questi attacchi rispetto a una vulnerabilità sfruttabile nell'infrastruttura. I risultati di questi attacchi sono molto spesso visti nei media come infezioni ransomware, cyberscam, frodi CEO ecc. I servizi di social engineering di Tarlogic simulano attacchi, completamente personalizzati, con l'obiettivo di migliorare le capacità dei nostri clienti contro questo tipo di attacco.
Vantaggi dei servizi di ingegneria sociale
In Tarlogic aiutiamo i nostri clienti a migliorare la loro sicurezza contro questo tipo di attacco. I nostri servizi di ingegneria sociale utilizzano due approcci:
-
Consapevolezza
Attraverso attacchi di social engineering con l'obiettivo di aiutare gli utenti a rilevare e gestire questo tipo di attacco nel modo giusto. La metodologia definita da Tarlogic utilizza gli stessi vettori di attacco utilizzati dai criminali informatici e, una volta raggiunto un attacco riuscito, viene fornito un messaggio di consapevolezza dell'impatto, per provocare una reazione che ti aiuta a imparare dagli errori e impedire che si ripetano.
-
Valutazione
Utilizzato per valutare il livello di maturità di un'azienda contro gli attacchi di social engineering e quindi definire il livello di rischio. Questo tipo di test è utile quando si decide sull'implementazione di nuove misure o per valutare i risultati delle campagne precedenti.
Panoramica dei servizi di ingegneria sociale
I servizi di social engineering di Tarlogic saranno in grado di utilizzare diversi vettori di attacco:
-
Phishing
Valuta la volontà degli utenti di essere vittime di campagne di phishing. Attraverso questo tipo di campagna, le metriche vengono ottenute dal comportamento degli utenti in termini di apertura di e-mail dannose, clic su collegamenti, download di contenuti pericolosi o fornitura di credenziali.
-
Vishing
Uno dei metodi più efficaci per ottenere informazioni è chiederlo. Vishing valuta la maturità degli utenti nel fornire informazioni riservate a estranei o qualcuno di cui dicono di fidarsi attraverso una telefonata.
-
Smishing
Negli ultimi anni i criminali informatici utilizzano tecniche di ingegneria sociale basate su dispositivi mobili. Gli utenti sono più propensi a seguire un link ricevuto via SMS o tramite un'altra applicazione di messaggistica (ad esempio WhatsApp), considerandoli mezzi sicuri.
-
Spear phishing
Finalizzato a obiettivi specifici all'interno dell'azienda come dipartimenti che gestiscono informazioni sensibili o manager. Viene definita una campagna specifica che potrebbe utilizzare media misti: ad esempio, phishing e vishing allo stesso tempo.
Preguntas frecuentes sobre ingeniería social
cos'è un attacco di ingegneria sociale?
Un attacco di ingegneria sociale cerca di ottenere informazioni riservate o penetrare nell’infrastruttura tecnologica di un’azienda attraverso la manipolazione dei suoi impiegati. Questa manipolazione può essere effettuata sfruttando difetti tecnici (vulnerabilità) o unicamente con l’inganno, utilizzando un pretesto ben architettato.
Come ci si può proteggere dall'ingegneria sociale?
L’ingegneria sociale si basa sulla premessa che gli utenti sono l’anello debole di un sistema, poiché non possono essere “aggiornati”; per fortuna non è sempre così, e la consapevolezza di questo tipo di attacchi è la principale misura di protezione contro questo tipo di vettore. Un atteggiamento critico e scettico nei confronti delle richieste, soprattutto di natura urgente e che vanno oltre il protocollo stabilito, facilita l’identificazione di questo tipo di attacco da parte delle vittime.
Esistono anche altri tipi di misure più tecniche che riducono il successo di questo tipo di attacco, come l’uso di secondo fattore tramite OTP o chiavi hardware.
Qual è il tipo di ingegneria sociale indirizzato a persone specifiche?
A volte gli attacchi di ingegneria sociale sono mirati specificamente a una persona o a un gruppo di alto profilo. Gli attaccanti passano il tempo a indagare il contesto e le pratiche di questi utenti per mettere a punto il pretesto da utilizzare per l’inganno. Questa pratica è nota come spear phishing. Nel caso in cui l’obiettivo sia un gruppo di persone di grande rilievo, si parla di whaling.
Quali sono i metodi comunemente utilizzati nell'ingegneria sociale?
Il metodo più utilizzato, data la sua estensione di uso e facilità per creare il vettore d’attacco, è l’e-mail; questa pratica è nota come phishing. Ogni dipendente di solito ha un’e-mail aziendale attraverso la quale riceve informazioni importanti sul proprio lavoro, e per questo motivo il dipendente deve essere sempre a conoscenza delle e-mail ricevute nella sua casella di posta. Per questo motivo, se un’e-mail di phishing raggiunge la casella di posta, ci sarà un’alta probabilità che sia aperta.
Ci sono anche molti altri vettori di attacco, come ad esempio: smishing tramite SMS, vishing tramite la rete telefonica o persino phishing tramite social network o applicazioni di messaggistica istantanea.