L’evoluzione della comunicazione online, passa attraverso le connessioni che un numero ormai sterminato di social media ci mette a disposizione, diventando il principale mezzo di comunicazione e condivisione delle informazioni.
Sono diventati parte della nostra realtà, li usiamo per rimanere in contatto con amici e colleghi, e ci aiutano a ritrovare persone con cui ci siamo persi di vista, e nonostante questa oggettiva utilità, sappiamo anche che possono diventare un incubo per la sicurezza informatica della nostra azienda.

Social media, un “nobile” scopo

Facciamo un salto indietro di circa 15 anni.
Le piattaforme di social media erano destinate a migliorare la comunicazione tra gli utenti, fornendo uno spazio in cui produrre e consumare UGC (contenuti generati dagli utenti), facilitando la creatività e l’espressione personale degli utenti.
Tralasciando il discutibile modello di business che oggi tutti conosciamo, moltissime persone ancora oggi considerano queste piattaforme un luogo sicuro dove comunicare e scambiarsi informazioni, spesso esponendosi all’attenzione di malintenzionati, a volte finendo per diventare una pedina di un gioco più grande di loro.
I casi di truffe e attacchi che utilizzano i social media come strumento finiscono quotidianamente sulle cronache di tutti i giornali, e per citare un esempio che fece molto discutere alcuni anni fa, basti ricordare un sofisticato hack avviato su Twitter, che inviava messaggi malevoli costruiti ad hoc ad oltre 10mila utenti impiegati al Dipartimento della Difesa americano. In questi messaggi venivano mostrati eventi di attualità accaduti nei giorni precedenti, che, cliccati, portavano a un server russo il quale scaricava un software creato per prendere il controllo del dispositivo del malcapitato.

I social fanno gola

Attorno a ciò che genera l’interesse delle masse c’è sempre qualcuno pronto ad approfittarsene.
È così anche in natura: un terreno fertile ha sempre fatto gola a tutti, figuriamoci le ampie distese del web per degli abili predatori informatici.
La combinazione di grande volume di utenti ed elevato livello di fiducia, rende i social media il luogo perfetto per il crimine informatico, in grado utilizzare molti trucchi di ingegneria sociale contro i loro obiettivi.
Se poi consideriamo la grande affluenza di persone di ogni genere ed età, spesso con nozioni informatiche scarse o pari a zero, il gioco si fa ancora più semplice.

Tutti sotto attacco

Le grandi organizzazioni sono spesso al centro dell’attenzione dei media in relazione agli attacchi informatici.
E le piccole aziende? Sono meno esposte?
Probabilmente creano titoli meno appetibili da mettere in prima pagina, ma i numeri indicati sui tanti report disponibili illustrano un panorama tutt’altro che roseo.
Secondo il rapporto 2022 di Verizon, ad esempio, le medio-piccole imprese attirano l’attenzione criminali quanto quelle grandi, e se le organizzazioni più strutturate dispongono di grandi risorse e possono avvalersi di professionisti specifici e qualificati, molte volte nelle aziende medio-piccole tutto questo non è possibile.

Metodi d’attacco più comuni

Se ancora oggi l’attacco più comune rimane mediante l’uso di ransomware, a seguire c’è l’uso di credenziali rubate, phishing e pretexting.
Se nell’era pre-social gli hacker dovevano svolgere un lavoro di intelligence molto meticoloso e complesso (che potremmo collocare tra le attività di HUMINT, Human Intelligence), oggi è diventato tutto molto più semplice, poiché proprio sui social media le persone sono portate a condividere dettagli anche molto intimi della propria vita personale e professionale.
Ogni foto che pubblichiamo, ogni contatto che tagghiamo e locale in cui facciamo il check-in, sono informazioni utili ai malintenzionati per creare un attacco mirato e su larga scala.
Vediamo alcuni numeri che emergono dal rapporto Tessian How to hack a Human:

  • 90% delle persone condivide informazioni personali e/o professionali
  • 93% dei professionisti condivide aggiornamenti sul proprio lavoro
  • 55% delle persone non ha nessuna impostazione sulla privacy configurata
  • 26% dei professionisti condivide informazioni sui clienti

Settori più colpiti

Se il settore della Sanità sta attraversando un periodo molto complicato, dobbiamo ammettere che di questi tempi nemmeno i governi non se la passano meglio, seguiti dalle ONG e dal settore finanziario-assicurativo.
Nel 2021 il 74% delle organizzazioni è stato bersaglio di attacchi di social engineering che hanno previsto l’uso dei social-media (dato Proofpoint), e non è pensiamo che sia sempre l’attaccante ad avvicinarsi alla propria vittima, perché molte volte non lo è.
Se in un attacco di social engineering “convenzionale” l’hacker raccoglie le informazioni e attacca la vittima designata, in un reverse social engineering l’attaccante provoca la vittima ad agire fornendogli ciò che sta cercando.

Riprendiamo il controllo della nostra sicurezza

Nessuno è al di sopra del rischio.
Tentativi di phishing e social engineering succedono quotidianamente a chiunque: presidenti di aziende, amministrativi, alti funzionari di governi, direttori di banca… molte di queste persone possono essere trovate sui social media, e tutte possono ricevere richieste di amicizia che possono dare il via a condivisioni potenzialmente pericolose.
Nonostante i tanti appelli che richiamano all’attenzione (a volte da parte delle stesse piattaforme), quello che molti utenti fanno ogni giorno è un vero e proprio dossier personale e professionale, mettendosi in condizioni di essere delle vittime appetibili.