I confini della sicurezza digitale si stanno espandendo rapidamente, costringendo professionisti e organizzazioni a fare i conti con minacce che superano la barriera dello schermo del computer.
In un recente approfondimento condotto da analisti del settore, gli esperti di sicurezza Dave Bittner, Joe Carrigan, Maria Varmazis e Kieran Hume hanno esaminato l’allarmante evoluzione che caratterizza ogni moderno attacco e le relative truffe basate sull’ingegneria sociale.
L’analisi dei dati e dei casi di studio reali evidenzia come i criminali stiano combinando tecnologie d’avanguardia, come l’intelligenza artificiale, con tattiche tradizionali di infiltrazione fisica e l’abuso di strumenti informatici leciti per scardinare i perimetri difensivi delle aziende.
Indice degli argomenti
L’evoluzione dell’ingegneria sociale: quando l’attacco si sposta nel mondo fisico
Una delle tendenze più sorprendenti evidenziate dagli specialisti riguarda le modalità operative del Silent Ransom Group, un’organizzazione cyber criminale nota anche con i nomi di Luna Moth o Chatty Spider, attiva fin dal 2022 nel colpire in modo specifico studi legali e finanziari negli Stati Uniti. I suoi obiettivi principali sono gli studi legali e le società finanziarie negli Stati Uniti.
I criminali non si limitano a lanciare un tradizionale attacco digitale da remoto. Essi utilizzano inizialmente esche classiche come il phishing o il finto supporto tecnico tramite telefono ed email. Se questi tentativi falliscono, la strategia cambia radicalmente.
I membri del gruppo inviano un complice in carne e ossa direttamente presso gli uffici della vittima. L’obiettivo è inserire una chiavetta USB malevola o collegare un hard disk esterno ai computer aziendali.
Il pericolo dei dispositivi hardware sconosciuti
Hume, Lead Cybersecurity Engineer presso ThreatLocker, ha espresso forte preoccupazione per questa logistica criminale. L’infiltrazione fisica aumenta notevolmente la posta in gioco per i criminali.
Hume ha commentato l’accaduto descrivendo i rischi di questa tattica: «Sono piuttosto sorpreso che inviino persone fisicamente. È un rischio molto più alto, specialmente contro il governo. Ma è un classico tentativo di convincere qualcuno a inserire quella USB malevola. Ho tenuto molte presentazioni su quanti danni si possono fare inserendo rapidamente una singola USB».
Un attore malevolo sul posto può compromettere un intero sistema in pochi istanti.
L’inganno del travestimento e la fiducia spontanea
La vulnerabilità umana di fronte a una presenza fisica è spesso sottovalutata. Bittner ha condiviso un episodio emblematico accaduto nella sede della propria azienda.
Lo studio si trova in uno spazio condiviso all’interno di un incubatore aziendale chiamato Data Tribe. Bittner si trovava da solo negli uffici a causa delle dinamiche del lavoro da remoto. Un uomo si è presentato alla porta sostenendo di dover riparare il condizionatore della sala server.
Il finto tecnico indossava una cintura degli attrezzi e portava dei misuratori di pressione per impianti HVAC. Bittner ha aperto la porta senza esitare. Ha persino sbloccato la porta della sala server per farlo entrare.
In quel caso si trattava di un reale appuntamento pianificato dalla responsabile dell’ufficio. Tuttavia, Bittner non ne era stato informato. L’episodio dimostra come la naturale tendenza a evitare conflitti apra facilmente le porte ai criminali.
Le tattiche di infiltrazione e l’importanza del badge
Carrigan ha sottolineato come determinati strumenti di lavoro azzerino i sospetti. Una cartellina o una scala permettono di accedere quasi ovunque.
Le persone tendono persino a tenere le porte aperte a chi trasporta carichi pesanti. Esistono video documentati di soggetti entrati gratis nei cinema semplicemente portando una scala sul posto. Varmazis ha descritto una situazione opposta vissuta durante la sua esperienza in Rapid7.
Varmazis ha bloccato un uomo privo di badge che cercava di usare un ingresso secondario. L’uomo ha reagito con forte aggressività verbale per forzare il controllo.
Nonostante la pressione psicologica, Varmazis ha mantenuto ferma la procedura di sicurezza. Carrigan ha ribadito che opporre resistenza è l’unica reazione corretta. Chi reagisce con rabbia deve essere gestito dalle risorse umane o rieducato.
Il controllo degli accessi e i sistemi hardware
La condivisione impropria delle credenziali fisiche genera falle enormi. Bittner ha ricordato un errore giovanile in un museo di Washington DC. Aveva utilizzato il badge del capo ingegnere per accedere a un’area riservata. I sistemi di sicurezza hanno bloccato l’ascensore confrontando la sua immagine con la foto del reale proprietario.
Per fermare un simile attacco hardware, Hume suggerisce l’uso di software per il controllo dello storage. Questi strumenti bloccano i dispositivi USB non autorizzati alla radice.
La tecnica del Living off the Land nel settore medico
Una sofisticata strategia criminale prevede l’utilizzo di programmi autorizzati per eludere i controlli degli antivirus. Questo metodo è noto come “living off the land“.
Carrigan ha illustrato un caso reale avvenuto in Australia. La minaccia è stata rilevata da un esperto di sicurezza di nome Michael presso lo studio dentistico della figlia. Lo studio ha ricevuto un’email da un indirizzo legittimo appartenente a un chirurgo dentale. Il testo faceva riferimento a un documento troppo grande per l’invio ordinario. Il messaggio esortava a leggerlo esclusivamente tramite un computer desktop.
L’installazione silenziosa di ScreenConnect
Il collegamento contenuto nel messaggio nascondeva un’insidia informatica.
La segretaria dell’ufficio ha cliccato sul link. Sul monitor è apparsa solo una schermata bianca, interpretata come un semplice errore tecnico. L’azione ha invece avviato l’installazione invisibile di ScreenConnect. Si tratta di un software commerciale legittimo per l’assistenza remota. Proprio per la sua natura lecita, l’antivirus non ha rilevato alcuna anomalia.
L’attacco ha così superato la prima barriera difensiva senza generare allarmi.
L’esfiltrazione dei dati e la truffa massiva
I criminali hanno sfruttato l’accesso il mattino seguente alle ore 7:30.
Hanno operato prima dell’arrivo del personale in ufficio. Gli aggressori hanno proiettato una falsa schermata di Windows Update sui monitor delle postazioni. Dietro questa copertura, hanno estratto l’elenco dei contatti dal sistema email aziendale. Hanno poi avviato una massiccia campagna di phishing mirata a circa 2.000 pazienti dello studio.
I messaggi ingannevoli sono stati inviati in blocchi sequenziali da 200 indirizzi alla volta.
Per neutralizzare l’intrusione, i tecnici hanno dovuto disabilitare i servizi compromessi e rimuovere i file estranei. Hanno inoltre configurato il controllo dell’account utente di Windows per richiedere sempre l’approvazione dell’amministratore per ogni nuova installazione.
Il valore commerciale delle informazioni sanitarie
Hume ha analizzato la dinamica ipotizzando che il link iniziale eseguisse un file eseguibile. L’esperto ha spiegato che la semplice limitazione dei privilegi utente non è sufficiente.
Diversi campioni di ransomware riescono a girare anche senza diritti di amministratore. Hume ritiene indispensabile l’adozione dell’allow-listing, o white-listing. Questo sistema blocca a monte l’esecuzione di qualsiasi programma non esplicitamente autorizzato.
L’obiettivo finale di queste truffe è spesso la Business Email Compromise. I criminali tentano di spingere i fornitori a modificare le coordinate bancarie per i pagamenti.
Il mercato nero dei dati clinici
Varmazis ha evidenziato l’alto valore economico dei dati sanitari. Hume ha confermato un dato economico rilevante: le informazioni mediche valgono circa sette volte di più sul mercato nero rispetto ad altri dati. Esse consentono di strutturare manovre di phishing estremamente mirate.
La sicurezza in questi ambienti è talvolta trascurata. Bittner ha riferito di aver visto un foglietto adesivo con nome utente e password attaccato direttamente sul computer di un macchinario radiografico 3D presso il proprio dentista.
La frontiera tecnologica della manipolazione: le truffe basate sulla clonazione vocale
L’intelligenza artificiale ha radicalmente potenziato l’efficacia delle truffe dirette ai privati cittadini. Varmazis ha documentato un drammatico caso di cronaca avvenuto a San Francisco.
La vittima, Deborah Delmastro, ha subìto una perdita economica immediata di 5.400 dollari. I criminali hanno preso di mira la donna utilizzando la tecnologia di clonazione vocale avanzata.
Gli aggressori sono riusciti a riprodurre fedelmente la voce della figlia trentasettenne della vittima.
La trappola emotiva e l’annullamento della criticità
La dinamica della telefonata ha sfruttato una fortissima leva psicologica. Delmastro ha sentito la voce clonata della figlia simulare un grave attacco di panico.
La traccia audio riproduceva le parole esatte: «Ti voglio bene mamma, ho paura». Subito dopo, i truffatori hanno interrotto la comunicazione per richiedere un riscatto in denaro.
Questo genere di attacco punta ad azzerare la capacità critica attraverso il terrore. La paura paralizza il giudizio razionale anche nelle persone addestrate a gestire le emergenze.
Delmastro è una veterana della Marina militare, solitamente abile nel controllo delle crisi. Nonostante il suo background, è rimasta totalmente convinta della veridicità dell’evento a causa del realismo audio.
Introdurre la frizione temporale per difendersi
Hume ha spiegato che gli strumenti di intelligenza artificiale rappresentano ormai una realtà permanente. L’ingegnere ha consigliato di adottare una strategia basata sulla creazione di un momento di interruzione.
Una buona prassi consiste nel non rispondere alle chiamate provenienti da numeri sconosciuti. Hume ha chiarito la sua visione con parole precise: «Purtroppo l’IA è qui per restare. Un consiglio è quello di non rispondere a numeri sconosciuti. Se è un’emergenza, lasceranno un messaggio in segreteria. Questo crea un momento di “frizione” che permette di calmarsi e verificare, ad esempio chiamando direttamente la persona interessata».
Carrigan ha suggerito l’uso di una parola d’ordine segreta da concordare all’interno del nucleo familiare. Ha tuttavia ammesso la difficoltà di ricordare tale codice in condizioni di forte stress emotivo.
Gli script automatici nelle truffe testuali
I tentativi di frode non utilizzano esclusivamente tecnologie complesse. I criminali continuano a fare ampio affidamento su canali testuali tradizionali basati su sequenze automatizzate.
Un esempio concreto è emerso dall’analisi di un’interazione diretta tra un truffatore e una potenziale vittima. L’aggressore ha avviato il contatto chiedendo la disponibilità del destinatario per il giorno successivo, affermando di essere in viaggio verso Anchorage. Il destinatario ha risposto chiedendo se si trattasse del nuovo recapito di un’amica di nome Nicole.
A quel punto, lo script del truffatore ha preso una piega del tutto inattesa, asserendo che Nicole fosse deceduta la settimana precedente.
L’evidenza della risposta meccanica
La potenziale vittima ha espresso immediato cordoglio, scusandosi per l’errore di digitazione del numero. Ha poi ringraziato l’interlocutore per la sua comprensione definendolo una persona gentile.
Nonostante lo scambio verbale avesse preso questa direzione, il malintenzionato ha inviato una frase preconfezionata del tutto slegata dal contesto: «Sono io quello che ha ucciso Nicole». Carrigan ha evidenziato come questa risposta assurda dimostri la natura puramente meccanica del tentativo di frode.
L’episodio conferma l’utilizzo di uno script standardizzato ed eseguito alla cieca. L’operatore non legge e non elabora minimamente i messaggi inviati dalla controparte.
Il fattore umano come fulcro della sicurezza
L’esame complessivo delle violazioni mostra come ogni attacco informatico punti a colpire la psicologia della vittima.
Sia che si tratti di accogliere un finto tecnico HVAC per evitare una discussione, sia che si ceda al panico ascoltando una voce clonata, i criminali sfruttano sempre i sentimenti umani.
La fiducia spontanea, la fretta e il terrore rimangono i canali preferenziali per la buona riuscita delle truffe.
Per questa ragione, la difesa delle infrastrutture aziendali e dei dati personali non può dipendere solo dai software.
Diventa necessario combinare l’applicazione di tecnologie restrittive con una rigorosa cultura della verifica dell’identità in ogni ambito della vita quotidiana.
Partecipa alla community