Ingegneria Sociale su WhatsApp
Il tuo "capo" su WhatsApp non e il tuo capo.
Cos’è Ingegneria Sociale su WhatsApp?
Un messaggio WhatsApp dal tuo CEO, inviato da un nuovo numero perché il vecchio telefono è in riparazione. Hanno bisogno di buoni regalo per un evento cliente, ti rimborseranno e sono in riunione tutto il giorno. Le app di messaggistica offrono meno controlli rispetto alla posta elettronica e invitano a una risposta più rapida e meno attenta, soprattutto quando il mittente sembra senior. Lavorerai sulla conversazione man mano che la pressione aumenta e praticherai l'unica difesa che la pone fine: verificare attraverso un canale che l'aggressore non controlla.
Cosa imparerai in Ingegneria Sociale su WhatsApp
- Identificare gli schemi comuni di impersonazione del capo su WhatsApp e altre piattaforme di messaggistica
- Riconoscere le tattiche di pressione psicologica tra cui urgenza, autorita e isolamento
- Applicare la verifica fuori banda per confermare le richieste ricevute attraverso canali informali
- Spiegare perche gli attaccanti preferiscono carte regalo, bonifici bancari e criptovalute per le truffe di pagamento
- Segnalare sospetti tentativi di ingegneria sociale attraverso i canali organizzativi appropriati
Ingegneria Sociale su WhatsApp — Fasi della formazione
-
Un pomeriggio tranquillo
È un mercoledì pomeriggio lento. Alice sta recuperando le attività di routine nel suo ufficio a casa. Il suo telefono vibra con un nuovo messaggio WhatsApp.
-
Un messaggio dal vicepresidente
Alice riceve un messaggio WhatsApp da qualcuno che afferma di essere David Morrison, VP of Operations presso Meridian Analytics.
-
La richiesta urgente
Il messaggio sembra legittimo: David Morrison è il vicepresidente delle operazioni. Alice nota che il numero di telefono non è salvato tra i suoi contatti, il che è strano dato che ha il numero reale di David dalla directory aziendale. Ma forse sta usando un telefono diverso?
-
Costruire la fiducia
Un altro messaggio arriva da 'David' mentre Alice sta ancora leggendo il primo.
-
Alice risponde
La richiesta sembra ragionevole. David è un dirigente senior e gli eventi per i clienti si svolgono regolarmente presso Meridian Analytics. Alice decide di rispondere e offrire il suo aiuto.
-
L'escalation
'David' risponde rapidamente, aggiungendo urgenza e istruzioni specifiche.
-
Qualcosa non va
Fermiamoci e pensiamo a quello che è appena successo.
-
Rivelate le bandiere rosse
Diamo un'occhiata più da vicino a questa conversazione. Molte cose non quadrano.
-
Tempo di verifica
Alice si rende conto che qualcosa non va. Invece di proseguire la conversazione su WhatsApp, decide di verificare la richiesta tramite i canali ufficiali. Prende il telefono per chiamare il vero David Morrison utilizzando il numero salvato nei contatti aziendali.
-
Confermato: è una truffa
David conferma di non aver mai inviato alcun messaggio WhatsApp e di non aver pianificato alcun evento per i clienti per venerdì. Ringrazia Alice per il controllo e le dice di segnalarlo immediatamente alla squadra di sicurezza. L'imitatore ha utilizzato il nome e il titolo di David, informazioni facilmente reperibili su LinkedIn o sul sito Web dell'azienda, per creare credibilità.
Copertura dei framework di sicurezza
MITRE ATT&CK
- T1566.003 Phishing: Spearphishing via Service
CIS Controls
- CIS 14.2 Train Workforce Members to Recognize Social Engineering Attacks
NIST CSF
- PR.AT-01 Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind