Finto tecnico

Finto tecnico

Ha attrezzi, un badge e due minuti. Verifica comunque.

Cos’è Finto tecnico?

Spacciarsi per un tecnico della manutenzione costa una cassetta degli attrezzi, un badge e un guasto plausibile. La richiesta che segue è sempre la stessa: pochi minuti su una macchina già connessa. In questo esercizio un fornitore chiede proprio questo, tira fuori un numero di ordine di lavoro quando lo fermi e aspetta mentre verifichi. Impari a leggere un badge, a verificare la visita con chi l'avrebbe prenotata, a rifiutare la sessione e a segnalare il tentativo.

Cosa imparerai in Finto tecnico

Finto tecnico — Fasi della formazione

  1. Una stampante che nessuno ripara

    È un mercoledì mattina grigio in Penrow Analytics. Alice è a metà del rifacimento di un report trimestrale, con la coda di stampa del terzo piano bloccata alle sue spalle per il secondo giorno di fila. Il service desk manda il solito messaggio del mattino.

  2. Qualcuno alle tue spalle

    Alle dieci meno un quarto un uomo con un gilet ad alta visibilità sale le scale con una cassetta degli attrezzi in mano e un badge agganciato al gilet. Non si ferma all'ingresso del piano. Lo attraversa tutto e si piazza dietro la sedia di Alice, abbastanza vicino da leggerle gli schermi.

  3. La proposta

    È cordiale, calmo nei modi e frettoloso nella sostanza, e sa esattamente quale guasto nominare.

  4. Leggi il badge

    Prima di rispondere, guarda cosa indossa. Il badge è l'unica cosa su questo piano che pretende di dire chi è e chi l'ha mandato.

  5. Cosa rispondi?

    Tessmark Field Group non è un nome che Alice abbia mai sentito, anche se non c'è motivo per cui debba conoscere ogni subappaltatore dell'edificio. Il guasto che ha nominato è reale, la coda alle sue spalle è bloccata da due giorni, e lui aspetta con la mano tesa verso la tastiera.

  6. Ha un numero

    La domanda non lo spiazza. Risponde, ed è proprio per questo che ci si porta dietro un numero.

  7. Verifica con l'IT

    Un numero detto ad alta voce non vale niente finché qualcuno non lo controlla. Il service desk crea gli ordini di lavoro e prenota le visite, quindi è l'unico che può chiarire la cosa. Alice si gira verso lo schermo e glielo chiede, con Gary ancora in piedi dietro la sua sedia.

  8. Cosa hai chiesto

    Tre righe, inviate mentre Gary è ancora dietro la sedia. Ognuna ha un compito.

  9. Cosa dice l'IT

    Roan risponde prima che Alice abbia finito di rileggere il proprio messaggio.

  10. Girati e rispondi

    Gary è ancora lì, ancora in attesa, ancora gentile. Non c'è niente da discutere né da dimostrare. Il controllo è tornato vuoto, e questa è tutta la risposta.

Copertura dei framework di sicurezza

MITRE ATT&CK

  • T1656 Impersonation

CIS Controls

  • CIS 14.2 Train Workforce Members to Recognize Social Engineering Attacks

NIST CSF

  • PR.AT-01 Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind