Tailgating al citofono
Un corriere alla porta non è un documento d'identità.
Cos’è Tailgating al citofono?
Un ingresso chiuso regge solo se chi risponde al citofono verifica davvero. Guardi un'apertura non verificata dall'inizio alla fine, poi rispondi tu: interroghi chi suona senza saper dire a chi è destinata una consegna, confronti una scusa frettolosa con l'unica cosa che non vuole dirti e segnali il tentativo, così la porta successiva dell'isolato è già avvisata.
Cosa imparerai in Tailgating al citofono
- Riconoscere che un ingresso a badge verifica solo chi è già dentro, quindi chi risponde al citofono deve comunque verificare chi suona
- Ricostruire cosa raggiunge una sola apertura non verificata una volta che qualcuno è dentro, da una lavagna incustodita alla password della rete ospiti e a un elenco clienti scritti su un muro
- Identificare i segnali che distinguono un visitatore vero da un pretesto: niente divisa, niente badge, nessun nome per la consegna
- Verificare il motivo di ingresso di chi suona con una domanda diretta a cui un visitatore vero risponde senza esitare, invece di accettare una scusa non verificata
- Rifiutare l'ingresso quando l'identità non può essere confermata, anche se chi suona è impaziente, simpatico o si presenta durante un buco di personale noto
- Segnalare subito alla sicurezza un tentativo di ingresso non confermato, così una descrizione può circolare prima che la stessa persona provi un'altra porta
Tailgating al citofono — Fasi della formazione
-
Martedì scorso
Lo stesso avviso dei servizi generali è girato una settimana fa, e la stessa mezz'ora è passata senza nessuno alla reception. Alice è alla sua scrivania. Sulla parete accanto a lei la lavagna dello sprint riporta ancora l'elenco clienti del trimestre e la password del wifi ospiti che qualcuno ha scritto per un visitatore a marzo e che nessuno ha mai cancellato.
-
Il citofono, la settimana scorsa
Alle 09:14 il citofono a parete comincia a suonare. Il video mostra un uomo con una giacca anonima alla porta su strada, con uno scatolone stretto al petto con entrambe le braccia. La reception è fuori, quindi tocca ad Alice.
-
Rispondere, la settimana scorsa
La settimana scorsa Alice ha risposto senza pensarci. Un corriere alla porta mentre la reception è assente è un martedì qualunque, non un evento.
-
La sua proposta
Parla in fretta, come chi ha ancora tre consegne da fare prima delle dieci.
-
Cosa ha risposto Alice
Ha uno scatolone, ha fretta, e la reception tornerà tra un quarto d'ora. La settimana scorsa Alice ha risposto alla domanda che lui aveva fatto.
-
Apri
La settimana scorsa Alice ha premuto Apri. Premilo adesso e guarda la porta al piano terra sbloccarsi per un uomo che nessuno ha verificato.
-
Due minuti
Alice torna alla sua casella di posta. L'uomo con lo scatolone non sale a consegnare niente, e nessuno se lo aspetta. Prende le scale.
-
Non ha aspettato
Due minuti dopo è al terzo piano. Niente più scatolone, nessun badge, e nessuno alle scrivanie ha motivo di chiedersi chi sia. Il pacco non è mai stato il punto. La porta sì.
-
La lavagna
Passa davanti alle scrivanie senza fermarsi e si ferma davanti alla lavagna. Telefono alzato, due foto, circa quattro secondi.
-
Sparito
Mette via il telefono ed esce da dove è entrato, con lo stesso passo tranquillo. Nessuno sul piano ha alzato gli occhi due volte. Lo scatolone, se mai conteneva qualcosa, non è arrivato da nessuna parte.
Copertura dei framework di sicurezza
MITRE ATT&CK
- T1656 Impersonation
CIS Controls
- CIS 14.2 Train Workforce Members to Recognize Social Engineering Attacks
NIST CSF
- PR.AT-01 Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind