Che cos'è il pretexting?

Il pretexting è frequente negli attacchi di phishing mirati, come lo spear phishing, che prende di mira una persona specifica, e il whaling, che prende di mira un dirigente o un utente con accesso privilegiato a informazioni o sistemi sensibili.  

Ma il pretexting gioca un ruolo anche nelle truffe non mirate, le cosiddette "spray-and-pray" via e-mail, nel phishing vocale (vishing) o nel phishing tramite SMS (smishing).

Ad esempio, un truffatore potrebbe inviare un SMS, "[Nome di banca globale]: Il suo conto è in rosso" a milioni di persone, sperando che una percentuale dei destinatari siano clienti della banca e una percentuale di questi risponda al messaggio. Anche un numero ridotto di vittime può fruttare un grosso bottino per i truffatori.

In questi tipi di attacchi, un criminale induce la vittima a scaricare malware attirandola con un'esca attraente ma compromessa che può essere un oggetto fisico, come una chiavetta USB caricata con codice dannoso e lasciata ben visibile in un luogo pubblico, oppure digitale, come la pubblicità per il download gratuito di film che in realtà si rivelano essere malware. 

I truffatori spesso usano pretesti per rendere l'esca più allettante. Ad esempio, un truffatore potrebbe apporre etichette su un'unità USB compromessa per fingere che appartenga a una particolare azienda e contenga file importanti.

I pretesti possono essere utilizzati anche per truffe di persona, come il tailgating. Il tailgating, detto anche "piggybacking", è quando una persona non autorizzata segue una persona autorizzata in un luogo che richiede l'autorizzazione, come un edificio di uffici. I truffatori usano pretesti per rendere più efficaci i loro tentativi di tailgating, ad esempio fingendosi un corriere e chiedendo a un ignaro dipendente di aprire loro una porta chiusa a chiave.

In questo attacco informatico, il truffatore finge di essere il rappresentante di un'azienda che avvisa la vittima di un problema con il suo account, come dati di fatturazione scaduti o acquisti sospetti.Il truffatore include un link che reindirizza la vittima a un sito web falso, dove gli vengono rubate le credenziali di autenticazione, i dati della carta di credito, il numero di conto corrente o il numero di previdenza sociale.

La compromissione dell'e-mail aziendale (BEC) è un tipo di attacco di social engineering mirato che si basa pesantemente sul pretexting. Il 25% di tutti gli attacchi BEC (link esterno a ibm.com) ora inizia con un pretesto. 

Nella BEC, il personaggio è un dirigente aziendale reale o un socio in affari di alto livello con autorità o influenza sulla vittima. Poiché il truffatore finge di essere qualcuno in una posizione di potere, molti bersagli semplicemente gli obbediscono.

La situazione creata è una richiesta di aiuto da parte del personaggio per un'attività (quasi sempre) urgente. Ad esempio, "Sono bloccato in un aeroporto e ho dimenticato la password del sistema di pagamento. Puoi ricordarmela, per favore?" Oppure "Puoi effettuare un bonifico di XXX.XXX USD sul conto bancario #YYYYY per pagare la fattura allegata? Sbrigati o mi annullano il servizio."

Impersonando un capo attraverso testi, e-mail, telefonate e persino video generati dall'AI, i truffatori riescono spesso ingannare i dipendenti e indurli a rivelare informazioni sensibili o addirittura a commettere reati.

In un caso famoso, una conferenza web preregistrata (e generata dall'AI) si è conclusa con una richiesta da parte del falso dirigente senior che ha convinto un dipendente a trasferire 200 milioni di HKD agli aggressori.⁴

Anno dopo anno, la BEC si colloca tra i crimini informatici e le tecniche di social engineering in cui vengono persi più soldi. Secondo il report IBM Cost of a Data Breach, le violazioni dei dati causate dalla BEC costano alle organizzazioni vittime in media 4,88 milioni di dollari. 

Secondo i dati dell'Internet Crime Complaint Center dell'FBI, la BEC ha provocato un totale di quasi 2,9 miliardi di dollari di perdite per le vittime nel 2023.³

Fingendosi un investitore di successo con un'opportunità "infallibile" riguardo alle criptovalute, il truffatore indirizza la vittima verso un falso exchange di criptovalute, dove gli vengono rubati soldi o le informazioni finanziarie. 

In una variante a lungo termine di questa truffa, chiamata "pig butchering", il truffatore coltiva un rapporto con la vittima e acquisisce la sua fiducia attraverso i social. Quindi, il truffatore presenta un'"opportunità di business" alla vittima, che viene indirizzata su un sito di criptovalute per effettuare depositi. Il sito potrebbe persino riportare aumenti falsi del valore dell'investimento, ma i soldi depositati non possono più essere ritirati.⁵ 

Come molte altre truffe di social engineering, anche questa prende di mira gli anziani. Il criminale informatico si spaccia per il nipote della vittima e finge di trovarsi in qualche guaio, ad esempio, che abbia avuto un incidente d'auto o sia stato arrestato, e di avere bisogno che i nonni gli inviino del denaro per poter pagare le spese ospedaliere o la cauzione. 

La vittima designata riceve una fattura per un servizio o prodotto che non ha ordinato o utilizzato. Il truffatore spesso vuole che la vittima faccia clic su un link contenuto in un'e-mail per richiedere maggiori informazioni o effettuare un reclamo relativo all'addebito. Alla vittima viene quindi chiesto di fornire informazioni di identificazione personale (PII) per verificare il proprio account, e proprio quelle informazioni private sono ciò che il truffatore cercava fin dall'inizio.

Fingendosi funzionari dell'Internal Revenue Service (IRS), agenti delle forze dell'ordine o altri rappresentanti del governo, il truffatore afferma che l'obiettivo è in qualche guaio relativo al mancato pagamento delle tasse o a un mandato di arresto. Solitamente, il truffatore indirizza la vittima a effettuare un pagamento per evitare l'arresto, pegni ipotecari o pignoramenti dello stipendio. Naturalmente, il pagamento va a finire sul conto del truffatore. 

Una persona in cerca di lavoro potrebbe essere disposta a divulgare informazioni normalmente sensibili a un potenziale datore di lavoro. Ma se l'offerta di lavoro è falsa e pubblicata da un truffatore, potrebbe diventare vittima di un furto di identità.

Il truffatore finge di cercare una relazione romantica con la vittima. Dopo aver conquistato il suo cuore, il truffatore in genere richiede denaro per rimuovere qualche ultimo ostacolo al loro stare insieme, ad esempio un debito paralizzante, un obbligo legale o persino il costo di un biglietto aereo per andare a trovare la vittima.

Lo scareware è una truffa di ingegneria sociale che utilizza la paura per indurre le persone a scaricare malware, perdere denaro o fornire dati personali.

Il pretesto di spavento può essere un falso avviso di virus, una falsa offerta di supporto tecnico o una truffa delle forze dell'ordine. Una finestra pop-up avvisa la vittima che è stato rilevato "materiale illegale" sul suo dispositivo digitale, oppure un "test diagnostico" online potrebbe comunicare che il dispositivo è compromesso e che è necessario scaricare un software antivirus (falso) per risolverlo. 

DMARC è un protocollo di autenticazione e-mail che aiuta a prevenire lo spoofing. Analizzando sia il testo che i metadati dei messaggi alla ricerca di indicatori comuni di compromissione, il protocollo DMARC verifica se un'e-mail è stata inviata dal dominio da cui dichiara di provenire. Se un'e-mail viene rilevata come spoofing, può essere automaticamente deviata a una cartella spam o eliminata.

Poiché i pretesti manipolano le persone inducendole a compromettere la propria sicurezza, formare i dipendenti a rilevare e rispondere adeguatamente alle truffe basate sui pretesti aiuta a proteggere un'organizzazione. Gli esperti raccomandano di eseguire simulazioni basate su esempi di pretexting nella vita reale per aiutare i dipendenti a distinguere tra pretexting e richieste legittime da parte dei colleghi.  

La formazione può includere protocolli chiari per predisporre misure di autenticazione più rigide, come l'autenticazione a più fattori (MFA), la gestione di informazioni preziose, l'autorizzazione dei pagamenti e la verifica delle richieste con le presunte fonti prima di procedere. 

La verifica può consistere in un semplice messaggio al presunto mittente: "Me l'hai inviato tu?" oppure un messaggio al servizio clienti: "Questo è un hacker?" Le procedure per le transazioni finanziarie possono includere requisiti per la convalida delle richieste di persona o con un contatto personale diretto.