Finto tecnico
Ha attrezzi, un badge e due minuti. Verifica comunque.
Cos’è Finto tecnico?
Spacciarsi per un tecnico della manutenzione costa una cassetta degli attrezzi, un badge e un guasto plausibile. La richiesta che segue è sempre la stessa: pochi minuti su una macchina già connessa. In questo esercizio un fornitore chiede proprio questo, tira fuori un numero di ordine di lavoro quando lo fermi e aspetta mentre verifichi. Impari a leggere un badge, a verificare la visita con chi l'avrebbe prenotata, a rifiutare la sessione e a segnalare il tentativo.
Cosa imparerai in Finto tecnico
- Riconoscere la richiesta di lavorare dalla sessione connessa di un dipendente come ciò di cui un vero tecnico non ha mai bisogno
- Leggere un badge da fornitore come registrazione di un arrivo e non come conferma che la visita sia stata prenotata
- Verificare con il service desk un numero di ordine di lavoro citato, invece di accettarlo come risposta
- Resistere alla pressione del tempo, che punta proprio ai due minuti che richiederebbe un controllo
- Segnalare un tentativo fallito, così le scrivanie e i piani verso cui si sposta il visitatore sono già avvisati
Finto tecnico — Fasi della formazione
-
Una stampante che nessuno ripara
È un mercoledì mattina grigio in Penrow Analytics. Alice è a metà del rifacimento di un report trimestrale, con la coda di stampa del terzo piano bloccata alle sue spalle per il secondo giorno di fila. Il service desk manda il solito messaggio del mattino.
-
Qualcuno alle tue spalle
Alle dieci meno un quarto un uomo con un gilet ad alta visibilità sale le scale con una cassetta degli attrezzi in mano e un badge agganciato al gilet. Non si ferma all'ingresso del piano. Lo attraversa tutto e si piazza dietro la sedia di Alice, abbastanza vicino da leggerle gli schermi.
-
La proposta
È cordiale, calmo nei modi e frettoloso nella sostanza, e sa esattamente quale guasto nominare.
-
Leggi il badge
Prima di rispondere, guarda cosa indossa. Il badge è l'unica cosa su questo piano che pretende di dire chi è e chi l'ha mandato.
-
Cosa rispondi?
Tessmark Field Group non è un nome che Alice abbia mai sentito, anche se non c'è motivo per cui debba conoscere ogni subappaltatore dell'edificio. Il guasto che ha nominato è reale, la coda alle sue spalle è bloccata da due giorni, e lui aspetta con la mano tesa verso la tastiera.
-
Ha un numero
La domanda non lo spiazza. Risponde, ed è proprio per questo che ci si porta dietro un numero.
-
Verifica con l'IT
Un numero detto ad alta voce non vale niente finché qualcuno non lo controlla. Il service desk crea gli ordini di lavoro e prenota le visite, quindi è l'unico che può chiarire la cosa. Alice si gira verso lo schermo e glielo chiede, con Gary ancora in piedi dietro la sua sedia.
-
Cosa hai chiesto
Tre righe, inviate mentre Gary è ancora dietro la sedia. Ognuna ha un compito.
-
Cosa dice l'IT
Roan risponde prima che Alice abbia finito di rileggere il proprio messaggio.
-
Girati e rispondi
Gary è ancora lì, ancora in attesa, ancora gentile. Non c'è niente da discutere né da dimostrare. Il controllo è tornato vuoto, e questa è tutta la risposta.
Copertura dei framework di sicurezza
MITRE ATT&CK
- T1656 Impersonation
CIS Controls
- CIS 14.2 Train Workforce Members to Recognize Social Engineering Attacks
NIST CSF
- PR.AT-01 Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind