L’ingegneria sociale è una delle metodologie con cui gli hackers e gli esperti informatici, tramite manipolazioni psicologiche, ottengono dati sensibili da un individuo o da un’organizzazione. Si tratta, insomma, di un modo di aggirare le misure di sicurezza indispensabili alla protezione dei dati.

Il termine è piuttosto ampio e comprende diverse tipologie di attacchi. Tra le più note:

• phishing, che è la più comune. Si concretizza attraverso l’invio di messaggi di posta elettronica ingannevoli;
• watering hole (letteralmente “pozza d’acqua”). Consiste nell’inserimento di un malware in siti pubblici, per attaccarne i visitatori più frequenti. E’, pertanto, preceduto da una sorta di “profilazione” dell’attività di navigazione internet della vittima;
• pretexting, che si differenzia dal phishing in quanto presuppone la costruzione, da parte dell’hacker, di un rapporto di fiducia con la vittima;
• whaling (come suggerisce il termine inglese derivale da “whale”, ovvero balena, una sorta di “pesca grossa”). Si tratta di un phishing posto in essere ai danni di membri di rilievo dell’organigramma aziendale e realizzato, quindi, attraverso emails riguardanti contenuti di grande rilievo economico o strategico;
• baiting, cioè un attacco informatico che fa leva sulla curiosità della vittima. Questa tipologia di attacchi, a volte, viene perpetrato anche con il posizionamento – apparentemente casuale – di chiavette USB “infette”.

Una tipologia di attacco di ingegneria sociale molto diffuso negli ultimi tempi è quello noto come man in the middle. Con questo metodo, l’hacker si intromette in uno scambio di posta elettronica tra due soggetti, di solito chiedendo alla controparte l’adempimento di un obbligo contrattuale di natura economica. Spesso il pagamento viene indirizzato su conti all’estero, di cui l’hacker è in possesso oppure ai quali può accedere. E’ il caso, frequente, della richiesta di pagamento su coordinate bancarie fornite dall’hacker e, pertanto, diverse da quelle del creditore effettivo.

Le polizze assicurative per la sicurezza informatica possono fornire, nella maggior parte dei casi, una copertura per questa tipologia di attacchi cyber. Il consiglio è di valutare attentamente il contenuto della polizza e, ove necessario, sottoporre dei casi specifici all’assicuratore; spesso, infatti, i contratti assicurativi cyber non includono automaticamente la copertura per l’ingegneria sociale, preferendo garantirla attraverso un’estensione opzionale della polizza, soggetta a un premio aggiuntivo.

(Erica Larotonda)