Ingegneria Sociale su WhatsApp
Your "boss" on WhatsApp isn't your boss.
Cos’è Ingegneria Sociale su WhatsApp?
Un messaggio WhatsApp dal tuo CEO. Nuovo numero, spiega, perche il suo telefono abituale e in riparazione. Ha bisogno di un piccolo favore. Puoi comprare delle carte regalo per un evento di apprezzamento clienti? Ti rimborsera. E urgente. E in riunioni tutto il giorno e non puo occuparsene personalmente. Questa e una delle truffe di ingegneria sociale piu comuni e costose al mondo. L'Internet Crime Complaint Center dell'FBI ha riportato che la business email compromise e le truffe di impersonazione hanno causato 2,7 miliardi di dollari di perdite nel solo 2022. La variante WhatsApp funziona perche le app di messaggistica sono informali e immediate. Le persone rispondono ai messaggi piu velocemente che alle email, con meno attenzione e con un piu forte senso di obbligo personale quando il messaggio sembra provenire da un leader senior. In questa simulazione, vivrai una conversazione WhatsApp in tempo reale con qualcuno che impersona il tuo responsabile. I messaggi aumentano in urgenza e pressione emotiva. Imparerai a individuare gli schemi: perche gli attaccanti scelgono le carte regalo (non tracciabili), perche creano pressione temporale (per impedire la verifica) e perche preferiscono le app di messaggistica all'email (meno controlli di sicurezza). Praticherai la singola difesa piu efficace: la verifica fuori banda. Questo significa contattare il presunto mittente attraverso un canale diverso, uno che l'attaccante non controlla, prima di intraprendere qualsiasi azione. Un rapido messaggio su Slack o una telefonata al tuo vero capo blocca la truffa istantaneamente.
Cosa imparerai in Ingegneria Sociale su WhatsApp
- Identificare gli schemi comuni di impersonazione del capo su WhatsApp e altre piattaforme di messaggistica
- Riconoscere le tattiche di pressione psicologica tra cui urgenza, autorita e isolamento
- Applicare la verifica fuori banda per confermare le richieste ricevute attraverso canali informali
- Spiegare perche gli attaccanti preferiscono carte regalo, bonifici bancari e criptovalute per le truffe di pagamento
- Segnalare sospetti tentativi di ingegneria sociale attraverso i canali organizzativi appropriati
Ingegneria Sociale su WhatsApp — Fasi della formazione
-
Un pomeriggio tranquillo
È un mercoledì pomeriggio lento. Alice sta recuperando le attività di routine nel suo ufficio a casa. Il suo telefono vibra con un nuovo messaggio WhatsApp.
-
Un messaggio dal vicepresidente
Alice riceve un messaggio WhatsApp da qualcuno che afferma di essere David Morrison, VP of Operations presso Meridian Analytics.
-
La richiesta urgente
Il messaggio sembra legittimo: David Morrison è il vicepresidente delle operazioni. Alice nota che il numero di telefono non è salvato tra i suoi contatti, il che è strano dato che ha il numero reale di David dalla directory aziendale. Ma forse sta usando un telefono diverso?
-
Costruire la fiducia
Un altro messaggio arriva da 'David' mentre Alice sta ancora leggendo il primo.
-
Alice risponde
La richiesta sembra ragionevole. David è un dirigente senior e gli eventi per i clienti si svolgono regolarmente presso Meridian Analytics. Alice decide di rispondere e offrire il suo aiuto.
-
L'escalation
'David' risponde rapidamente, aggiungendo urgenza e istruzioni specifiche.
-
Qualcosa non va
Fermiamoci e pensiamo a quello che è appena successo.
-
Rivelate le bandiere rosse
Diamo un'occhiata più da vicino a questa conversazione. Molte cose non quadrano.
-
Tempo di verifica
Alice si rende conto che qualcosa non va. Invece di proseguire la conversazione su WhatsApp, decide di verificare la richiesta tramite i canali ufficiali. Prende il telefono per chiamare il vero David Morrison utilizzando il numero salvato nei contatti aziendali.
-
Confermato: è una truffa
David conferma di non aver mai inviato alcun messaggio WhatsApp e di non aver pianificato alcun evento per i clienti per venerdì. Ringrazia Alice per il controllo e le dice di segnalarlo immediatamente alla squadra di sicurezza. L'imitatore ha utilizzato il nome e il titolo di David, informazioni facilmente reperibili su LinkedIn o sul sito Web dell'azienda, per creare credibilità.